Par Zouhair M. · Publié le · 8 min de lecture
RGPD et site internet : ce qu’une PME doit réellement mettre en place
Le RGPD traîne une réputation de monstre administratif réservé aux grandes entreprises. Pour un site de PME, la réalité est plus simple : quelques obligations précises, souvent mal comprises, parfois recouvertes de pratiques inutiles copiées de site en site. Voici ce qui est réellement exigé, et ce qui ne l’est pas.
Ce que le RGPD couvre sur un site vitrine
Le RGPD s’applique dès qu’une donnée personnelle est collectée ou traitée, c’est-à-dire toute information qui permet d’identifier une personne : un nom, une adresse électronique, un numéro de téléphone, mais aussi une adresse IP. Un site vitrine sans boutique en ligne est donc concerné dès son premier formulaire de contact, et souvent avant, par ses simples journaux de connexion.
Le texte repose sur quelques principes constants : ne collecter que ce qui est nécessaire, dire clairement ce qu’on fait des données, ne pas les garder indéfiniment, et permettre aux personnes d’exercer leurs droits, accès, rectification, effacement. Rien de tout cela n’exige un service juridique.
Pour un site vitrine typique, les points de contact avec le RGPD se comptent sur une main : le formulaire, les cookies et traceurs, la politique de confidentialité, l’hébergement des données et les outils tiers embarqués dans les pages. Chacun fait l’objet d’une section ci-dessous.
Le formulaire de contact et ses mentions
Un formulaire de contact collecte des données personnelles : il doit donc s’accompagner d’une information claire, au moment de la collecte. Qui traite les données, pour quoi faire, combien de temps elles sont conservées, et comment exercer ses droits. Une phrase sous le formulaire, avec un lien vers la politique de confidentialité, remplit cette obligation.
Répondre à une demande de contact n’exige pas de case à cocher : le traitement est justifié par la démarche de la personne elle-même. La case de consentement devient nécessaire quand vous voulez faire autre chose de l’adresse, typiquement l’ajouter à une lettre d’information. Ce consentement doit être un acte positif, jamais une case pré-cochée.
Le principe de minimisation s’applique aussi au formulaire lui-même. Chaque champ doit avoir une raison d’être : demander une date de naissance ou une adresse postale pour une simple prise de contact, c’est collecter des données dont vous n’avez pas besoin, et devoir les protéger pour rien.
La politique de confidentialité
La politique de confidentialité est le document où vous tenez la promesse de transparence du RGPD. Elle doit être accessible depuis toutes les pages, généralement en pied de page, et rédigée pour être comprise, pas pour impressionner. Un texte juridique copié d’un autre site, décrivant des traitements que vous ne faites pas, est pire que l’absence de texte : il est faux.
Son contenu suit la réalité de votre site, rien de plus. Qui est responsable du traitement, quelles données sont collectées et par quels canaux, pour quelles finalités, pendant combien de temps, qui y a accès, et comment exercer ses droits. Si un point ne vous concerne pas, il n’a rien à faire dans le document.
- Identité et coordonnées du responsable du traitement
- Données collectées et canaux de collecte
- Finalités et base légale de chaque traitement
- Durées de conservation
- Destinataires et sous-traitants, hébergeur compris
- Droits des personnes et moyen de les exercer
L’hébergement des données et sa localisation
Votre hébergeur est un sous-traitant au sens du RGPD : il stocke des données personnelles pour votre compte. Le texte impose qu’un contrat encadre cette relation ; chez les hébergeurs sérieux, ces engagements figurent dans les conditions ou dans un accord de traitement des données que vous acceptez à la souscription. Vérifiez qu’il existe, et citez l’hébergeur dans votre politique de confidentialité.
La localisation compte parce que le RGPD encadre les transferts hors de l’Union européenne. Héberger dans l’Union, ou dans un pays reconnu comme offrant une protection adéquate, simplifie tout : pas de mécanisme de transfert à documenter. Un hébergement chez un prestataire relevant d’une juridiction tierce demande en revanche de s’appuyer sur des garanties supplémentaires, et de le mentionner.
