Le RGPD sur un site de commerce :
trois endroits, pas trente.
Un site de commerce traite des données personnelles à trois endroits seulement : le formulaire qui reçoit un nom, les traceurs déposés avant tout choix du visiteur, et les pages qui doivent dire qui édite le site et ce qu'il fait des données. Tout le reste du RGPD se joue ailleurs, dans vos contrats et vos process. Voici ce qu'on regarde sur ces trois endroits, et ce qu'on ne regarde pas.
Vos visiteurs sont profilés avant d'avoir dit oui
C'est le manquement le plus fréquent, et le plus simple à constater : on ouvre la page d'accueil d'un site, sans toucher au bandeau, et on regarde quels traceurs sont déjà partis. Si une mesure d'audience ou un pixel publicitaire se déclenche avant le choix du visiteur, le consentement n'existe pas — et un bandeau qui ne permet que d'accepter n'en est pas un.
Cookies et traceurs
Les traceurs déposés à la première page, avant tout choix, et leurs drapeaux de protection. Refuser doit être aussi simple qu'accepter.
Ce que ça change pour vous : un visiteur qui comprend qu'il est traqué sans base légale vous associe à la méfiance, pas à la sécurité.
Mentions légales et confidentialité
La page de mentions légales et les champs qui identifient l'éditeur, la politique de confidentialité et les rubriques qu'elle doit couvrir : finalités, durées, destinataires, droits, contact.
Ce que ça change pour vous : un client attentif ouvre cette page avant de commander. Une page à trous se voit tout de suite.
L'information au moment où vous collectez
Ce que le visiteur lit au moment précis où il remplit un formulaire : à quoi sert sa donnée, qui la reçoit, combien de temps elle est gardée. C'est distinct de la politique de confidentialité, et c'est souvent absent.
Ce qu'on ne fait pas, et qu'on préfère écrire
Pas d'avis juridique
Nous ne sommes pas juristes et nous ne le prétendons pas. Nous constatons ce qui est présent ou absent sur vos pages publiques, à une date, et nous écrivons la correction à demander.
Pas de certification
Personne ne certifie un site conforme en une heure. La conformité s'apprécie sur l'ensemble d'une organisation et dans la durée. Un dossier daté n'est pas une attestation.
Pas de registre, pas de DPO
Le registre des traitements, l'analyse d'impact et la désignation d'un délégué relèvent d'un autre travail, plus large que vos pages web. Nous vous le disons quand c'est nécessaire.
Les textes, si vous voulez lire la source
Trois textes suffisent à comprendre ce qui est demandé à un site de commerce : le règlement général sur la protection des données (règlement UE 2016/679), les lignes directrices de la CNIL sur les cookies et autres traceurs, et la loi pour la confiance dans l'économie numérique pour l'identification de l'éditeur d'un site professionnel. Les trois sont publics et gratuits.
Nous ne recopions pas ces textes : nous les traduisons en constats vérifiables sur vos pages, avec l'adresse mesurée et l'heure du relevé.
Vous êtes à Lyon ou dans le Rhône ? Voir la page conformité RGPD à Lyon.
Trois questions qu'on nous pose
Mon site n'a pas de boutique en ligne, le RGPD me concerne quand même ?
Oui, dès qu'un formulaire reçoit un nom, une adresse ou un numéro. Un simple formulaire de contact suffit à faire de vous un responsable de traitement.
Un bandeau de cookies suffit-il ?
Pas s'il ne propose que d'accepter. Refuser doit être aussi simple qu'accepter, et aucun traceur ne doit être déposé avant le choix.
Vous me certifiez conforme après votre passage ?
Non, et personne ne le fait en une heure. Nous constatons, nous datons, nous écrivons les corrections. La conformité se juge sur un ensemble, pas sur une page.
Page par page, dans un dossier daté.
Douze contrôles sur les pages publiques de votre site, 100 €, sous 24 à 48 heures ouvrées. Sans frais si tout est en ordre.