RGPD et site internet : le strict nécessaire pour une petite entreprise

Younes K.Développeur web freelance

Je crée des sites internet, des boutiques en ligne et des applications sur mesure pour les entreprises.

Publié le 16 août 2026

Voir mes créations →

Le RGPD traîne une réputation détestable chez les petites entreprises : un texte européen interminable, des amendes en millions d’euros dans la presse, et des démarcheurs qui appellent pour vendre une « mise en conformité obligatoire » à prix fort. Résultat, beaucoup de dirigeants oscillent entre deux attitudes — la peur de mal faire, ou l’abandon pur et simple. Aucune des deux n’est justifiée.

Je crée des sites internet pour des petites entreprises, et la question revient dans presque tous les projets : « et pour le RGPD, on fait quoi ? ». La réponse honnête : pour un site vitrine ou une petite boutique, l’essentiel tient en quatre points, se met en place en quelques heures et ne demande ni juriste ni logiciel payant. Voici ce qui est vraiment obligatoire, ce qui ne l’est pas, et dans quel ordre s’y mettre.

Le RGPD en une minute, sans jargon

Le RGPD encadre l’usage des données personnelles : toute information qui permet d’identifier quelqu’un — un nom, une adresse e-mail, un numéro de téléphone. Dès que votre site a un formulaire de contact ou un outil de statistiques, vous êtes concerné. Mais les obligations sont proportionnées : un site de cinq pages qui reçoit trois messages par semaine n’a pas les devoirs d’un réseau social.

Tout le texte se résume en quatre idées : ne collectez que ce dont vous avez besoin, dites clairement ce que vous en faites, protégez ce que vous gardez, et supprimez quand on vous le demande. Chacune des obligations qui suivent découle de l’une de ces quatre idées — si vous les gardez en tête, vous avez compris l’essentiel.

Ce qui est vraiment obligatoire sur votre site

Les mentions légales

Une page qui dit qui est derrière le site : votre nom ou celui de votre société, votre numéro SIRET, un moyen de vous contacter, et le nom de l’entreprise qui héberge le site. Elles ne viennent pas du RGPD mais d’une autre loi française — peu importe : elles sont obligatoires sur tout site professionnel, elles se rédigent en trente minutes, et leur absence vous met en tort avant même de parler de données.

Le formulaire de contact

La règle est simple : ne demandez que ce qui sert à répondre. Un nom, un e-mail ou un téléphone, un message — c’est tout. La date de naissance ou l’adresse postale n’ont rien à faire dans un formulaire de contact. Ajoutez sous le formulaire une phrase d’information du type : « Ces informations servent uniquement à répondre à votre demande. Elles ne sont jamais transmises à des tiers, et vous pouvez en demander la suppression à tout moment. » C’est court, honnête, et c’est exactement ce que demande le texte.

La page de politique de confidentialité

Une page en français courant qui répond à cinq questions : quelles informations le site collecte, pourquoi, combien de temps vous les gardez, qui y a accès, et comment on peut vous demander de les consulter ou de les supprimer. Pour un site vitrine, tout tient sur une page. Inutile de recopier un modèle de vingt paragraphes trouvé en ligne et truffé de mentions qui ne vous concernent pas : une politique courte et vraie vaut mieux qu’une politique longue et fausse.

Le bandeau cookies — seulement si vous en avez besoin

C’est le point le plus mal compris. Le bandeau n’est pas obligatoire sur tous les sites : il ne l’est que si votre site dépose des traceurs qui demandent un consentement — outils publicitaires, boutons de réseaux sociaux, certaines vidéos intégrées, statistiques qui suivent les visiteurs d’un site à l’autre. Un site vitrine sans tout ça n’a pas besoin de bandeau. Et certains outils de statistiques, réglés pour rester anonymes, peuvent s’en passer aussi. La meilleure mise en conformité est souvent de retirer les traceurs inutiles plutôt que d’ajouter un bandeau.

Si vous en gardez, trois règles : refuser doit être aussi facile qu’accepter (un bouton « refuser » visible, pas un lien gris caché), aucune case pré-cochée, et le site doit fonctionner normalement pour ceux qui refusent. « Continuer à naviguer vaut accord » n’est pas un consentement valable.

Ce qu’on vous présente comme obligatoire… et qui ne l’est pas

Autour du RGPD s’est développé un petit commerce de la peur. Voici ce qu’on vous facturera volontiers comme indispensable, et qui ne l’est presque jamais pour une petite entreprise :

• Un bandeau cookies sur tous les sites. Faux : sans traceur soumis à consentement, pas de bandeau — et un bandeau posé « au cas où » dégrade l’accueil de vos visiteurs pour rien.
• Un délégué à la protection des données. Cette fonction n’est obligatoire que dans des cas précis — traitement de données sensibles ou à grande échelle — qui ne concernent pas un site vitrine ou une petite boutique.
• Une certification ou un logo « site conforme RGPD ». Aucun label officiel de ce type n’existe : un badge acheté ne prouve rien et ne protège de rien.
• Un logiciel payant de gestion du consentement. Si votre site n’a pas de traceur, vous n’en avez pas besoin ; s’il en a, des solutions gratuites et conformes existent.
• Les appels « mise en conformité obligatoire sous peine d’amende, signez aujourd’hui ». La CNIL — l’autorité française chargée du sujet — met elle-même en garde contre ces démarchages. Aucune obligation ne se règle dans l’urgence au téléphone : ne signez rien.

