Vous avez peut-être reçu ce genre d'e-mail : « Votre site n'est pas conforme au RGPD, vous risquez une amende pouvant aller jusqu'à 20 millions d'euros. » De quoi paniquer, et c'est exactement le but de l'expéditeur, souvent un vendeur de solution miracle.
Respirons. Oui, le RGPD concerne votre site. Mais pour une petite entreprise, il ne s'agit pas d'un chantier insurmontable, et encore moins d'une menace d'amende géante. Ces sanctions spectaculaires visent les grands groupes ; pour les petites structures, la CNIL (l'autorité française de protection des données) procède en très grande majorité par mises en demeure, c'est-à-dire des demandes de correction, pas par des amendes. Son bilan 2025 le confirme : sur l'ensemble de ses décisions, les mises en demeure sont nettement plus nombreuses que les sanctions financières.
L'objectif de cet article n'est donc pas de vous faire peur, mais de vous dire, calmement, ce qu'un site de TPE doit vraiment respecter. Et c'est plus simple que vous ne le pensez.
Le RGPD concerne votre site, mais pas comme on vous le vend
Première chose à comprendre : le RGPD s'applique dès que votre site collecte la moindre donnée personnelle. Un formulaire de contact, une inscription à une newsletter, un outil de statistiques : tout cela compte. Un site vitrine sans boutique est donc concerné, même modestement.
Deuxième chose, rassurante : depuis le RGPD, il n'y a plus de déclaration préalable à envoyer à la CNIL. L'ancienne logique du formulaire à déposer a disparu. À la place, vous devez être en règle et pouvoir le montrer en cas de contrôle. Pour une TPE, cela tient en quelques documents et quelques bons réflexes.
Un de ces documents mérite d'être clarifié, car une idée reçue circule : le registre des traitements n'est pas réservé aux grandes entreprises. La CNIL recommande à toute structure d'en tenir un. Bonne nouvelle, pour une TPE, une version simplifiée suffit amplement : un simple tableau qui liste vos traitements (le site et ses formulaires, votre fichier client, votre prospection), ce que vous y collectez, pourquoi, et combien de temps vous le gardez. La CNIL en fournit un modèle gratuit sur cnil.fr.
Et la plupart de ces réflexes, un site bien construit les intègre dès le départ. C'est ce que fait Pixel Prisme : chaque site que nous livrons arrive avec ses pages légales en place et des formulaires sobres, pour que vous partiez conforme, sans y penser.
Les deux pages que votre site doit avoir
Tout part de deux pages, accessibles depuis le pied de page de votre site.
Les mentions légales. C'est une obligation qui vient d'une loi de 2004 (la LCEN), distincte du RGPD mais tout aussi incontournable. Elles permettent d'identifier qui se cache derrière le site. Doivent y figurer : votre nom ou votre raison sociale, votre adresse, vos coordonnées, votre numéro SIRET (et le RCS ou le répertoire des métiers selon votre activité), et les coordonnées de votre hébergeur.
La politique de confidentialité. C'est le volet RGPD. Elle explique, en clair, quelles données vous collectez (via le formulaire, la newsletter, les statistiques), pourquoi, combien de temps vous les gardez, qui y a accès, et quels sont les droits des personnes. Pour vous lancer, la CNIL met à disposition des modèles gratuits de mentions d'information sur son site, cnil.fr, à adapter à votre activité.
Un piège à éviter absolument : copier-coller les mentions d'un autre site. Elles désigneront le mauvais responsable, les mauvaises finalités, les mauvaises durées, et ne vous protègent de rien. Ces deux pages doivent refléter votre situation réelle. Pixel Prisme les rédige sur mesure pour chaque projet, comme le reste de la livraison d'un site, parce qu'une page légale juste vaut mille fois mieux qu'une page copiée.
Vos formulaires : ne demandez que le nécessaire
Le RGPD repose sur un principe simple et de bon sens : ne collecter que les données vraiment utiles. C'est ce qu'on appelle la minimisation.
Concrètement, un formulaire de contact n'a besoin que du nom, d'un moyen de recontacter (e-mail ou téléphone) et du message. Demander la date de naissance ou d'autres informations sans raison est à la fois inutile et contraire au principe.
Deux réflexes suffisent ensuite. Sous le formulaire, ajoutez une courte mention : qui traite les données, pourquoi (« pour répondre à votre demande »), combien de temps, et un lien vers votre politique de confidentialité. Et pour la newsletter ou la prospection uniquement, ajoutez une case à cocher non précochée : là, le consentement explicite est obligatoire, et il faut pouvoir en garder la trace (date, formulaire utilisé) en cas de contrôle. En revanche, pour simplement répondre à une demande de devis, ce consentement n'est pas nécessaire : répondre à une demande qu'on vous adresse fait partie de votre prestation, c'est une autre base légale que le consentement.
