Guide pratique — RGPD et données personnelles
Oui — dès que votre site collecte la moindre donnée personnelle, et un simple formulaire de contact suffit à déclencher l'obligation. Qui est concerné, ce que le RGPD exige qu'elle contienne, où la publier, et ce que risquent ceux qui s'en passent.
La politique de confidentialité est obligatoire dès que votre site traite une donnée personnelle : formulaire de contact, newsletter, comptes clients, commandes, commentaires, ou même simples traceurs tiers. Elle découle des articles 12 et 13 du RGPD, qui imposent d'informer les personnes au moment de la collecte. Elle doit être publiée sur une page dédiée, accessible depuis toutes les pages du site, et rappelée au point de collecte. Ce n'est pas la même chose que les mentions légales : les deux documents sont obligatoires, et l'un ne remplace pas l'autre.
La règle vient des articles 12 et 13 du RGPD (règlement européen 2016/679). Le principe : toute personne dont vous collectez des données personnelles doit être informée, au moment de la collecte, de ce que vous en faites — qui vous êtes, pourquoi vous collectez, combien de temps vous gardez, quels droits elle peut exercer. Cette information doit être « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ».
La politique de confidentialité est la forme concrète que prend cette obligation sur un site web : une page qui regroupe toutes ces informations, complétée par un rappel court au moment précis de la collecte (sous le formulaire, à l'inscription à la newsletter).
Le point que beaucoup de TPE ignorent : il n'y a pas de seuil minimum. Pas besoin d'une boutique en ligne ni d'une base de clients conséquente. Dès que votre site comporte un formulaire de contact qui collecte un nom et une adresse e-mail, vous traitez des données personnelles et l'obligation s'applique. La taille de l'entreprise ne change rien : le RGPD s'impose à l'auto-entrepreneur comme à la PME de 200 salariés.
Vous devez publier une politique de confidentialité dès que votre site comporte l'un de ces éléments :
À l'inverse, le seul site qui peut s'en passer est un site purement statique : aucune collecte, aucun traceur non essentiel, aucun contenu tiers. C'est rare en pratique — la plupart des sites « vitrines » ont au minimum un formulaire de contact. Pour vérifier ce que votre site collecte réellement, le plus simple est de le scanner : notre analyse gratuite repère formulaires, traceurs et contenus tiers, et contrôle la présence de la politique de confidentialité au passage.
L'article 13 du RGPD liste les informations obligatoires. Concrètement, votre page doit indiquer :
Exigence transversale : la politique doit décrire vos traitements réels. Un texte générique recopié qui mentionne des outils que vous n'utilisez pas — ou omet ceux que vous utilisez — est une information inexacte, donc non conforme au principe de loyauté et de transparence. Pour voir à quoi ressemble un document structuré, consultez notre exemple de politique de confidentialité commenté — ou notre propre politique de confidentialité, générée par le kit sur ce site même.
Le RGPD exige que l'information soit « aisément accessible ». En pratique, trois règles simples suffisent :
/politique-de-confidentialite/), pas enfouie au milieu des CGU ou des mentions légales.Deux pièges fréquents : mettre la politique uniquement dans un PDF téléchargeable (inaccessible au sens du RGPD), et l'oublier sur les pages sans formulaire alors qu'un traceur tiers y collecte des données de navigation.
La confusion est fréquente, et compréhensible : les deux sont des pages obligatoires, souvent voisines en pied de page. Mais elles répondent à deux lois différentes et ne sont pas interchangeables :
Conséquence pratique : un site vitrine peut théoriquement échapper à la politique de confidentialité (aucune collecte), mais jamais aux mentions légales dès qu'il s'agit d'un site professionnel. Et dès le premier formulaire, il faut les deux. Les auto-entrepreneurs, qui se sentent souvent trop petits pour être concernés, le sont sur les deux tableaux — voir notre guide mentions légales pour auto-entrepreneur.
Le manquement à l'obligation d'information (articles 12 et 13) relève du premier niveau de sanctions de l'article 83 du RGPD : une amende administrative pouvant atteindre 2 % du chiffre d'affaires mondial annuel ou 10 millions d'euros (le montant le plus élevé). Le plafond général du RGPD, pour les manquements les plus graves, monte à 4 % du chiffre d'affaires ou 20 millions d'euros.
