RGPD et sécurité de site web : les obligations à connaître en 2026

Un commerçant qui exploite un site avec formulaire de contact, newsletter ou espace client est soumis au RGPD, qu’il ait ou non conscience de « traiter des données personnelles » au sens juridique du terme. Concrètement, cela implique quatre obligations qui reviennent systématiquement lors des contrôles CNIL : informer clairement les visiteurs sur l’usage de leurs données, gérer les cookies avec un consentement réellement libre, tenir un registre des traitements, et sécuriser les données collectées par des mesures techniques proportionnées au risque. Aucune de ces obligations n’exige un budget d’entreprise du CAC 40 ni un service juridique dédié — mais leur absence expose à des sanctions bien réelles, y compris pour les petites structures. Ce guide détaille ce qui s’applique concrètement à un site de commerçant, sans jargon juridique inutile.

RGPD et sécurité : deux obligations qui se recoupent, pas deux sujets séparés

Beaucoup de commerçants traitent le « RGPD » et la « sécurité du site » comme deux chantiers distincts — l’un confié à un avocat ou un consultant en conformité, l’autre laissé à l’agence web ou à l’hébergeur. C’est une erreur de cadrage qui explique une bonne partie des contrôles défavorables.

Le RGPD ne se limite pas à des mentions légales et une case à cocher sur les cookies. Son article 32 impose explicitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque : chiffrement des données sensibles, contrôle d’accès, sauvegardes, capacité à restaurer les données après un incident. Un site qui subit un piratage parce qu’une extension n’a pas été mise à jour depuis deux ans n’est pas seulement victime d’un problème technique — il est potentiellement en infraction avec ses obligations RGPD, indépendamment du fait qu’une donnée ait ou non fuité. Pour la mécanique technique de cette routine de maintenance, notre guide détaille comment maintenir un site sécurisé au quotidien.

Cette articulation entre conformité légale et sécurité opérationnelle est précisément ce que la CNIL vérifie en priorité lors de ses contrôles récents : la manière dont les cookies sont gérés côté visiteur, et la manière dont les données sont protégées côté serveur. Un site conforme sur le papier — mentions légales à jour, politique de confidentialité publiée — mais dont le CMS n’a pas été mis à jour depuis des mois reste une cible, et une source de responsabilité juridique en cas d’incident.

Les obligations RGPD concrètes pour un site web

L’information des visiteurs : ce qui doit être visible sur le site

Toute collecte de données personnelles — même un simple formulaire de contact demandant nom, email et message — déclenche une obligation d’information. Le visiteur doit pouvoir savoir, avant de soumettre ses données, qui les collecte, pour quelle finalité, combien de temps elles sont conservées, et comment exercer ses droits (accès, rectification, suppression). Cette information prend généralement la forme d’une politique de confidentialité accessible depuis chaque page du site, distincte des mentions légales classiques imposées depuis 2004 par la loi pour la confiance dans l’économie numérique (identité de l’éditeur, hébergeur, directeur de publication).

Une politique de confidentialité générique copiée sur un autre site ne suffit pas : elle doit refléter les traitements réellement effectués. Un site e-commerce qui partage des données avec un prestataire de livraison, un outil d’emailing ou une régie publicitaire doit le mentionner explicitement — l’un des reproches les plus fréquents de la CNIL porte justement sur des politiques de confidentialité incomplètes ou obsolètes par rapport aux outils réellement utilisés.

Le registre des traitements : une obligation trop souvent ignorée par les petites structures

Le registre des traitements liste, pour chaque activité impliquant des données personnelles (newsletter, gestion des commandes, programme de fidélité, recrutement), la finalité, les catégories de données, les destinataires et la durée de conservation. Contrairement à une idée répandue, cette obligation ne concerne pas uniquement les grandes entreprises : elle s’applique dès lors qu’un traitement n’est pas occasionnel, ce qui couvre la quasi-totalité des sites marchands ou avec espace client.

En pratique, ce registre n’a pas besoin d’être un document juridique sophistiqué. Un tableau simple, tenu à jour et mentionnant les traitements réels du site, suffit pour la majorité des commerçants — et constitue la première pièce demandée en cas de contrôle CNIL, y compris pour une simplification apportée par la procédure de sanction allégée qui vise justement les petites structures.

