RGPD et site internet : le principe à comprendre avant tout

Le RGPD n’interdit presque rien à un site internet : il conditionne la collecte de données personnelles à l’existence d’une base légale et à un principe de proportionnalité (dossier d’expertise, §28.4, relevé le 31/08/2026). Ce texte ne dresse pas une liste d’interdictions à cocher. Il pose une question, à se poser avant chaque collecte : sur quelle base légale ce traitement repose-t-il ?

Le principe qui commande tout : conditionner, pas interdire

Un gérant qui vient d’ouvrir un site internet cherche souvent une liste de règles à appliquer. Le RGPD ne fonctionne pas ainsi. Il ne dit pas « vous ne pouvez pas collecter telle donnée » : il dit qu’un traitement de données personnelles doit reposer sur une base légale et rester proportionné à sa finalité (dossier §28.4, 31/08/2026). C’est une clé de lecture, pas un article de loi à citer mot pour mot : elle sert à examiner chaque usage du site plutôt qu’à cocher une case unique.

Ce qui, sur un site, relève presque toujours d’un traitement de données personnelles

Un formulaire de contact enregistre un nom, une adresse e-mail, parfois un numéro de téléphone. Une inscription à une newsletter fait de même. Un outil de mesure d’audience collecte des données de navigation qui peuvent, selon leur configuration, identifier un visiteur. Dans les trois cas, il s’agit d’un traitement de données personnelles au sens général du texte. Le fait qu’un site soit petit, récent ou géré par un indépendant ne le sort pas de ce cadre.

La question à se poser avant toute collecte : quelle est la base légale ?

Avant d’ajouter un formulaire ou un outil de suivi, la question à trancher est celle de la base légale du traitement : le consentement de la personne, l’exécution d’un contrat, ou un intérêt légitime du responsable du site. Ce choix dépend de la nature du traitement et du contexte dans lequel il intervient. Cette page ne configure aucun formulaire à la place du lecteur : elle expose le principe qui doit guider la décision, pas la décision elle-même.

Ce que cette page ne tranche pas

Elle ne fixe aucune règle sur les cookies : ni le contenu d’un bandeau de consentement, ni la durée pendant laquelle ce consentement reste valable. Elle ne fixe aucun seuil à partir duquel la désignation d’un délégué à la protection des données deviendrait obligatoire. Elle n’avance aucun montant de sanction. Elle ne fixe aucune durée de conservation des données selon qu’il s’agit d’un prospect, d’un client ou d’une statistique de visite : la règle générale est qu’une durée doit rester proportionnée à la finalité du traitement, sans que ce dossier ne permette d’écrire un nombre de mois ou d’années précis.

À lire aussiBoostez votre productivité : méthodes et conseils pratiquesLire le dossier ↗

Où vérifier, au cas par cas, avant de publier un formulaire

Ces points précis — bandeau de cookies, seuil DPO, montants de sanction, durées de conservation — relèvent de la CNIL, autorité compétente en France sur la protection des données. Avant de publier un formulaire ou un outil de mesure d’audience, la vérification se fait auprès d’elle, au moment de la mise en ligne, plutôt qu’à partir d’une règle générale figée dans un article.

InfographieÀ retenir en trois points

1. 1

   Base légale obligatoire

   Tout traitement de données doit reposer sur consentement, contrat ou intérêt légitime.

2. 2

   Trois cas courants

   Formulaires de contact, inscriptions newsletter et outils d'audience collectent données personnelles.

3. 3

   Mentions légales requises

   Nom, adresse, RCS et directeur publication: LCEN art. 6-III, distinct du RGPD.

Un régime distinct mérite d’être signalé pour ne pas être confondu : tout site édité à titre professionnel doit afficher des mentions légales (nom ou dénomination, adresse, numéro RCS le cas échéant, directeur de publication), obligation issue de la LCEN, art. 6-III. Ce n’est pas une exigence du RGPD : ce sont deux régimes séparés, l’un sur l’identification de l’éditeur, l’autre sur la protection des données. La même logique de base légale se retrouve aussi du côté des outils d’intelligence artificielle utilisés en entreprise, et la question numérique ne s’arrête pas au RGPD : une autre obligation numérique récente concerne les entreprises. Les indépendants ne sont pas à l’écart de ce cadre : les micro-entrepreneurs avec un site internet sont concernés au même titre.

La conformité juridique ne remplace pas la protection technique : sécuriser concrètement les données d’une petite structure relève d’un chantier distinct.

Poursuivre la lecture

Et vous, qu’en pensez-vous à propos de rGPD et site internet : le principe à comprendre avant tout ?