RGPD et site vitrine : ce que vous risquez vraiment

Un client vous demande si votre site respecte le RGPD. Ou pire : vous recevez un mail de mise en demeure à propos d'un bandeau cookies « non conforme », et vous découvrez que votre site vitrine n'a jamais eu de politique de confidentialité. Ce scénario touche de plus en plus de dirigeants de PME qui ont fait développer leur site il y a quelques années, sans que personne ne pense à ces points au moment de la livraison.

Les chiffres et les fourchettes ci-dessous sortent de dossiers et de devis réellement traités en 2026, pas d'une lecture théorique du texte RGPD. La question n'est plus de savoir si la CNIL contrôle les petites structures — c'est acté depuis le début de l'année — mais ce que vous risquez concrètement, et ce qu'il faut corriger en priorité.

Deux textes s'appliquent en parallèle, et ils sont trop souvent confondus. La loi pour la confiance dans l'économie numérique (LCEN) impose des mentions légales sur tout site professionnel, quelle que soit sa taille : identité de l'éditeur, adresse, SIRET, nom de l'hébergeur. Leur absence est sanctionnée jusqu'à 75 000 € d'amende pour un auto-entrepreneur, et jusqu'à 375 000 € pour une société.

Le RGPD, lui, encadre tout ce qui touche aux données personnelles : cookies, formulaire de contact, newsletter. Depuis janvier 2026, la CNIL a prononcé 23 sanctions via sa procédure simplifiée, pour un total de 133 750 €, portant principalement sur la vidéosurveillance, les cookies et le non-respect des droits d'accès et d'effacement. Le plafond de cette procédure accélérée est de 20 000 € par dossier, et 19 des 23 dossiers viennent d'une simple plainte de particulier — pas d'un contrôle programmé à l'avance.

Ce ne sont pas des montants qui font la une de la presse, mais ils suffisent à mettre en difficulté une PME qui ne les avait pas anticipés dans sa trésorerie. Et la CNIL ne se contente plus d'attendre les plaintes : elle utilise désormais un robot qui visite les sites français en continu pour vérifier la présence et la conformité du bandeau cookies, indépendamment de la taille de l'entreprise contrôlée.

Pas besoin d'un service juridique pour couvrir l'essentiel. Un site vitrine standard — cabinet, artisan, commerce, prestataire de services — doit remplir quatre points.

Des mentions légales complètes : raison sociale, adresse, contact, SIRET, nom et coordonnées de l'hébergeur, et pour une société la forme juridique et le capital social.

Une politique de confidentialité accessible depuis le pied de page, qui explique quelles données sont collectées, pourquoi, sur quelle base légale, combien de temps elles sont conservées et comment les faire supprimer. C'est un document distinct des mentions légales — les deux répondent à des obligations différentes et se complètent.

Un bandeau cookies conforme dès qu'un outil de mesure d'audience ou un formulaire dépose un cookie non strictement technique. Refuser doit être aussi simple qu'accepter, sans case pré-cochée ni cookie posé avant le clic.

La capacité à répondre aux demandes de droits (accès, rectification, suppression) dans un délai d'un mois. C'est le point le plus souvent ignoré par les petites structures, et celui qui a généré plusieurs des sanctions récentes de la CNIL.

Un site qui vend en ligne ajoute des CGV et un droit de rétractation — hors périmètre pour un simple site vitrine qui ne transige rien directement.

C'est l'élément le plus visible du site, donc le plus facile à vérifier automatiquement — et c'est là que se concentre une bonne part des sanctions en procédure simplifiée depuis janvier 2026. La règle est simple à énoncer, plus difficile à respecter une fois le design déjà validé par le client : le bouton « Refuser tout » doit avoir la même taille, la même couleur et la même visibilité que « Tout accepter ». Aucun cookie de mesure d'audience ou de publicité ne doit être déposé avant que le visiteur ait fait son choix — y compris les cookies posés par un script tiers intégré sans qu'on y pense, comme une vidéo embarquée ou un widget de chat.

