RGPD et cookies sur votre site : ce qui est vraiment obligatoire pour une PME

Bandeau cookies installé à la va-vite, mentions légales copiées sur un autre site, formulaire de contact qui demande la date de naissance : beaucoup de sites de PME, en Guadeloupe comme ailleurs, accumulent les petites non-conformités sans le savoir. À l'inverse, certains dirigeants croient que le RGPD impose un bandeau cookies sur tout site, quoi qu'il contienne. Ce guide fait le tri entre ce qui est obligatoire, ce qui est recommandé et ce qui relève de la légende, pour un site vitrine ou une landing page. Il s'agit d'une information générale, pas d'un conseil juridique : pour un cas particulier, rapprochez-vous d'un professionnel du droit.

Les 4 textes à connaître, sans jargon

• Le RGPD (règlement européen de 2016, appliqué depuis 2018) encadre toute collecte de données personnelles : formulaires, fichiers clients, outils de statistiques.
• L'article 82 de la loi Informatique et Libertés encadre spécifiquement les cookies et autres traceurs déposés sur l'appareil du visiteur.
• Les lignes directrices et la recommandation « cookies » de la CNIL, adoptées le 17 septembre 2020 (délibérations n° 2020-091 et n° 2020-092), expliquent comment appliquer cet article concrètement.
• La loi pour la confiance dans l'économie numérique (LCEN) du 21 juin 2004 impose les mentions légales. Depuis la loi du 21 mai 2024 dite « SREN », ces obligations figurent à ses articles 1-1 et 1-2.

Cookies : ce qui exige un consentement, et ce qui n'en exige pas

La règle de base est simple : un traceur qui n'est pas indispensable au fonctionnement du site ne peut être déposé ou lu qu'après l'accord de l'internaute. Mais tous les cookies ne sont pas concernés.

Sans consentement : les traceurs strictement nécessaires

Le panier d'une boutique en ligne, la session d'un espace client, la sécurité du site, ou encore le cookie qui mémorise le choix de l'internaute sur le bandeau : ces traceurs sont exemptés, car le service ne peut pas fonctionner sans eux.

Sans consentement, sous conditions : la mesure d'audience

Un outil de statistiques peut être exempté de consentement s'il respecte les conditions fixées par la CNIL, détaillées sur sa page consacrée aux outils de mesure d'audience :

• une finalité strictement limitée à la mesure de l'audience du site, pour le compte exclusif de l'éditeur ;
• des données qui produisent uniquement des statistiques anonymes et ne sont pas recoupées avec d'autres traitements ni transmises à des tiers ;
• une durée de vie des traceurs limitée à 13 mois, sans prolongation automatique à chaque visite ;
• une conservation des informations collectées limitée à 25 mois.

La CNIL publie une liste de solutions qui peuvent être configurées pour entrer dans ce cadre. Si votre outil de statistiques ne remplit pas toutes ces conditions, il doit être soumis au consentement, comme un traceur publicitaire.

Avec consentement : la publicité et le suivi

Pixels publicitaires (Meta, Google Ads), reciblage, boutons de partage qui suivent l'internaute, vidéos intégrées qui déposent des traceurs : tout cela nécessite un accord préalable. Si vous faites de la publicité Meta ou du Google Ads, votre site en est forcément concerné.

Le bandeau cookies conforme, point par point

La CNIL détaille ses attentes dans sa page « Cookies et traceurs : comment mettre mon site web en conformité ? ». Les points qui reviennent le plus souvent lors de nos audits :

1. Rien avant le choix. Aucun traceur soumis au consentement ne doit être déposé ni lu tant que l'internaute n'a pas accepté.
2. Refuser aussi facilement qu'accepter. Un bouton « Tout refuser » au même niveau et dans le même format que « Tout accepter » est la solution la plus simple. Un bouton « Paramétrer » seul à côté de « Tout accepter » ne suffit pas.
3. Pas de consentement implicite. Continuer à naviguer sur le site ne vaut pas accord.
4. Des finalités claires. L'internaute doit savoir à quoi servent les traceurs et qui les dépose, avec une liste des partenaires accessible.
5. Un retrait aussi simple que l'accord. Un lien « Gérer mes cookies » accessible en permanence, par exemple en pied de page.
6. Un choix mémorisé. La CNIL considère comme une bonne pratique de conserver le choix, acceptation comme refus, pendant 6 mois avant de redemander, cette durée pouvant être appréciée au cas par cas.
7. Une preuve du consentement. Vous devez pouvoir démontrer que l'accord a été recueilli, ce que font les outils de gestion du consentement sérieux.

