RGPD sur un site web : checklist conformité (cookies, formulaires, mentions)

En mai 2018, l’entrée en vigueur du RGPD a tout changé pour les propriétaires de sites web. Pourtant, des années après, la majorité des sites français continuent d’afficher des bandeaux cookies non conformes, des formulaires mal structurés et des politiques de confidentialité copiées-collées sans rapport avec la réalité du site. La CNIL intensifie ses contrôles, y compris envers les indépendants et les petites structures, et les sanctions tombent — parfois sans avertissement préalable.

Ce guide pratique s’adresse à tous ceux qui gèrent un site web et qui veulent comprendre, sans jargon inutile, ce que la conformité RGPD implique concrètement. Des cookies aux formulaires, en passant par les mentions légales et le registre des traitements, chaque point est traité avec précision et illustré par des exemples applicables immédiatement. L’objectif : vous donner les clés pour transformer une obligation réglementaire en véritable atout de confiance auprès de vos visiteurs.

En bref :

• Le RGPD s’applique à tout site web collectant des données personnelles, même un simple formulaire de contact.
• Un bandeau cookies conforme doit proposer « Tout accepter » et « Tout refuser » au même niveau de visibilité.
• Chaque formulaire doit respecter le principe de minimisation et afficher une mention d’information claire.
• La politique de confidentialité doit refléter fidèlement les pratiques réelles du site, pas un modèle générique.
• Le registre des traitements est obligatoire pour tout site avec une collecte régulière de données.
• Les sous-traitants (hébergeur, outil d’emailing, analytics) doivent être identifiés et encadrés par un contrat DPA.
• Les droits des personnes (accès, effacement, opposition) doivent faire l’objet d’un processus de réponse documenté.
• La conformité RGPD renforce la confiance des visiteurs et améliore les taux de conversion.

Ce que le RGPD exige vraiment d’un site web : les fondamentaux à comprendre

Beaucoup de propriétaires de sites pensent être conformes dès lors qu’ils affichent un bandeau cookies. C’est une erreur fréquente — et risquée. La conformité RGPD est bien plus globale : elle touche chaque point de collecte de données, chaque outil tiers intégré, chaque formulaire, chaque pixel publicitaire.

Le Règlement Général sur la Protection des Données repose sur sept principes fondamentaux qui s’appliquent à l’ensemble des traitements mis en oeuvre sur un site web. Le premier est la transparence : les visiteurs doivent savoir ce que vous faites de leurs données, pourquoi, et pendant combien de temps. Le second, souvent négligé, est la minimisation : ne collecter que ce qui est strictement nécessaire à la finalité déclarée.

Prenons l’exemple d’un cabinet de conseil qui demande, dans son formulaire de contact, la date de naissance et le numéro de téléphone en plus de l’email. Ces champs ne sont pas nécessaires pour répondre à une demande d’information. Leur présence constitue une violation du principe de minimisation, même si le reste du site est parfaitement structuré.

La conformité implique également de choisir une base légale valide pour chaque traitement. Pour un site web, les plus courantes sont le consentement (newsletter, cookies analytiques) et l’exécution d’un contrat (commande en ligne, création de compte). L’intérêt légitime, souvent invoqué à tort, doit faire l’objet d’un test de proportionnalité documenté avant d’être utilisé.

Les sanctions réelles que la CNIL inflige aux petites structures

Un médecin libéral sanctionné à hauteur de 15 000 euros, une PME condamnée à 20 000 euros d’amende : le mythe selon lequel seuls les grands groupes sont dans le viseur de la CNIL est définitivement révolu. Les contrôles automatisés permettent désormais d’analyser des milliers de sites en quelques heures, sans dépendre d’une plainte d’un utilisateur.

Les violations les plus sévères peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires mondial, selon le montant le plus élevé. Elles concernent principalement l’absence de consentement valide, les transferts illégaux hors Union Européenne et le non-respect des droits des personnes. Des sanctions plus légères — avertissement ou mise en demeure — s’appliquent aux manquements mineurs constatés pour la première fois.

Ce qui change la donne, c’est la procédure simplifiée introduite récemment, qui permet des amendes allant jusqu’à 20 000 euros sans passage devant la formation restreinte. Autrement dit, le processus est plus rapide et plus automatisé. Pour approfondir ces aspects réglementaires, la checklist RGPD cookies de Gestion Conformité offre une synthèse claire des règles à respecter.