Les cookies : le point de contrôle numéro un de la CNIL en 2025-2026

Les cookies et traceurs non strictement nécessaires au fonctionnement du site (mesure d’audience non anonymisée, publicité ciblée, réseaux sociaux) exigent un consentement préalable, libre, spécifique, éclairé et univoque. Concrètement, cela impose plusieurs contraintes précises que la CNIL contrôle de manière quasi automatisée depuis son plan d’action dédié :

• Le bouton « Refuser » doit être aussi visible et accessible que le bouton « Accepter » — un bandeau qui ne propose qu’un bouton d’acceptation visible, avec le refus caché dans un lien secondaire, est non conforme.
• Aucun cookie non essentiel ne doit être déposé avant que le visiteur ait fait son choix.
• Le consentement doit pouvoir être donné ou refusé par catégorie (mesure d’audience, publicité, réseaux sociaux) et non de façon globale uniquement.
• Le retrait du consentement doit être aussi simple que son octroi initial, généralement via un lien permanent en pied de page.

C’est précisément ce point qui a valu à Google et à Shein les deux sanctions les plus lourdes prononcées par la CNIL en 2025 — 325 millions d’euros et 150 millions d’euros respectivement, sur les 486,8 millions d’euros d’amendes totales de l’année. Ces montants concernent des acteurs d’une tout autre échelle qu’un site de commerçant, mais le motif de la sanction — un bandeau cookies non conforme — est exactement le même type de manquement que celui identifié sur des sites bien plus modestes lors de contrôles ciblés.

Sécurité des données : une obligation de moyens, pas seulement de résultat

L’article 32 du RGPD n’exige pas un niveau de sécurité absolu — il exige des mesures proportionnées au risque que représente le traitement pour les personnes concernées. Un site qui collecte uniquement des adresses email pour une newsletter n’a pas les mêmes exigences qu’un site qui traite des données de santé ou des coordonnées bancaires. Mais dans tous les cas, un socle minimal est attendu :

• Chiffrement du site via certificat SSL/TLS (le fameux cadenas HTTPS), devenu un standard incontournable et un facteur de classement direct dans les moteurs de recherche.
• Sécurisation des accès administrateurs : mots de passe robustes et uniques, authentification à deux facteurs sur les comptes à privilèges (hébergement, back-office, emails professionnels).
• Mise à jour régulière du CMS, du thème et des extensions — la majorité des compromissions de sites exploitent des failles déjà corrigées par un correctif disponible mais non appliqué.
• Sauvegardes régulières et testées, stockées en dehors du serveur principal, pour pouvoir restaurer le site rapidement en cas d’incident.

Ces mesures relèvent autant de la sécurité informatique classique que de la conformité RGPD : elles sont désormais indissociables. Notre guide sur la maintenir un site sécurisé détaille la routine concrète à appliquer, avec les fréquences recommandées pour chaque action.

Que faire en cas de violation de données : la procédure à connaître avant d’en avoir besoin

Une « violation de données » au sens du RGPD ne se limite pas à un piratage spectaculaire — elle couvre toute situation où des données personnelles sont détruites, perdues, altérées ou divulguées de façon non autorisée. Un email envoyé au mauvais destinataire avec une liste de clients en pièce jointe, une base de données exposée par erreur sur un serveur mal configuré, ou un site compromis qui expose les commandes clients constituent tous des violations au sens juridique.

La procédure à suivre dépend du niveau de risque pour les personnes concernées :

• Si la violation présente un risque pour les droits et libertés des personnes concernées (usurpation d’identité, préjudice financier, atteinte à la réputation), une notification à la CNIL est obligatoire dans un délai de 72 heures à compter du moment où l’incident est constaté. Le délai court même si toutes les informations ne sont pas encore disponibles : une notification incomplète mais dans les temps est préférable à une notification complète mais tardive, la CNIL admettant explicitement une notification en plusieurs étapes.
• Si la violation ne présente pas de risque significatif, la notification à la CNIL n’est pas obligatoire — mais l’incident doit malgré tout être consigné dans un registre interne des violations, distinct du registre des traitements. Beaucoup de petites structures notifient l’incident quand il est grave, mais négligent ce registre interne pour les incidents mineurs, alors qu’il s’agit d’une obligation autonome, sanctionnable indépendamment de la gravité de l’incident lui-même.
• Si le risque est élevé pour les personnes concernées, celles-ci doivent en plus être informées directement, dans des termes clairs, avec les mesures prises pour limiter les conséquences.