Le bandeau cookies : la bonne surprise
Voici l'idée reçue la plus tenace : « il faut un bandeau cookies sur tous les sites ». C'est faux, et c'est une vraie bonne nouvelle.
La règle exacte, posée par la CNIL : le bandeau de consentement n'est obligatoire que pour les traceurs non essentiels, comme la publicité, le profilage (le suivi de vos visiteurs pour les cibler), les boutons de partage des réseaux sociaux, ou un outil de statistiques standard qui suit les internautes. Pour ces cas, le bandeau est requis, et le refus doit être aussi simple que l'acceptation.
Mais la CNIL exempte de consentement les cookies strictement nécessaires au fonctionnement du site et une mesure d'audience configurée sobrement : finalité limitée à la simple statistique de fréquentation, données anonymes, sans croisement avec d'autres fichiers ni suivi d'un site à l'autre. Dans ce cas, plus besoin de bandeau intrusif : une simple information dans la politique de confidentialité suffit.
Autrement dit, un site vitrine qui se contente de mesurer sa fréquentation de façon respectueuse peut tout à fait se passer du bandeau qui agace tout le monde. C'est précisément l'approche de Pixel Prisme : nous privilégions une mesure d'audience sobre et respectueuse de la vie privée, qui évite le plus souvent le bandeau, pour un site plus léger et plus agréable.
Attention toutefois à un piège fréquent : si vous avez déjà installé Google Analytics dans sa version standard, vous n'êtes pas exempté. C'est l'outil le plus répandu, et tel quel, il impose un bandeau de consentement. Même chose pour un pixel publicitaire de réseau social. Si vous tenez à ces outils, le bandeau est obligatoire, avec un refus aussi simple que l'acceptation, et nous le mettons alors en place dans les règles. La vraie question à se poser : avez-vous besoin de ce niveau de suivi, ou une statistique de fréquentation sobre vous suffit-elle ?
Durées de conservation et droits des personnes
Deux dernières obligations, simples à tenir.
Ne gardez pas les données indéfiniment. Le principe : pas plus longtemps que nécessaire. La CNIL donne un repère concret pour la prospection : ne pas conserver un prospect ou un client inactif au-delà de 3 ans après son dernier contact. Passé ce délai, on supprime ou on anonymise. Un simple rappel dans votre agenda pour faire le ménage une fois par an suffit largement pour une TPE.
Permettez aux gens d'exercer leurs droits. Toute personne peut vous demander d'accéder à ses données, de les corriger ou de les supprimer. Vous n'avez pas besoin d'un dispositif compliqué : une adresse e-mail dédiée, indiquée dans votre politique de confidentialité, suffit. La seule règle ferme : répondre dans un délai d'un mois.
La sécurité de base, qui fait aussi partie du RGPD
Protéger les données, c'est aussi les sécuriser. Là encore, rien d'inaccessible pour une petite entreprise. Les fondamentaux recommandés par la CNIL : un site en https (le petit cadenas), des mots de passe robustes avec double authentification quand c'est possible, des sauvegardes régulières, et un site tenu à jour.
Un point qui rejoint le RGPD : savoir où sont hébergées vos données. Un hébergement dans l'Union européenne simplifie tout. Certains outils très répandus stockent en revanche les données aux États-Unis (des messageries, des outils de formulaire ou de statistiques américains) : ce n'est pas interdit, mais cela demande des garanties particulières, à vérifier dans leurs conditions. En cas de doute, privilégier des prestataires européens vous épargne la question. C'est un sujet que nous abordons aussi dans nom de domaine et e-mail professionnel.
Un mot, enfin, sur la responsabilité. Aux yeux de la CNIL, c'est vous, propriétaire du site, qui êtes responsable de ses données, même si une agence l'a construit. D'où l'intérêt de partir d'un prestataire qui pose les bonnes fondations. Pixel Prisme livre des sites sécurisés par défaut, à jour et bien hébergés, parce que la sécurité n'est pas une option qu'on ajoute après, mais une base.
En résumé
Le RGPD n'est pas la montagne qu'on agite pour vous vendre des solutions dans la panique. Pour un site de TPE, l'essentiel tient en peu de choses : des mentions légales complètes, une politique de confidentialité propre à votre activité, des formulaires qui ne demandent que le nécessaire, un audit de vos cookies (souvent sans bandeau à la clé), des durées de conservation raisonnables, une adresse pour les droits des personnes, et une sécurité de base. Aucune de ces étapes ne demande d'être juriste, et la CNIL accompagne avec des modèles gratuits.
Le plus simple, c'est de partir d'un site conçu conforme dès le départ. Chez Pixel Prisme, c'est notre standard pour les entreprises de Toulouse et d'ailleurs : pages légales en place, formulaires sobres, mesure d'audience respectueuse et sécurité par défaut. Si vous doutez de votre situation, parlons-en 30 minutes, sans engagement : on fait le point, calmement.