Côté performance, choisissez un bandeau léger, qui ne décale pas la page au chargement : un bandeau mal intégré dégrade les indicateurs de vitesse, comme on l'explique dans notre guide des Core Web Vitals.

Mentions légales : ce que la loi exige

Tout site professionnel doit permettre d'identifier son éditeur. L'article 1-1 de la LCEN liste les informations à mettre à disposition du public :

• Pour un entrepreneur individuel : nom, prénoms, domicile, numéro de téléphone et, le cas échéant, numéro d'inscription au registre professionnel.
• Pour une société : dénomination ou raison sociale, siège social, numéro de téléphone, capital social le cas échéant et numéro d'inscription.
• Le directeur de la publication et, s'il existe, le responsable de la rédaction.
• L'hébergeur : nom ou raison sociale, adresse et numéro de téléphone.

Le manquement est pénalement sanctionné : l'article 1-2 prévoit jusqu'à un an d'emprisonnement et 75 000 € d'amende pour une personne physique, et la responsabilité pénale des personnes morales peut aussi être engagée. Selon votre activité, d'autres informations s'ajoutent, par exemple les conditions générales de vente pour un site marchand.

Politique de confidentialité : l'information obligatoire

Dès que votre site collecte des données personnelles, ne serait-ce qu'un nom et un téléphone via un formulaire, le RGPD impose d'informer les personnes. Une politique de confidentialité claire, accessible depuis chaque page, doit notamment indiquer :

• qui est responsable du traitement et comment le contacter ;
• à quoi servent les données et sur quelle base légale ;
• qui les reçoit (prestataires, CRM, outil d'emailing) et si elles sortent de l'Union européenne ;
• combien de temps elles sont conservées ;
• les droits des personnes (accès, rectification, effacement, opposition…) et la possibilité de saisir la CNIL.

Formulaires de contact et de devis : les bons réflexes

• Ne demander que l'utile. Nom, téléphone, besoin : c'est souvent suffisant. Moins de champs, c'est à la fois plus conforme et plus efficace pour la conversion, comme le montre notre guide du tunnel de vente.
• Informer sous le formulaire. Une courte mention rappelle la finalité, la durée de conservation et renvoie vers la politique de confidentialité.
• Séparer la newsletter. L'inscription à vos communications commerciales passe par une case distincte et non pré-cochée.
• Limiter la conservation. Pour un prospect, la CNIL admet en principe une conservation de trois ans à compter de la collecte ou du dernier contact émanant de lui.
• Sécuriser la chaîne. Site en HTTPS, accès au CRM protégé, comptes nominatifs : la sécurité insuffisante des données figure parmi les principaux motifs de sanction de la CNIL.

Bonne nouvelle : ces règles s'automatisent. Un formulaire bien conçu envoie la demande dans le CRM avec la date de collecte, et un workflow peut signaler ou archiver automatiquement les contacts inactifs arrivés au terme de leur durée de conservation.

Les sanctions : ce qui arrive vraiment

Les montants qui font la une concernent les grands groupes. Le 1^er septembre 2025, la CNIL a ainsi sanctionné Google à hauteur de 325 millions d'euros et Shein à hauteur de 150 millions d'euros, notamment pour des cookies déposés sans consentement valable.

Mais la réalité qui concerne les PME est ailleurs. Dans son bilan des sanctions 2025, la CNIL recense 83 sanctions, dont 21 liées aux cookies et autres traceurs, et 67 prononcées selon la procédure simplifiée. Cette procédure, pensée pour les dossiers sans difficulté particulière, permet des amendes allant jusqu'à 20 000 €. Autrement dit, la CNIL dispose d'un outil rapide pour sanctionner des organismes de toute taille, et elle s'en sert.

Le risque n'est pas seulement financier. Un bandeau qui force la main ou des mentions légales absentes envoient un mauvais signal au client qui découvre votre entreprise. La conformité fait partie de la confiance, au même titre que vos avis Google.