RGPD et site web en 2026 : guide de conformité complet pour les PME

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur en mai 2018. En 2026, il n'est plus une nouveauté — c'est une obligation légale que la CNIL fait respecter avec des sanctions qui peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Et pourtant, la majorité des sites web de PME françaises ne sont pas pleinement conformes. Ce guide pratique vous explique ce que vous devez faire — sans jargon juridique inutile.

Sommaire

Les obligations RGPD pour un site web

Le bandeau cookies : ce qui est obligatoire en 2026

Les mentions légales

La politique de confidentialité

Les formulaires et la collecte de données

Google Analytics et le RGPD

Les risques en cas de non-conformité

Comment auditer votre conformité RGPD

Questions fréquentes

---

1. Les obligations RGPD pour un site web

Le RGPD s'applique à vous dès que votre site collecte des données personnelles de résidents européens. Une donnée personnelle, c'est toute information permettant d'identifier une personne : nom, email, téléphone, adresse IP, cookie d'identification.

Si votre site fait l'une de ces choses, le RGPD s'applique :

Formulaire de contact (nom, email, téléphone)

Newsletter (email)

Compte utilisateur (email, mot de passe, données de profil)

E-commerce (données de livraison, de paiement)

Statistiques via Google Analytics (adresses IP, cookies)

Chat en ligne

Commentaires de blog

En pratique, presque tous les sites web sont concernés.

Les 6 principes fondamentaux du RGPD

Licéité, loyauté, transparence : L'utilisateur doit savoir pourquoi vous collectez ses données

Limitation des finalités : Les données collectées ne servent qu'aux usages déclarés

Minimisation : Vous ne collectez que ce qui est nécessaire

Exactitude : Les données doivent être maintenues à jour

Limitation de la conservation : Vous ne gardez pas les données indéfiniment

Intégrité et confidentialité : Sécurité des données

---

2. Le bandeau cookies : ce qui est obligatoire en 2026

C'est le point où la plupart des sites français sont non conformes. Les recommandations de la CNIL de 2020, confirmées par les lignes directrices de 2022, sont claires mais souvent mal appliquées.

Ce qu'un bandeau cookies conforme doit faire

Afficher les choix de façon équitable :

"Accepter" et "Refuser" doivent être proposés avec la même facilité et visibilité

Il est illégal d'afficher "Accepter" en vert et grand, et "Refuser" en gris et petit

Il est illégal de masquer le bouton "Refuser" ou de le rendre plus difficile d'accès

Permettre un refus simple :

L'utilisateur doit pouvoir refuser d'un clic (pas après 3 sous-menus)

En cas de refus, aucun cookie non essentiel ne doit être déposé

Informer sur les finalités :

Expliquer quels types de cookies sont utilisés (analytique, publicité, fonctionnel)

Donner accès à la liste des sous-traitants (notamment Google si vous utilisez Analytics)

Mémoriser le choix :

Le choix doit être mémorisé pendant 6 mois maximum

Après 6 mois, le bandeau peut réapparaître

Cookies qui ne nécessitent PAS de consentement

Certains cookies "strictement nécessaires" sont exemptés :

Cookies de session (identification d'une session de navigation)

Cookies de panier d'achat e-commerce

Cookies de mémorisation du choix de consentement lui-même

Cookies d'authentification

Les solutions de gestion du consentement (CMP)

Ne codez pas vous-même votre bandeau. Utilisez une solution dédiée :

Ce qu'il ne faut PAS faire :

Un simple bandeau "Ce site utilise des cookies" sans option de refus → illégal

Un bandeau qui dépose des cookies Google Analytics avant le consentement → illégal

Considérer que "continuer à naviguer = consentement" → illégal

---

3. Les mentions légales

En France, les mentions légales sont obligatoires pour tout site web professionnel, que vous soyez une société, un auto-entrepreneur, ou une association.