Le sujet dépasse le serveur principal : polices de caractères chargées depuis un service tiers, vidéos intégrées, scripts externes envoient aussi des données de visite hors de chez vous. Nous exploitons nos propres plateformes en production, et c’est cette pratique qui nous a fait adopter le réflexe de servir polices et scripts depuis notre propre infrastructure plutôt que d’appeler des services tiers à chaque visite.
Le cas de la Suisse romande : nLPD et RGPD
La Suisse n’est pas membre de l’Union européenne, mais elle s’est dotée de sa propre loi, la nouvelle loi sur la protection des données, entrée en vigueur en 2023. La nLPD reprend l’esprit du RGPD, transparence, minimisation, droits des personnes, avec des modalités propres, comme l’absence d’obligation générale de consentement pour les cookies, l’information restant due.
Une entreprise romande peut par ailleurs être soumise au RGPD lui-même : le texte européen s’applique dès qu’un site cible des personnes situées dans l’Union, par exemple en s’adressant explicitement à une clientèle française ou belge. Beaucoup d’entreprises suisses tournées vers l’export sont donc concernées par les deux textes à la fois.
En pratique, viser le niveau du RGPD couvre l’essentiel des exigences de la nLPD. Un site conçu proprement pour l’un satisfait l’autre presque sans effort supplémentaire, ce qui simplifie la vie des entreprises actives des deux côtés de la frontière.
Les erreurs fréquentes sur les petits sites
La plus visible est le bandeau cookies de façade : il s’affiche, mais les traceurs se chargent avant tout choix, ou le refus est introuvable quand l’acceptation est en évidence. Un consentement qui n’en est pas un n’a aucune valeur, et le bandeau devient la preuve du problème qu’il prétend régler.
Vient ensuite la politique de confidentialité recopiée, qui décrit des traitements imaginaires et ignore les vrais. Ou la collecte fantôme : un formulaire d’inscription à une lettre d’information qui n’existe plus, des messages de contact conservés depuis des années sans tri, des données de candidature qui traînent dans une boîte mail.
La sécurité de base est l’angle mort le plus grave. Un site sans HTTPS fait circuler en clair ce que les visiteurs saisissent dans les formulaires, et un CMS jamais mis à jour expose les données collectées. Le RGPD exige des mesures de sécurité proportionnées : pour un petit site, chiffrement, mises à jour et mots de passe sérieux en sont le socle.
Se mettre en conformité sans tout reconstruire
La conformité d’un site vitrine ne passe presque jamais par une refonte. Elle commence par un inventaire honnête : quelles données entrent sur le site, par quels canaux, où vont-elles, qui les voit, combien de temps restent-elles. Sur un petit site, cet inventaire tient sur une page et se fait en une séance de travail.
L’inventaire dicte ensuite les actions, dans un ordre naturel. Supprimer les collectes et les outils tiers dont vous ne vous servez pas, c’est autant de conformité gagnée sans rien écrire. Puis ajuster ce qui reste : mentions sous le formulaire, politique de confidentialité fidèle, consentement réel là où il est requis, purge des données anciennes.
- Inventorier les données collectées et les outils tiers présents
- Supprimer les collectes et traceurs inutiles
- Ajouter les mentions d’information sous chaque formulaire
- Écrire une politique de confidentialité fidèle à la réalité
- Mettre en place un consentement réel si des traceurs l’exigent
- Purger les données anciennes et sécuriser l’accès au site
Questions fréquentes
Un site vitrine sans e-commerce est-il concerné par le RGPD ?
Oui. Le RGPD s’applique dès qu’une donnée personnelle est collectée, et un site vitrine en collecte par son formulaire de contact, ses statistiques ou ses simples journaux de connexion. La vente en ligne n’est pas le critère.
Faut-il un bandeau cookies sans outil de mesure tiers ?
Non. Le consentement n’est requis que pour les traceurs non essentiels, publicité, suivi entre sites, mesure d’audience non anonymisée. Un site qui n’utilise que des cookies techniques ou une mesure strictement anonyme peut se passer de bandeau.
La Suisse est-elle soumise au RGPD ?
La Suisse a sa propre loi, la nLPD, en vigueur depuis 2023 et proche de l’esprit du RGPD. Mais une entreprise suisse dont le site cible des personnes situées dans l’Union européenne est aussi soumise au RGPD lui-même pour ces traitements.