RGPD site internet : les obligations à respecter en 2026

Le règlement s’applique depuis le 25 mai 2018, sans distinction de taille : une PME de dix personnes est responsable de traitement comme un grand groupe. Les obligations RGPD site internet tiennent en trois principes.

Chaque collecte a une finalité précise et une base légale : consentement pour la newsletter, contrat ou intérêt légitime pour une demande de devis, obligation légale pour la facturation. Vous ne demandez que les données utiles, c’est la minimisation, et vous fixez une durée de conservation : la CNIL retient trois ans après le dernier contact pour un prospect.

Les personnes disposent de droits à honorer sous un mois : accès, rectification, effacement, limitation, opposition, portabilité. Et vous tenez un registre des traitements, premier document que réclame un contrôle.

C’est le point le plus sanctionné. L’article 82 de la loi Informatique et Libertés impose un consentement préalable au dépôt comme à la lecture d’un traceur, sauf pour les traceurs strictement nécessaires : panier, authentification, sécurité, mémorisation du choix, mesure d’audience sous conditions.

Votre bandeau doit permettre de refuser aussi simplement que d’accepter, sur le même écran, avec deux boutons de même niveau. Aucun traceur publicitaire ne se dépose avant le clic : les scripts sont bloqués en amont, pas seulement déclarés. Le retrait passe par un lien permanent en pied de page, et la preuve du consentement vous incombe.

La CNIL recommande de conserver le choix six mois et de limiter la durée de vie des traceurs à treize mois. Sur ce volet RGPD site internet, 21 des 83 sanctions de 2025 portaient sur les cookies.

Un formulaire conforme tient en quatre réflexes : distinguer les champs obligatoires des facultatifs, supprimer ceux dont vous ne faites rien, indiquer à quoi servira la demande, placer un lien vers la politique de confidentialité sous le bouton d’envoi.

La newsletter est un traitement distinct : case à cocher séparée, jamais précochée, et jamais une condition pour obtenir un devis. Le double opt-in reste la meilleure preuve du consentement, et chaque envoi comporte un lien de désinscription en un clic.

Point souvent oublié dans un chantier RGPD site internet : les données sensibles. Santé, origine, opinions ou appartenance syndicale n’ont rien à faire dans un formulaire public.

Les mentions légales identifient l’éditeur au titre de la LCEN ; la politique de confidentialité répond au règlement. Deux pages distinctes, souvent fusionnées à tort.

Votre politique indique le responsable de traitement, les finalités et leur base légale, les catégories de données, les destinataires, les durées de conservation, les transferts hors Union européenne et les droits des personnes. Une page cookies la complète : traceurs par finalité, durée de vie, lien pour modifier son choix.

Ces pages restent accessibles depuis tout le site et datées à chaque mise à jour. Une politique recopiée ailleurs est un signal d’alerte dans un audit RGPD site internet.

Le règlement exige des mesures de sécurité adaptées au risque. Sur un site WordPress ou une boutique WooCommerce : HTTPS partout, comptes administrateurs nominatifs avec authentification à deux facteurs, mises à jour du cœur et des extensions suivies, sauvegardes testées et chiffrées. Sur une application Symfony, on y ajoute la journalisation des accès et la séparation des environnements.

Vos prestataires sont des sous-traitants : hébergeur, agence, outil d’e-mailing. Chacun doit être lié par un contrat conforme à l’article 28. Un hébergement dans l’Union européenne simplifie le dossier RGPD site internet ; pour un outil américain, vérifiez le cadre de transfert applicable ou des clauses contractuelles types.

En cas de fuite, la notification à la CNIL intervient sous 72 heures.

Six étapes, dans cet ordre : recenser les traitements et remplir le registre ; inventorier les traceurs réellement déposés ; corriger le bandeau et bloquer les scripts avant consentement ; réécrire la politique d’après le registre et non d’après un modèle ; verrouiller le volet technique ; documenter l’ensemble, car la conformité se prouve.

Comptez une à deux journées pour un site vitrine, davantage pour une boutique qui mêle comptes clients, paiement et relances. Le réflexe : traiter la question RGPD site internet au moment de la création du site, où elle ne coûte presque rien. Puis la maintenir, par un point annuel intégré à la maintenance du site. Notre article sur les mentions légales d’un site internet complète cette check-list.