RGPD et site web d'entreprise : par où commencer, concrètement

Le RGPD a huit ans et reste, pour beaucoup de PME, un mélange de bannières cookies subies et d'inquiétude diffuse. Cet article remet les priorités dans l'ordre pour un site web d'entreprise typique — vitrine, formulaires, peut-être une newsletter et un espace client. Précision d'honnêteté : nous sommes ingénieurs, pas juristes ; ce qui suit est le volet opérationnel, pas un avis juridique, et les cas sensibles (données de santé, mineurs, gros volumes) méritent un professionnel du droit.

Le principe qui simplifie tout

Le RGPD tient en une logique : vous ne collectez que ce dont vous avez besoin, pour un usage annoncé, pendant une durée définie, et la personne garde la main. La plupart des obligations en découlent mécaniquement. L'approche la plus rentable n'est donc pas d'habiller l'existant de mentions légales, mais de réduire l'existant : chaque donnée non collectée est une obligation en moins.

Étape 1 — L'inventaire (une heure qui éclaire tout)

Listez les endroits où votre site touche des données personnelles : formulaires (contact, devis, inscription), newsletter, analytics, espace client, et — souvent oublié — les outils tiers embarqués : polices hébergées ailleurs, vidéos intégrées, chat, boutons sociaux, CDN. Chacun de ces tiers reçoit au minimum l'adresse IP de vos visiteurs ; certains déposent des traceurs.

Pour chaque point : quelles données, pour quoi faire, où sont-elles stockées (UE ou non), qui y accède, combien de temps. Ce tableau est l'embryon de votre registre des traitements — obligatoire, et bien moins effrayant qu'annoncé à l'échelle d'un site de PME.

Étape 2 — Les formulaires, premier chantier visible

Les règles concrètes pour un formulaire de contact ou de devis :

• Minimisation : chaque champ doit se justifier. Le téléphone est-il nécessaire pour répondre à un message ? La date de naissance, franchement ?
• Information au moment de la collecte : une phrase claire sous le formulaire — qui traite les données, pour quoi, combien de temps — et un lien vers la politique de confidentialité. Pas de case pré-cochée ; et pour un simple formulaire de contact, répondre à la demande est un intérêt légitime qui n'exige pas de consentement supplémentaire — la case à cocher s'impose en revanche pour tout usage additionnel (newsletter, prospection).
• Sécurité de transport et de stockage : HTTPS partout, et une vraie réflexion sur qui reçoit ces messages (une boîte mail partagée consultée par toute l'entreprise est un accès non maîtrisé).

Étape 3 — Cookies et mesure d'audience

La règle : les traceurs non essentiels exigent un consentement préalable et libre — refuser doit être aussi simple qu'accepter. D'où deux stratégies assumables :

1. La sobriété : pas de traceur tiers du tout. Une mesure d'audience configurée pour être exemptée de consentement (c'est possible, la CNIL documente les conditions) ou auto-hébergée et respectueuse — et aucune bannière à afficher. C'est notre choix sur ce site : moins de bannière, moins de juridique, pages plus rapides. Il se paie en finesse de données marketing.
2. L'outillage : si la publicité ciblée ou le remarketing font partie de votre modèle, il vous faut une plateforme de gestion du consentement sérieuse, configurée pour bloquer les tags avant consentement — et l'assumer.

Le pire des mondes est l'entre-deux courant : une bannière décorative qui dépose les traceurs quoi qu'on réponde. C'est précisément ce que les autorités contrôlent le plus facilement, de l'extérieur.

Étape 4 — Sous-traitants, durées, droits

• Sous-traitants : hébergeur, emailing, CRM, analytics — chacun doit présenter des garanties RGPD (un accord de traitement des données, standard chez tout fournisseur sérieux). Les transferts hors UE méritent une attention particulière ; à service égal, un prestataire européen simplifie votre dossier.
• Durées de conservation : définissez-les et appliquez-les. Des demandes de contact de 2019 dans une boîte mail sont une non-conformité silencieuse. Une purge automatique vaut mieux qu'une politique écrite non appliquée.
• Droits des personnes : accès, rectification, effacement. À l'échelle d'une PME, une adresse de contact dédiée et une procédure interne notée suffisent — l'important est de répondre dans le mois, et de savoir réellement effacer (y compris des sauvegardes et des outils tiers).

Ce qu'il faut retenir

La conformité d'un site de PME tient en cinq gestes : un inventaire honnête, des formulaires minimaux et documentés, une stratégie cookies assumée (sobriété ou vraie plateforme de consentement), des sous-traitants sous accord avec l'UE en préférence, et des durées de conservation appliquées. C'est deux à cinq jours de travail bien menés — et c'est surtout, bien fait, un argument de confiance vis-à-vis de vos clients plutôt qu'une contrainte. Pour tout ce qui dépasse ce périmètre, faites valider par un juriste : le nôtre relit bien cette conclusion.