La CNIL peut sanctionner l'absence de transparence par des amendes atteignant 375 000 euros. Beaucoup d'éditeurs de sites ignorent encore que le simple défilement de page ou une case pré-cochée ne valent pas consentement. Votre site s'expose à des risques juridiques et financiers réels si vous ne pouvez pas prouver comment chaque consentement a été recueilli.
Le RGPD site internet obligations pour 2026 se résume à peu de choses : dire qui collecte quoi et pourquoi, et obtenir un oui que vous pouvez prouver avant de déposer un traceur non essentiel. Certains traceurs échappent au consentement, et quelques documents sont obligatoires quel que soit le site.
RGPD site internet obligations : le cadre légal strict en 2026
La conformité RGPD en 2026 impose d'identifier le responsable de traitement et de fonder chaque traitement sur une base légale, dont le consentement n'est qu'une parmi six. La CNIL sanctionne l'absence de transparence par des amendes atteignant 375 000 euros.
Transparence et information préalable des internautes
Vous devez afficher l'identité complète du responsable de traitement, raison sociale et moyen de contact compris. L'internaute doit savoir qui traite ses données sans avoir à chercher.
Informez avant chaque collecte. Un formulaire de devis dit en une ligne à quoi serviront le nom et l'adresse mail saisis. La CNIL fixe les standards de cette information, et un jargon technique illisible ne les remplit pas.
En cas de doute, les guides pratiques de la CNIL font référence : ce sont eux que l'autorité applique lors d'un contrôle.
Bases légales et recueil du consentement explicite
Identifiez les six bases légales autorisant vos traitements. Le consentement en est une parmi d'autres : l'exécution d'un contrat couvre la commande en ligne, l'intérêt légitime peut couvrir la prospection de clients existants.
Le consentement doit être libre et éclairé. Votre internaute doit agir par une action positive claire. Le silence ou l'inaction ne valent jamais acceptation pour le règlement européen actuel.
Bannissez les cases pré-cochées. Le défilement de page ne vaut pas accord non plus. Chaque choix résulte d'un clic volontaire ; voir aussi les bases légales du traitement rappelées par France Num.
3 types de cookies pour distinguer le nécessaire du superflu
La collecte la moins visible pour l'internaute passe par les cookies et traceurs, et c'est là que la CNIL concentre ses contrôles.
Cookies techniques et mesure d'audience exemptés
Certains traceurs sont strictement nécessaires au fonctionnement du site. Le panier d'achat en est l'exemple type : sans lui, la boutique devient techniquement impossible à utiliser. Même chose pour le cookie de session qui vous garde connecté.
Les statistiques anonymisées profitent aussi d'une dispense. Les données collectées ne doivent pas identifier l'individu. L'outil doit servir uniquement à la mesure de performance.
L'obligation d'informer persiste malgré l'absence de consentement. L'utilisateur doit savoir que ces outils tournent. La transparence reste la règle d'or pour tout éditeur de site.
Consultez la source officielle sur l'exemption de consentement pour certains traceurs selon la CNIL.
Traceurs publicitaires et analytiques sous haute surveillance
Les cookies de ciblage publicitaire subissent des contraintes lourdes. Le pixel Meta ou le tag Google Ads ne se chargent qu'après un accord explicite, jamais au premier affichage de la page. C'est sur ce point précis que sont tombées la plupart des grosses sanctions de ces dernières années.
Une plateforme de gestion du consentement (Tarteaucitron, Axeptio) enregistre les choix des visiteurs, horodatés. En cas de contrôle, c'est ce registre que vous montrez.
Les murs de cookies sont strictement interdits. Bloquer l'accès au contenu pour forcer l'acceptation est illégal. L'accès doit rester libre pour tous.
Mécanismes de refus et retrait simplifié de l'accord
La symétrie entre refus et acceptation est obligatoire. Le bouton "Tout refuser" doit être visible. Ne cachez pas cette option dans des sous-menus complexes ou illisibles.
Le retrait du consentement doit être fluide. L'utilisateur doit pouvoir changer d'avis facilement. Un lien permanent en bas de page est souvent la meilleure solution technique.
Conservez la preuve de chaque choix : date et option retenue. Sans ce registre, un consentement recueilli n'est pas prouvable.
- Bouton Tout refuser au premier niveau
- Lien de gestion des préférences accessible partout
- Registre d'horodatage des consentements
Comment rédiger vos mentions légales sans erreur ?
Les cookies réglés, restent les textes. Les mentions légales et la politique de confidentialité sont obligatoires dès la mise en ligne, quel que soit le site.
Éléments obligatoires pour l'identité de l'éditeur professionnel
L'identification de l'éditeur ne tolère aucune approximation : dénomination, forme juridique, adresse du siège, numéro SIRET ou RCS, adresse mail et numéro de téléphone où l'on vous joint réellement.
L'hébergeur du site doit être identifié. Mentionnez son nom et ses coordonnées complètes. C'est une obligation légale pour l'identification technique.
Le e-commerce impose des règles additionnelles. Les CGV s'ajoutent aux mentions classiques. Soyez précis sur vos tarifs affichés.