Cookies et consentement : les règles précises que la CNIL impose en 2026

Le bandeau cookies est souvent le premier élément contrôlé lors d’un audit CNIL. Et c’est là que les erreurs sont les plus fréquentes, les plus visibles, et les plus faciles à corriger. Comprendre la distinction entre cookies exemptés et cookies soumis à consentement est la première étape indispensable.

Les cookies strictement nécessaires au fonctionnement du site — panier d’achat, authentification, choix de langue — ne nécessitent aucun consentement. En revanche, dès qu’un outil mesure l’audience (Google Analytics dans sa configuration standard), personnalise l’affichage ou sert à la publicité ciblée, un accord explicite de l’utilisateur est requis avant tout dépôt de traceur.

Type de cookie	Consentement requis	Exemples concrets
Strictement nécessaires	Non	Session, panier, authentification, choix de langue
Analytiques	Oui (sauf configuration exemptée)	Google Analytics, Hotjar, heatmaps
Publicitaires	Oui, toujours	Facebook Pixel, Google Ads, retargeting
Réseaux sociaux	Oui	Boutons de partage, vidéos YouTube intégrées, widgets Instagram
Fonctionnels tiers	Oui (souvent)	Chatbots tiers, A/B testing, personnalisation de contenu

Le bandeau lui-même doit respecter des règles strictes. Les boutons « Tout accepter » et « Tout refuser » doivent être au même niveau de visibilité, avec la même taille et le même contraste. Griser ou réduire le bouton de refus pour orienter le choix est une pratique expressément sanctionnée par la CNIL. De même, les cookie walls — qui bloquent l’accès au site tant que l’utilisateur n’a pas accepté les cookies — sont interdits sauf dans des cas très limités.

Quelle solution de gestion des cookies choisir pour être conforme

Plusieurs plateformes de gestion du consentement (CMP) facilitent la mise en conformité sans nécessiter de compétences techniques avancées. Pour les TPE et PME, deux options se distinguent : Tarteaucitron, open source, gratuit et officiellement recommandé par la CNIL, et Axeptio, solution française au design soigné, accessible dès 19 euros par mois après une période gratuite.

Matomo mérite une mention spéciale pour l’analyse d’audience : correctement configuré (anonymisation de l’IP, absence de partage de données, hébergement en Europe), il bénéficie d’une exemption de consentement validée par la CNIL. C’est l’alternative la plus solide à Google Analytics pour les sites soucieux de leur conformité. Une vidéo YouTube peut aider à visualiser le paramétrage.

Au-delà de l’outil choisi, ce qui compte, c’est la vérification régulière. Utilisez les outils de développement de votre navigateur (onglet « Réseau » ou extension de détection de cookies) pour contrôler qu’aucun cookie non essentiel n’est déposé avant l’acceptation de l’utilisateur. Cette vérification doit être réalisée après chaque mise à jour d’extension ou d’outil tiers sur votre site.

Formulaires conformes au RGPD : collecter les données sans enfreindre la loi

Chaque formulaire présent sur un site web est un point de collecte de données personnelles. Formulaire de contact, inscription à une newsletter, demande de devis, création de compte : chacun doit respecter des règles précises pour être conforme au RGPD. C’est l’un des aspects les plus concrets de la mise en conformité, et l’un des plus faciles à corriger.

Le principe directeur est la minimisation : ne demandez que ce qui est réellement nécessaire à la finalité annoncée. Un formulaire de contact n’a besoin que d’un nom, d’une adresse email et d’un message. Ajouter un numéro de téléphone, une adresse postale ou une date de naissance, sans raison fonctionnelle claire, constitue une violation du RGPD — même si l’intention n’est pas malveillante.

La checklist RGPD pour blogueurs et créateurs de sites détaille précisément ces obligations formulaire par formulaire, avec des exemples applicables immédiatement. Un point souvent oublié : les champs obligatoires doivent être distingués des champs facultatifs (par un astérisque ou une mention explicite), et les consentements doivent être séparés par finalité — une case pour la newsletter, une autre pour les offres partenaires, sans jamais regrouper les deux dans une seule case pré-cochée.

La preuve de consentement : un impératif souvent négligé

Pouvoir prouver qu’un utilisateur a bien consenti est une obligation légale. En cas de contrôle ou de litige, vous devez être en mesure de fournir la date et l’heure de la soumission, l’adresse IP associée, la version du formulaire utilisée et le contenu exact des mentions affichées au moment de la collecte. Sans cette traçabilité, même un formulaire bien conçu ne suffit pas.

Pour les newsletters, le double opt-in est la solution recommandée par la CNIL. L’utilisateur saisit son email, reçoit un message de confirmation, et clique sur un lien pour valider son inscription. Ce processus en deux étapes constitue la meilleure preuve que l’adresse email appartient bien à la personne qui a consenti. Sans double opt-in, la validité du consentement peut être contestée.

