RGPD e-commerce : le minimum réellement contrôlé
Kévin Papot, Directeur de la publication · publié le · 9 min
Le règlement général sur la protection des données compte près d'une centaine d'articles, et il n'est pas raisonnable d'attendre d'une boutique de taille moyenne qu'elle les maîtrise tous. Les contrôles de la CNIL et les plaintes des consommateurs visent en revanche toujours les mêmes sujets. C'est par eux qu'il faut commencer.
1. Les cookies : le premier motif de sanction
C’est le point le plus visible, donc le plus contrôlé. Les règles établies par la CNIL sont claires.
Pas de dépôt avant consentement pour les traceurs qui ne sont pas strictement nécessaires : mesure d’audience non exemptée, publicité, réseaux sociaux. Charger une balise publicitaire avant que le visiteur ait cliqué sur le bandeau est une infraction, quel que soit le texte du bandeau.
Refuser doit être aussi simple qu’accepter. Un bouton « Tout accepter » bien visible et un refus caché derrière « Paramétrer » ne sont pas conformes. Les deux choix doivent être au même niveau.
Le choix doit être conservé et révisable. Le visiteur doit pouvoir changer d’avis facilement, par exemple par un lien permanent en pied de page.
| Traceur | Consentement requis |
|---|---|
| Panier, session, sécurité | Non, strictement nécessaire |
| Mémorisation du choix de consentement | Non |
| Mesure d'audience configurée selon les conditions d'exemption de la CNIL | Non, sous conditions strictes |
| Mesure d'audience standard | Oui dans la plupart des configurations |
| Publicité, reciblage, pixels de réseaux sociaux | Oui |
Le test est à la portée de tous : ouvrez votre site en navigation privée, ne cliquez sur rien, et regardez dans les outils du navigateur quelles requêtes partent vers des régies publicitaires. S’il y en a, vous n’êtes pas conforme.
2. La prospection par e-mail
Deux régimes coexistent, et la confusion entre les deux est fréquente.
Vers un client existant, vous pouvez envoyer des offres pour des produits ou services analogues à ceux qu’il a achetés, à condition qu’il ait été informé et ait pu s’y opposer au moment de la collecte de son adresse, puis dans chaque message.
Vers un prospect, c’est-à-dire quelqu’un qui n’a jamais acheté, il faut un consentement préalable, libre et explicite. Une case précochée ne vaut pas consentement. L’achat de fichiers d’adresses dont on ne peut prouver l’origine du consentement est une source classique de sanction.
Dans tous les cas, chaque message doit contenir un moyen simple et effectif de se désinscrire, et la désinscription doit être prise en compte rapidement.
3. Les durées de conservation
Garder toutes les données de tous les clients indéfiniment est l’erreur la plus répandue, et elle est facile à constater lors d’un contrôle.
Quelques repères issus des recommandations de la CNIL : les données d’un prospect qui ne répond plus peuvent être conservées pendant trois ans à compter du dernier contact émanant de lui ; les données nécessaires à la gestion de la relation client le sont pendant la durée de celle-ci ; les pièces comptables relèvent de leurs propres obligations légales, plus longues.
Les données de carte bancaire obéissent à des règles strictes : elles ne sont pas conservées au-delà de la transaction sans l’accord du client, et le cryptogramme visuel ne doit jamais être stocké. Si votre prestataire de paiement les gère entièrement, vous ne les voyez pas, ce qui est la meilleure situation.
Ce que l'exploitation nous a appris. Sur nos boutiques de métaux précieux, les obligations de vigilance imposent de collecter et de conserver certaines informations d'identité pour des achats d'un montant significatif. Nous avons dû articuler ces obligations avec le principe de minimisation du RGPD : conserver ce qui est exigé, pour la durée exigée, et rien de plus. La leçon vaut pour toute boutique : une obligation légale de conserver une donnée ne vaut pas autorisation de la conserver pour autre chose, ni plus longtemps.
4. Les sous-traitants
Votre plateforme, votre outil d’e-mailing, votre logisticien, votre outil de support client traitent des données personnelles pour votre compte. Le RGPD exige un contrat encadrant ce traitement avec chacun d’eux. La plupart des éditeurs sérieux proposent un accord de traitement des données standard : il faut simplement vérifier qu’il existe et l’avoir accepté.
Attention aux outils qui transfèrent les données hors de l’Union européenne : leur utilisation doit reposer sur un mécanisme de transfert valable, que l’éditeur doit être en mesure de documenter.
5. L’information et les droits des clients
Une politique de confidentialité lisible, qui dit ce qui est collecté, pourquoi, combien de temps, avec qui c’est partagé, et comment exercer ses droits. Et un circuit interne pour répondre aux demandes d’accès, de rectification ou d’effacement dans le délai prévu, en principe un mois.
6. Le registre et les violations de données
Le registre des traitements liste vos traitements de données. Pour une boutique, il tient en quelques lignes : gestion des commandes, relation client, prospection, mesure d’audience, recrutement le cas échéant.
En cas de violation de données, piratage de la base clients ou envoi d’un fichier au mauvais destinataire, la notification à la CNIL doit intervenir dans les 72 heures lorsque la violation présente un risque pour les personnes. Préparez le circuit avant d’en avoir besoin.
Un avis franc. Si vous ne deviez faire qu'une chose cette semaine, faites le test des cookies en navigation privée. C'est le point le plus contrôlé, le plus facile à vérifier de l'extérieur, et souvent le plus simple à corriger. Le reste se traite ensuite, dans l'ordre de cette liste.
Sujets voisins : le droit de rétractation et ses exceptions et la facturation électronique en 2026. Nous vérifions ces points lors de chaque refonte de site e-commerce.
Un projet de boutique en ligne ? Nous concevons des sites e-commerce et nous exploitons les nôtres. Décrivez-nous votre projet, réponse sous 48 heures.