Ces plafonds visent en pratique les grandes entreprises. Pour une TPE, le déroulé réaliste d'un dossier CNIL est : une plainte de visiteur ou de client (chaque personne concernée peut saisir la CNIL, c'est gratuit), un contrôle, un rappel à l'ordre ou une mise en demeure publique — la CNIL nomme l'entreprise dans ses communiqués —, puis une amende si les manquements persistent. La protection des données figure parmi les priorités de contrôle récurrentes de la CNIL, y compris sur des sites de petite taille, et les thématiques de contrôle sont annoncées chaque année.
Au-delà de la sanction, l'absence de politique de confidentialité a des coûts concrets : formulaires refusés par certains prestataires, partenariats ou campagnes publicitaires bloqués faute de preuve de conformité, et une confiance clients qui s'érode quand la page « Confidentialité » du pied de page mène nulle part.
Références : règlement (UE) 2016/679, articles 12, 13 et 83 ; site de la CNIL (cnil.fr), priorités de contrôle annuelles.
La démarche tient en trois étapes :
C'est exactement ce que livre le kit MonKitLégal : notre scan gratuit dresse l'inventaire de votre site, puis le kit à 9 € génère une politique de confidentialité pré-remplie — votre entreprise est identifiée automatiquement via la base SIRENE (dénomination, SIRET, adresse), et les traitements détectés par le scan sont déjà décrits. Mentions légales, CGU/CGV, bandeau cookies conforme CNIL et registre des traitements sont inclus dans le même prix : le socle complet, pas un seul document.
Souvent oui, même sans formulaire. Si votre site dépose des cookies de mesure d'audience ou embarque des contenus tiers (vidéo YouTube, Google Maps, boutons de réseaux sociaux), des données personnelles sont traitées — adresse IP, identifiants de navigation — et l'obligation d'information s'applique. Un site purement statique, sans formulaire, sans cookies non essentiels et sans contenu tiers, est le seul cas qui peut légitimement s'en passer. Ce cas est rare en pratique : un scan du site permet de vérifier ce qui est réellement collecté.
Un modèle peut servir de base, mais il est rarement suffisant tel quel. La politique de confidentialité doit décrire vos traitements réels : vos outils, vos finalités, vos durées de conservation, vos sous-traitants. Un modèle générique qui mentionne des outils que vous n'utilisez pas — ou pire, qui omet ceux que vous utilisez — est une information inexacte, donc non conforme à l'exigence de loyauté et de transparence du RGPD. Le modèle est un point de départ, la personnalisation est l'obligation.
Ce sont deux documents différents et complémentaires. La politique de confidentialité est publique : elle informe vos visiteurs et clients (articles 12 et 13 du RGPD). Le registre des traitements (article 30) est un document interne qui cartographie vos traitements : finalités, catégories de données, durées, destinataires, mesures de sécurité. Il n'est pas publié mais doit pouvoir être présenté à la CNIL en cas de contrôle. La dispense prévue pour les petites organisations ne s'applique qu'aux traitements occasionnels sans données sensibles — le fichier clients d'une entreprise, traitement régulier par nature, entre dans le registre.
Le RGPD s'applique à tout traitement de données personnelles par un professionnel, sans seuil de taille ni de chiffre d'affaires : une micro-entreprise est concernée comme une PME. En pratique, le risque principal est un contrôle de la CNIL à la suite d'une plainte (client, concurrent, visiteur), pouvant aboutir à un rappel à l'ordre ou une mise en demeure publique, puis une amende en cas de manquements persistants. Au-delà du risque de sanction, l'absence de politique de confidentialité fragilise la confiance des clients et peut bloquer des partenariats ou l'ouverture d'un compte auprès d'outils professionnels qui l'exigent.
Non. Ce sont deux obligations distinctes. La politique de confidentialité informe sur l'ensemble de vos traitements de données personnelles (formulaires, newsletter, commandes…). Le bandeau cookies, lui, sert à recueillir le consentement du visiteur avant le dépôt de traceurs non essentiels — une exigence de l'article 82 de la loi Informatique et Libertés. Une page de politique de confidentialité, même complète sur les cookies, ne dispense pas du bandeau de consentement dès que votre site dépose des traceurs comme Google Analytics ou une vidéo YouTube embarquée.
Le scan gratuit inventorie formulaires, traceurs et contenus tiers en 2 minutes. Le kit à 9 € génère ensuite la politique de confidentialité pré-remplie via la base SIRENE — avec mentions légales, CGU/CGV, bandeau cookies et registre inclus.
Analyser mon site gratuitement