Ce que doivent contenir vos mentions légales

Pour les entreprises (SARL, SAS, EURL, SA...) :

Raison sociale

Forme juridique

Adresse du siège social

Numéro d'immatriculation (SIREN + RCS ou RM)

Capital social

Numéro de TVA intracommunautaire (si assujetti)

Directeur de la publication (nom du responsable)

Hébergeur (nom, adresse, numéro de téléphone)

Pour les auto-entrepreneurs (micro-entreprises) :

Nom et prénom

Adresse postale (votre adresse professionnelle — vous pouvez utiliser une adresse de domiciliation)

Numéro SIREN

Adresse email

Hébergeur

Pour les professions réglementées :

Numéro d'inscription au registre professionnel

Titre professionnel et organisme délivrant ce titre

Ce que les mentions légales NE remplacent PAS

Les mentions légales ≠ politique de confidentialité ≠ CGV. Ces trois documents sont distincts et tous potentiellement obligatoires.

---

4. La politique de confidentialité

Si votre site collecte des données personnelles (ce qui est quasi universel), une politique de confidentialité est obligatoire.

Ce qu'elle doit couvrir

Qui collecte les données :

Nom, adresse et coordonnées du responsable de traitement (vous ou votre entreprise).

Quelles données sont collectées :

Liste explicite : nom, email, téléphone, adresse IP, données de navigation, etc.

Pourquoi (les finalités) :

Répondre aux demandes de contact, envoyer la newsletter, analyser le trafic, effectuer des transactions.

La base légale de chaque traitement :

Consentement (newsletter, cookies analytiques)

Exécution d'un contrat (données nécessaires à la commande)

Obligation légale (conservation des factures)

Intérêt légitime (sécurité du site, prévention de la fraude)

Durée de conservation :

Combien de temps gardez-vous chaque type de donnée ? 3 ans pour les prospects, 10 ans pour les factures (obligation comptable).

Droits des personnes :

Droit d'accès : demander quelles données vous avez sur eux

Droit de rectification : corriger des données inexactes

Droit à l'effacement ("droit à l'oubli")

Droit à la portabilité : recevoir ses données dans un format lisible

Droit d'opposition au traitement

Comment exercer ces droits :

Email ou formulaire de contact dédié + délai de réponse (1 mois maximum).

Transferts hors UE :

Si vous utilisez des services américains (Google, Facebook, Mailchimp), mentionnez-le et précisez les garanties (clauses contractuelles types, etc.).

Où placer la politique de confidentialité

Lien dans le footer (toutes les pages)

Accessible depuis le bandeau cookies

Lien dans tous les formulaires de collecte ("En soumettant ce formulaire, vous acceptez notre politique de confidentialité")

---

5. Les formulaires et la collecte de données

Ce que chaque formulaire doit avoir

Une case à cocher pour la newsletter :

Pas pré-cochée. Libellé clair : "J'accepte de recevoir la newsletter de [Entreprise]".

Un lien vers la politique de confidentialité :

"En soumettant ce formulaire, vous acceptez notre [politique de confidentialité]"

Une case pour les CGV (e-commerce) :

Obligatoire pour les transactions. Pas pré-cochée.

Ne collectez que le nécessaire :

Si vous n'avez besoin que de l'email pour la newsletter, ne demandez pas le téléphone, l'adresse, et la date de naissance.

Durée de conservation des données de formulaire

Demandes de contact sans suite : 3 ans

Prospects : 3 ans depuis le dernier contact

Clients : 10 ans (obligation comptable)

Newsletter (désinscrits) : supprimez ou conservez uniquement pour blacklister

---

6. Google Analytics et le RGPD

Google Analytics est le sujet le plus épineux du RGPD web en 2026.

Le problème

Google Analytics envoie des données (adresses IP, comportements de navigation) vers des serveurs Google aux États-Unis. L'accord UE-USA sur le transfert de données (Privacy Shield 2.0 / EU-US Data Privacy Framework, adopté en 2023) permet de nouveau ces transferts dans certaines conditions.

Cependant, la configuration de GA4 doit respecter certaines règles :

Configuration conforme de Google Analytics 4

Activation de l'anonymisation IP :

Dans GA4, activez "Réduction des données IP" dans les paramètres de flux de données.

Mode de consentement Google :

Implémentez le Consent Mode v2 (depuis 2024) : Google Analytics ajuste sa collecte selon le choix de l'utilisateur dans votre bandeau cookies.