Structure d'une politique de protection des données efficace
Définissez vos finalités de traitement. Pourquoi collectez-vous ces noms et emails ? Nommez clairement les destinataires des informations transmises.
Respectez les durées de conservation de la CNIL. Ne stockez rien sans raison. Trois ans pour un prospect est le maximum.
Mentionnez les transferts hors Union Européenne. Précisez les garanties comme les clauses contractuelles types. La protection voyage avec la donnée.
Gestion du registre des traitements pour les PME
Le registre des traitements documente votre conformité interne : quelles données, pour quoi, combien de temps, qui y accède. Il reste interne ; la CNIL le demande au premier contrôle.
Pour une PME, la CNIL propose un modèle de registre simplifié. Un tableur d'une page par traitement suffit.
Un DPO n'est obligatoire que dans quelques cas, par exemple un organisme public ou un suivi régulier de personnes à grande échelle. Les documents ci-dessous, eux, s'imposent à tout site :
| Document | Public visé | Contenu principal | Sanction encourue |
|---|---|---|---|
| Mentions légales | Visiteurs | Identité et hébergeur | Amendes pénales |
| Politique confidentialité | Utilisateurs | Gestion des données | Amendes RGPD |
| CGV | Clients | Tarifs et ventes | Litiges financiers |
| Registre interne | CNIL | Suivi traitements | Défaut de preuve |
Ceci n'est pas un conseil juridique ; pour un cas précis, un avocat tranche. Pour la mise en œuvre technique sur votre site, l'agence JXI à Haguenau répond au 07 70 87 02 03 du lundi au vendredi.
Sécurité des formulaires et droits des internautes
Les textes rédigés, reste la mise en œuvre technique sur les formulaires, là où les droits des utilisateurs s'exercent pour de vrai.
Protocoles HTTPS et conformité des champs de contact
Le protocole HTTPS chiffre vos échanges de données entre le navigateur et le serveur. Un formulaire de contact servi en HTTP envoie le nom et le mail en clair sur le réseau, ce que la CNIL considère comme un défaut de sécurité.
Appliquez strictement le principe de minimisation des données. Ne collectez que le nécessaire. La civilité devient facultative selon les récentes décisions juridiques.
Placez des mentions d'information sous chaque bouton. Une phrase courte rappelant les droits suffit. Elle doit rester visible immédiatement pour l'internaute.
Exercice des droits d'accès et d'effacement
Listez les droits d'accès et d'opposition, la portabilité (le client récupère ses données dans un format lisible) et l'effacement, la demande la plus fréquente en pratique.
Instaurez une procédure de réponse rapide. Vous disposez de trente jours pour agir. Un retard expose votre structure à un signalement auprès de la CNIL.
Définissez clairement les modalités de rectification. L'utilisateur doit pouvoir corriger ses informations stockées. Prévoyez une adresse email dédiée pour ces requêtes.
Conservation limitée et archivage des données collectées
Fixez des règles de purge pour vos prospects inactifs et supprimez les comptes abandonnés après trois ans. Une base qui ne contient que des clients actifs réduit la casse en cas de piratage.
Distinguez l'archivage intermédiaire des obligations fiscales. Gardez les factures pendant dix ans. Séparez ces archives des bases marketing actives pour plus de sécurité.
Sécurisez vos accès administrateur avec la double authentification. La plupart des violations de données que nous voyons sur des sites de PME commencent par un mot de passe faible ou réutilisé.
JXI : votre partenaire alsacien pour la mise en conformité
Tout cela se met en place plus vite quand quelqu'un connaît déjà votre CMS et votre hébergeur.
Expertise locale et accompagnement stratégique à Haguenau
L'agence JXI, 23 rue de l'Apothicaire à Haguenau, met en conformité des sites WordPress et PrestaShop, du bandeau jusqu'au registre. Jérôme Lille y met ses 14 ans de métier au service des PME alsaciennes.
Google Partner depuis 2012, nous concevons des sites et du référencement naturel où la mesure d'audience ne se charge qu'après le consentement.
Nous adaptons nos services aux TPE du Bas-Rhin. Nous parlons votre langage. Contactez-nous au 07 70 87 02 03.
Outils IA pour le support et la visibilité des entreprises
Utilisez conve.re pour automatiser votre support client par IA. Cet agent répond instantanément à vos visiteurs. Il respecte les protocoles de sécurité européens et le cadre du RGPD.
Napwise gère vos fiches Google Business Profile depuis un seul écran et suit votre présence sur Maps et dans les réponses des IA.
Ces outils sont pensés pour des commerçants et artisans d'Alsace qui n'ont ni service informatique ni juriste.
- Agence JXI à Haguenau
- Création de sites et SEO local
- Solutions IA conve.re et Napwise
- Accompagnement TPE/PME en Alsace
La conformité tient à deux choses que l'on peut vérifier en cinq minutes sur n'importe quel site : un bandeau où « Tout refuser » est aussi visible que « Tout accepter », et aucun traceur chargé avant le clic. Le reste, mentions légales, politique de confidentialité, CGV, registre, se rédige une fois et se relit chaque année. Respecter le RGPD sur votre site internet et ses obligations vous évite surtout d'avoir à répondre à la CNIL dans l'urgence.