Anticiper cette procédure avant qu’un incident survienne change tout : savoir qui contacter (hébergeur, agence, éventuellement un DPO externalisé), avoir un modèle de registre déjà prêt, et connaître le format attendu par la CNIL permet de respecter le délai de 72 heures sans improvisation sous pression.

Sanctions CNIL : ce que les chiffres 2025 révèlent sur le risque réel pour les commerçants

Le bilan 2025 de la CNIL donne une image utile du niveau de risque réel, au-delà des montants spectaculaires qui font la une :

• 486,8 millions d’euros d’amendes ont été prononcés sur l’année, un montant tiré vers le haut par un nombre restreint de sanctions très lourdes contre des acteurs majeurs (Google, Shein), toutes deux liées à des manquements sur le consentement aux cookies.
• Sur l’ensemble des sanctions prononcées, une majorité relève de la procédure simplifiée, un mécanisme allégé introduit précisément pour traiter plus rapidement les manquements des structures de taille modeste, avec des montants nettement inférieurs (de l’ordre de quelques milliers d’euros en moyenne).
• 32 % des entreprises contrôlées en 2025 étaient des PME ou des TPE — un chiffre qui contredit l’idée reçue selon laquelle seules les grandes entreprises seraient dans le viseur de la CNIL.
• Le montant maximal théorique d’une amende reste fixé à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé — un plafond qui ne concerne en pratique que les manquements les plus graves, mais qui illustre l’ampleur du risque juridique associé à une non-conformité structurelle.

Pour un commerçant, le risque concret n’est donc pas une amende à huit chiffres, mais une sanction via la procédure simplifiée — souvent déclenchée par une plainte d’un client, un contrôle aléatoire, ou un audit automatisé des bandeaux cookies que la CNIL mène désormais à grande échelle sur des dizaines de milliers de sites. Le motif de sanction le plus fréquent pour les petites structures reste, de loin, un bandeau cookies non conforme ou une politique de confidentialité absente ou incomplète — deux points corrigibles en quelques heures de travail, sans expertise juridique poussée.

Ce qui s’applique réellement à une TPE ou une PME

Toutes les obligations RGPD ne pèsent pas avec la même intensité selon la taille et l’activité de l’entreprise. Pour un commerçant disposant d’un site avec formulaire de contact, newsletter et éventuellement un espace client, les priorités réalistes sont, dans l’ordre :

1. Un bandeau cookies conforme (boutons équilibrés, choix par catégorie, aucun dépôt avant consentement).
2. Une politique de confidentialité à jour, reflétant les outils réellement utilisés (emailing, paiement, livraison, analytics).
3. Un registre des traitements simple mais tenu à jour.
4. Une sécurité technique de base : HTTPS, mots de passe robustes, mises à jour régulières, sauvegardes externalisées.
5. Une procédure connue à l’avance en cas d’incident, avec les bons contacts identifiés.

La désignation d’un délégué à la protection des données (DPO) n’est en revanche obligatoire que pour les organismes publics ou les entreprises dont l’activité principale implique un suivi régulier et systématique à grande échelle des personnes, ou le traitement à grande échelle de données sensibles — ce qui exclut la très grande majorité des sites de commerçants classiques. Un accompagnement ponctuel, sans DPO permanent, suffit dans la plupart des cas.

En résumé

RGPD et sécurité informatique ne sont pas deux sujets parallèles à traiter séparément : l’un formalise ce que l’autre doit techniquement garantir. Pour un commerçant, l’essentiel tient en quelques actions concrètes — un bandeau cookies équilibré, une politique de confidentialité à jour, un registre des traitements tenu sérieusement, et une routine de sécurité technique appliquée sans relâche. Ces mesures réduisent à la fois le risque juridique face à la CNIL et le risque opérationnel d’un incident de sécurité, deux conséquences qui, dans les faits, découlent souvent de la même négligence initiale. Si un doute persiste sur l’état de conformité ou de sécurité de votre site, un audit ciblé permet généralement d’identifier en quelques heures les points à corriger en priorité.

Sources : CNIL — Bilan des sanctions 2025, Usine Digitale — 487 millions d’euros d’amendes en 2025, CNIL — Notifier une violation de données personnelles, CNIL — Recommandation cookies.

Auteur

Elena

Spécialiste WebDesign et développement front-end. Passionnée par l’expérience utilisateur, les interfaces élégantes et le code propre.

En savoir plus sur Elena →