Le crawler automatisé de la CNIL visite les sites français en continu et vérifie mécaniquement ces trois points : présence du bandeau, symétrie visuelle des boutons, absence de dépôt avant consentement. Contrairement à un contrôle déclenché par une plainte, il ne fait aucune différence entre un grand compte et le site vitrine d'un artisan.

Si votre site actuel a ce problème, un audit gratuit prend 20 minutes. Demander l'audit.

Le registre des traitements est obligatoire pour toute entreprise qui traite des données personnelles, quelle que soit sa taille — l'exemption pour les entreprises de moins de 250 salariés ne porte que sur certaines opérations ponctuelles ou sans risque, pas sur l'obligation elle-même. Pour un site vitrine, ça reste simple à tenir : lister le formulaire de contact, la newsletter, l'outil d'analytics, avec leur finalité et leur durée de conservation.

Le point qui échappe le plus souvent aux PME : un accord de traitement des données (DPA) avec chaque sous-traitant qui héberge ou traite des données pour vous — hébergeur, outil d'emailing, CRM. Ce n'est pas qu'une formalité contractuelle : si votre hébergeur transfère vos données hors UE sans cadre légal, c'est vous qui portez le risque, pas lui. On a déjà détaillé pourquoi la localisation réelle de l'hébergement compte, dans notre retour d'expérience sur une migration de stockage vers S3 auto-hébergé : garder la main sur où vivent les données change concrètement ce que vous pouvez garantir à vos clients.

Trois niveaux d'intervention, selon l'état de départ du site.

Le tarif dépend surtout de l'ampleur des correctifs à apporter : un site avec un simple oubli de politique de confidentialité coûte moins cher à corriger qu'un site avec plusieurs formulaires non déclarés, des scripts tiers non identifiés et un bandeau à refaire entièrement. Ces fourchettes correspondent à des interventions ponctuelles, hors abonnement de maintenance qui couvre le suivi dans la durée.

La troisième ligne reste la moins chère sur la durée : intégrer les mentions légales, la politique de confidentialité et le bandeau cookies dès la conception coûte quelques heures de développement. Les rajouter après coup, sur un site déjà en production, demande de reprendre le design du bandeau, d'auditer chaque formulaire et chaque script tiers, et souvent de renégocier avec l'hébergeur. Vous pouvez vérifier gratuitement les principaux points de sécurité et de conformité de votre site actuel avec notre test de sécurité.

C'est le point qui surprend le plus de dirigeants au moment d'un contrôle. Juridiquement, l'éditeur du site — votre entreprise, pas votre prestataire — reste responsable de sa conformité, même si le développement a été intégralement sous-traité. Si l'agence ou le freelance qui a livré votre site a oublié le bandeau cookies, ou n'a jamais rédigé de politique de confidentialité, c'est votre structure qui répond devant la CNIL en cas de plainte, pas lui.

Avant de signer un devis pour un nouveau site, vérifiez explicitement que les mentions légales, la politique de confidentialité et un bandeau cookies conforme font partie du périmètre livré — pas une option facturée à part une fois le site en ligne. C'est un des points les plus souvent oubliés dans les devis, précisément parce qu'il n'apparaît jamais comme une fonctionnalité visible pour le client final.

Trois priorités, dans cet ordre. D'abord les mentions légales : c'est gratuit à corriger et c'est l'infraction la plus simple à constater, même lors d'un contrôle manuel. Ensuite le bandeau cookies : c'est le point que le crawler CNIL vérifie en premier, et celui qui génère le plus de sanctions en procédure simplifiée. Enfin la politique de confidentialité et le registre des traitements, qui demandent un peu plus de temps mais protègent surtout en cas de plainte individuelle ou de demande de droit d'accès.

Si votre site a plus de deux ou trois ans, la probabilité qu'un de ces trois points manque ou soit incomplet est élevée — c'est un chantier de quelques jours, pas de plusieurs mois, tant qu'il ne s'agit pas de refondre le site entier. Pour la partie hébergement, notre article sur Kyun.sh, un hébergeur privacy-first sans KYC donne un autre exemple concret de ce que « maîtriser où vivent ses données » signifie en pratique.

Cet article a été rédigé avec l'aide de l'IA et relu par un humain avant publication.