Les habitudes qui vous protègent vraiment

Une fois les pages en place, la conformité se joue dans quelques habitudes simples — ce sont elles qui comptent le jour où quelqu’un pose une question :

• Ne collectez que le nécessaire, partout : formulaire, devis, fichier client. Une donnée que vous n’avez pas est une donnée que vous n’avez ni à protéger ni à justifier.
• Newsletter : uniquement des gens qui l’ont demandée, par une case à cocher volontairement — jamais pré-cochée — et avec un lien de désinscription qui marche. N’achetez jamais de fichiers d’adresses : les destinataires n’ont rien demandé, et c’est votre nom qui apparaît en haut du message.
• Vérifiez le petit cadenas dans la barre d’adresse et gardez votre site à jour : le RGPD impose de protéger les données, et un site à l’abandon qui se fait pirater avec les coordonnées de ses clients est le vrai scénario noir — bien plus probable qu’un contrôle surprise.
• Sachez répondre à « supprimez mes données » : où sont-elles ? Boîte e-mail, outil de devis, fichier client… Si vous savez répondre à cette question en cinq minutes, vous êtes déjà plus en règle que la plupart.
• Tenez un registre simplifié : un document qui liste ce que vous collectez, pourquoi et combien de temps. La CNIL fournit un modèle gratuit pensé pour les petites structures ; pour un site vitrine, une heure suffit, une bonne fois pour toutes.

À lire aussi Maintenance d’un site internet : les mises à jour et sauvegardes qui évitent le piratage, et ce qu’un contrat doit couvrir.

Que risque vraiment une petite entreprise ?

Parlons franchement, parce que c’est là-dessus que joue le commerce de la peur. Les contrôles visant les petites structures partent le plus souvent d’une plainte — un client mécontent, un salarié en conflit, un concurrent. Et la réponse est graduée : rappel à l’ordre, demande de mise en conformité avec un délai, et l’amende en dernier recours. Les sanctions record que cite la presse visent des géants du numérique, pas des artisans.

Le vrai risque quotidien est ailleurs : la confiance. Un site sans mentions légales, un formulaire qui réclame dix informations, une newsletter qui arrive sans qu’on l’ait demandée — chacun de ces détails fait fuir des clients sans qu’aucune autorité s’en mêle. Et le jour où un différend survient, un site en règle est un souci de moins. Quelques heures de travail, en somme, pour une assurance très bon marché.

Se mettre en règle : la liste dans l’ordre

1. Écrivez ou complétez vos mentions légales : identité, SIRET, contact, hébergeur.
2. Passez votre formulaire de contact en revue : supprimez les champs inutiles, ajoutez la phrase d’information.
3. Rédigez la page de politique de confidentialité — une page, en français courant.
4. Faites l’inventaire de ce que votre site embarque : statistiques, vidéos, boutons de réseaux sociaux. Retirez ce qui ne sert pas ; ne gardez un bandeau cookies que si un traceur l’exige.
5. Réglez la newsletter : inscription volontaire, case non pré-cochée, désinscription en un clic.
6. Remplissez le registre simplifié de la CNIL et rangez-le avec vos papiers d’entreprise.

Et si vous faites créer ou refondre votre site, exigez que tout cela figure noir sur blanc dans le devis : mentions légales, page de confidentialité, formulaire réduit au nécessaire, gestion des cookies. Ces éléments doivent être livrés avec le site, pas facturés après coup comme une option découverte en cours de route.

À lire aussi Devis de site internet : les 7 postes qui doivent y figurer ligne par ligne — la conformité en fait partie.

Comment je peux vous aider

Sur les sites que je livre, les points de cet article sont inclus d’office : mentions légales complètes, page de confidentialité rédigée en français courant, formulaire réduit au nécessaire avec sa phrase d’information, et un passage en revue des traceurs pour ne poser un bandeau que s’il est réellement requis. Concrètement, je réalise :

• des sites vitrines, livrés avec leurs pages légales rédigées ;
• des boutiques en ligne, avec les pages légales adaptées à la vente ;
• des applications et des outils sur mesure ;
• la refonte d’un site existant — l’occasion naturelle de se mettre en règle au passage ;
• la maintenance, pour que le site reste à jour, sauvegardé et en règle dans la durée.

Pour voir à quoi ressemblent ces sites une fois en ligne, le plus simple est de regarder ce qui existe déjà.

La preuve par l’exemple : voir mes réalisations

Un doute sur la mise en règle de votre site ? Parlons-en, le premier échange est gratuit

Questions fréquentes

En résumé

Pour un site de petite entreprise, le strict nécessaire tient en quatre points : des mentions légales complètes, un formulaire qui ne demande que l’utile avec sa phrase d’information, une page de confidentialité courte et vraie, et un bandeau cookies seulement si un traceur l’exige. Ajoutez le registre simplifié de la CNIL, une newsletter réellement volontaire et un site maintenu à jour, et vous êtes en règle — sans juriste, sans logiciel payant, et sans rien signer au téléphone. Méfiez-vous de ceux qui vous vendent la peur : le RGPD demande surtout du bon sens, écrit noir sur blanc.