Un cas particulier mérite attention : les formulaires de paiement dans un contexte e-commerce. La collecte de l’adresse de livraison repose sur la base légale du contrat, pas du consentement. Aucune case à cocher n’est nécessaire pour ces données. En revanche, si vous souhaitez conserver les coordonnées bancaires pour faciliter un futur achat, un consentement explicite et séparé est obligatoire.

Politique de confidentialité et mentions légales : ce que vos pages doivent vraiment contenir

La politique de confidentialité est peut-être le document le plus sous-estimé de la conformité RGPD. Beaucoup de sites utilisent des modèles génériques copiés-collés, qui mentionnent des traitements inexistants (profilage, transferts vers des pays tiers) et oublient des traitements réels (Google Analytics, Facebook Pixel, Mailchimp). La CNIL vérifie régulièrement si les politiques affichées correspondent à la réalité.

L’article 13 du RGPD impose 12 mentions obligatoires dans ce document : l’identité du responsable de traitement, les finalités de chaque traitement, la base légale associée, les destinataires des données, les éventuels transferts hors Union Européenne, les durées de conservation, les droits des personnes et les modalités pour les exercer, ainsi que le droit de déposer une plainte auprès de la CNIL. Chaque traitement doit être décrit séparément — pas de rubrique fourre-tout.

Les durées de conservation constituent l’un des points les plus oubliés. Voici les références recommandées par la CNIL :

• Données de prospects (formulaire de contact) : 3 ans après le dernier contact
• Données clients (facturation) : 3 ans après la fin de la relation + 5 ans en archivage intermédiaire
• Données de newsletter : jusqu’au désabonnement + 3 ans
• Cookies analytiques : 13 mois maximum
• Logs de connexion : 6 mois à 1 an
• Candidatures RH : 2 ans après le dernier contact

Ces durées doivent se retrouver dans votre politique de confidentialité ET dans votre registre des traitements. Mettez en place une procédure de purge régulière : si votre liste email contient des contacts qui n’ont pas interagi depuis plus de 3 ans, ils doivent être supprimés ou faire l’objet d’une campagne de re-consentement.

Mentions légales : les informations obligatoires à ne pas oublier

Distinctes de la politique de confidentialité, les mentions légales sont également obligatoires pour tout site web français. Elles doivent mentionner le nom ou la raison sociale de l’éditeur, son adresse, ses coordonnées de contact, son numéro SIRET, le nom de l’hébergeur et ses coordonnées, et le cas échéant le numéro de TVA intracommunautaire.

Un détail souvent oublié : si votre site est hébergé sur un serveur situé hors de l’Union Européenne, vous devez en informer vos visiteurs dans votre politique de confidentialité. C’est notamment le cas si vous utilisez des services américains comme AWS US East, Google Cloud US ou certaines configurations de Cloudflare. Le transfert de données hors UE est strictement encadré et doit être justifié par des garanties appropriées (clauses contractuelles types, décision d’adéquation).

Pour aller plus loin dans l’audit de votre site, la ressource checklist RGPD complète pour sites web propose une liste structurée des points de contrôle les plus fréquemment contrôlés lors des audits CNIL.

Sous-traitants, registre des traitements et droits des personnes : la colonne vertébrale de la conformité

La conformité RGPD ne se limite pas aux éléments visibles du site. Elle exige une documentation interne rigoureuse, un suivi des outils tiers utilisés, et la capacité à répondre aux demandes des utilisateurs concernant leurs données. C’est souvent là que les lacunes sont les plus profondes — et les plus risquées en cas de contrôle.

Chaque outil tiers intégré à votre site — hébergeur, solution d’emailing, outil analytics, plateforme de paiement, chatbot — est potentiellement un sous-traitant au sens du RGPD. L’article 28 du règlement impose un contrat écrit avec chaque sous-traitant, appelé DPA (Data Processing Agreement). Ce contrat doit préciser la nature du traitement, les catégories de données concernées, les mesures de sécurité mises en place et les conditions de suppression des données en fin de contrat.

La bonne nouvelle : la plupart des grands prestataires (Stripe, Brevo, OVH, Mailchimp) proposent déjà un DPA accessible en ligne. Il suffit de l’accepter et de le conserver dans votre documentation. En revanche, pour Google Analytics dans sa configuration standard, la situation reste problématique : les transferts vers les serveurs américains ont été jugés non conformes. Les alternatives conformes à privilégier sont Matomo auto-hébergé, Plausible ou Fathom, tous hébergés en Europe.

