Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur en mai 2018 et s'applique à toute organisation qui traite des données personnelles de résidents européens, quelle que soit sa taille ou son lieu d'établissement. Les sanctions en cas de manquement peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. La CNIL a prononcé 42 décisions de sanction en 2023 pour un montant total de 89 millions d'euros, et son bilan publié en février 2026 fait état de 83 sanctions en 2025 pour 486 839 500 euros cumulés : les PME ne sont pas à l'abri, même si les montants sont proportionnés à leur taille.
Les obligations concrètes pour un site web
Les obligations de conformité RGPD pour un site web se résument à cinq points essentiels. Un bandeau de consentement aux cookies conforme aux lignes directrices de la CNIL, ajustées le 17 septembre 2020 : le refus doit être aussi facile que l'acceptation (un bouton « Tout refuser » au même niveau que « Tout accepter »), le consentement granulaire par finalité est obligatoire (analytics séparé de la publicité), et un lien de retrait du consentement doit être accessible depuis toutes les pages. Une politique de confidentialité détaillée, accessible depuis le pied de page de toutes les pages, qui liste les données collectées, leur finalité, leur durée de conservation et les droits des utilisateurs (accès, rectification, effacement, portabilité, opposition). Des formulaires de contact avec cases à cocher distinctes pour chaque finalité de traitement. Un registre des activités de traitement tenu à jour même pour les petites structures. La désignation d'un référent RGPD interne ou d'un DPO externe si vos traitements sont sensibles ou à grande échelle.
Protéger les données et gérer les droits
Pour protéger les données personnelles de vos utilisateurs, appliquez le principe de minimisation : ne collectez que ce dont vous avez réellement besoin pour la finalité déclarée. Si un formulaire de contact demande le numéro de téléphone alors que vous ne les rappelez jamais, supprimez ce champ. Définissez ensuite des durées de conservation précises et supprimez automatiquement les données qui dépassent ces délais.
Combien de temps garder chaque donnée ?
- Prospects : 3 ans, comptés à partir de la collecte ou du dernier contact venant du prospect (un clic dans un courriel, une demande de documentation). La simple ouverture d'un courriel ne relance pas le délai.
- Clients utilisés pour la prospection : pendant la relation commerciale, puis 3 ans après sa fin.
- Données de facturation : dix ans, en archivage intermédiaire séparé de la base active, en raison du Code de commerce, y compris quand la personne n'est plus cliente.
Vérifiez que vos prestataires numériques sont eux-mêmes conformes RGPD : hébergeur (contrat de sous-traitance signé, serveurs en Europe de préférence), outil d'emailing (Brevo, Mailchimp ont des certifications ISO 27001), CRM et solution de paiement. La responsabilité du responsable de traitement s'étend aux sous-traitants, vous êtes juridiquement responsable si l'un d'eux ne respecte pas les données que vous lui confiez.
Sécurité : le volet souvent oublié
Le RGPD impose aussi de protéger techniquement les données que vous détenez, et Cybermalveillance.gouv.fr signale une forte hausse des demandes d'assistance pour violation de données en 2025. Mots de passe robustes, mises à jour du CMS, sauvegardes chiffrées et accès limités aux seules personnes qui en ont besoin font partie des mesures attendues ; notre guide sur la cybersécurité d'un site et de ses données en ligne détaille ces protections. Yed.fr vous accompagne dans cet audit de conformité pour sécuriser votre relation avec vos clients.