Désactivation des données de signaux Google :

Dans les paramètres GA4, désactivez "Données de signaux Google" si vous ne faites pas de remarketing.

Ne pas collecter des données inutiles :

GA4 collecte beaucoup de données par défaut. Revoyez les événements collectés et désactivez ce que vous n'utilisez pas.

L'alternative : Matomo (privacy-first)

Matomo est une alternative open source à Google Analytics qui peut être installée sur votre propre serveur. Vos données restent en Europe, sur votre infrastructure. Moins de fonctionnalités avancées que GA4, mais zéro problème RGPD.

---

7. Les risques en cas de non-conformité

Les sanctions de la CNIL

La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité française de contrôle du RGPD. Ses pouvoirs :

Mise en demeure : Délai pour se mettre en conformité (généralement 3 mois)

Amende administrative : Jusqu'à 20 M€ ou 4 % du CA mondial annuel (le plus élevé des deux)

Injonction : Obligation d'arrêter certains traitements

Publication de la sanction : Impact réputationnel

Les cas réels de sanctions en France

La CNIL a sanctionné de grandes entreprises (Google : 150 M€, Facebook : 60 M€) mais aussi des PME :

Des sites e-commerce pour bandeau cookies non conforme : 5 000 à 25 000 €

Des associations pour utilisation de listes email sans consentement : 3 000 €

Pour une PME, les risques principaux ne sont pas les amendes maximales mais :

La publication de la sanction (impact réputationnel)

Le coût de la mise en conformité forcée dans l'urgence

Les litiges clients basés sur la non-conformité RGPD

---

8. Comment auditer votre conformité RGPD

Checklist de conformité RGPD pour un site web

Bandeau cookies :

[ ] Bandeau affiché à la première visite

[ ] Refuser aussi facile qu'accepter

[ ] Aucun cookie non essentiel avant consentement

[ ] Choix mémorisé pendant 6 mois

Documents légaux :

[ ] Mentions légales complètes

[ ] Politique de confidentialité accessible depuis le footer

[ ] CGV (si e-commerce ou prestation de service)

Formulaires :

[ ] Formulaires avec lien vers politique de confidentialité

[ ] Case à cocher newsletter non pré-cochée

[ ] Collecte minimale (pas de données inutiles)

Analytics :

[ ] Google Analytics configuré avec Consent Mode v2

[ ] Anonymisation IP activée

[ ] Outil conforme ou alternative privacy-first

Sécurité :

[ ] Site en HTTPS

[ ] Mots de passe administrateur forts

[ ] Données sensibles chiffrées en base de données

[ ] Sauvegardes régulières

Outils pour tester votre conformité

Cookiebot Scanner : Analyse automatique des cookies déposés par votre site

CNIL Linc : Outil officiel de vérification de la conformité

Privacy Bee Scanner : Détecte les trackers présents sur votre site

---

9. Questions fréquentes

Mon site est très petit, dois-je vraiment être conforme au RGPD ?

Oui. Le RGPD ne prévoit pas d'exception pour la taille de l'entreprise. Cependant, la CNIL priorise les contrôles sur les grandes entreprises et les violations graves. Un site vitrine avec un simple formulaire de contact et un Analytics bien configuré est facile à mettre en conformité.

Puis-je copier la politique de confidentialité d'un concurrent ?

Non. Les politiques de confidentialité reflètent votre situation spécifique (vos traitements, vos sous-traitants). Copier celle d'un autre crée des incohérences légales.

Un générateur de politique de confidentialité en ligne est-il suffisant ?

Pour les sites simples, oui. Des outils comme iubenda ou Termly génèrent des documents conformes pour votre situation. Pour les sites complexes (e-commerce, données sensibles, multi-pays), un conseil juridique spécialisé est recommandé.

Google Analytics est-il toujours illégal sous le RGPD ?

Depuis l'adoption du EU-US Data Privacy Framework en 2023, les transferts de données vers les États-Unis sont de nouveau encadrés légalement. GA4 avec Consent Mode v2 et la configuration correcte est considéré comme conforme par la plupart des DPA européennes, y compris la CNIL.