Le registre des traitements : document obligatoire que 90% des sites ignorent

L’article 30 du RGPD impose la tenue d’un registre des activités de traitement. Contrairement à ce que beaucoup pensent, cette obligation ne concerne pas uniquement les grandes entreprises. Tout site web qui collecte des données de façon non occasionnelle — ce qui inclut tout site avec un formulaire de contact ou des cookies analytiques — est concerné.

Ce registre n’est pas un document public. Il est destiné à un usage interne et doit être présenté en cas de contrôle CNIL. Pour chaque traitement (formulaire de contact, newsletter, commandes, analytics…), il doit documenter : la finalité, la base légale, les catégories de données collectées, les destinataires, les éventuels transferts hors UE, la durée de conservation et les mesures de sécurité appliquées. La CNIL met à disposition un modèle au format tableur téléchargeable sur son site officiel.

Les droits des personnes constituent le dernier pilier souvent négligé. Tout utilisateur peut demander l’accès à ses données, leur rectification, leur effacement, ou s’opposer à leur traitement. Vous disposez d’un mois pour répondre, gratuitement. Chaque demande doit être documentée. Publiez une adresse email dédiée aux demandes RGPD dans votre politique de confidentialité, et mettez en place un processus interne pour tracer les demandes reçues et les réponses apportées. Pour les sites qui utilisent l’intelligence artificielle dans leur stratégie marketing, les obligations RGPD s’intensifient encore — le sujet est développé en détail sur RGPD et IA marketing.

Checklist RGPD complète pour auditer votre site web point par point

Voici une synthèse opérationnelle des points à vérifier pour évaluer la conformité de votre site. Cette liste couvre les éléments les plus fréquemment contrôlés par la CNIL lors d’un audit en ligne, et constitue un point de départ concret pour toute démarche de mise en conformité.

Cookies, consentement et transparence

• Un bandeau cookies s’affiche dès la première visite, avant tout dépôt de cookie non essentiel
• Les boutons « Tout accepter » et « Tout refuser » sont au même niveau de visibilité et de taille
• Un accès « Personnaliser mes choix » permet un consentement granulaire par catégorie
• Aucun cookie analytique ou publicitaire n’est déposé avant le consentement (vérifiable via les outils développeur du navigateur)
• Le consentement est renouvelé tous les 13 mois maximum
• L’utilisateur peut modifier ses choix à tout moment depuis un lien accessible dans le pied de page
• Une politique de cookies détaillée est accessible depuis le bandeau

Formulaires et collecte des données

• Seuls les champs strictement nécessaires sont marqués comme obligatoires
• Aucune case de consentement n’est pré-cochée
• Les consentements sont séparés par finalité (newsletter distincte des offres partenaires)
• Une mention d’information courte et un lien vers la politique de confidentialité figurent sous chaque formulaire
• Le double opt-in est en place pour les inscriptions newsletter
• La preuve de consentement est conservée avec horodatage et adresse IP

Documentation interne et sous-traitants

• Le registre des traitements est rédigé et mis à jour régulièrement
• Un DPA est signé avec chaque sous-traitant traitant des données personnelles
• Les transferts hors UE sont identifiés et encadrés par des garanties appropriées
• Les durées de conservation sont définies et une purge régulière est effectuée
• Un processus de réponse aux demandes d’exercice des droits est en place et documenté
• Une procédure de notification en cas de violation de données est documentée (délai de 72h pour notifier la CNIL)

Sécurité technique du site WordPress

La sécurité est indissociable de la conformité RGPD. Un site vulnérable expose les données personnelles de ses utilisateurs, ce qui constitue en soi une violation du règlement. Les points de contrôle essentiels incluent :

• Mises à jour régulières de WordPress, des thèmes et des extensions
• Protocoles HTTPS et TLS actifs sur toutes les pages
• Authentification à double facteur (2FA) pour l’accès à l’administration
• Mots de passe robustes (minimum 12 caractères, combinant majuscules, chiffres et caractères spéciaux)
• Sauvegardes régulières et chiffrées
• Extension de sécurité avec pare-feu et scan de malwares
• Limitation du nombre de tentatives de connexion
• En-têtes de sécurité HTTP configurés

Un site sécurisé, c’est un site qui protège ses utilisateurs. Et un site qui protège ses utilisateurs, c’est un site qui inspire confiance — ce qui se traduit directement par de meilleures performances commerciales. La conformité RGPD, bien comprise, n’est pas une contrainte mais un levier de différenciation dans un paysage numérique où la confiance est devenue une denrée rare.