Publié le 15/10/2026
RGPD pour un site internet : l'exemple d'un institut
« Pouvez-vous supprimer toutes les données que vous avez sur moi ? » Le message est arrivé un mardi matin : trois lignes polies, signées d'une ancienne cliente. Pour Nadia, gérante d'un institut de beauté à Besançon, le RGPD pour un site internet venait de quitter la rubrique « paperasse » pour devenir une question très concrète. Que répondre, dans quel délai, et avec quoi ?
Précisons-le d'emblée : Nadia est un cas type, reconstitué à partir de situations que nous rencontrons chez des commerçants et indépendants comparables. En revanche, les obligations décrites ici sont bien réelles. Et cette demande, n'importe qui peut l'envoyer demain à n'importe quelle entreprise. Voici donc ce que son site collectait sans le dire, ce que nous avons corrigé en une demi-journée, et ce que cela a coûté.
RGPD pour un site internet : la règle du jeu
Le règlement général sur la protection des données s'applique depuis le 25 mai 2018 à toutes les entreprises, micro-entreprise comprise. Pas de panique pour autant. Concrètement, le RGPD pour un site internet vitrine tient en quatre idées simples. D'abord, ne collecter que les données personnelles réellement utiles. Ensuite, dire clairement ce que vous en faites et combien de temps vous les gardez. De plus, obtenir un vrai consentement quand il est requis, pour les cookies comme pour la newsletter. Enfin, savoir répondre à une demande d'accès ou de suppression dans le délai légal d'un mois.
Pour approfondir chaque point, la CNIL publie des guides gratuits rédigés pour les non-juristes — notamment sa page RGPD : par où commencer. Autrement dit, rien d'insurmontable. Le diable se cache pourtant dans les détails du site lui-même, comme l'audit de celui de Nadia va le montrer.
Trois constats sur le site de Nadia
Nous avons passé son site vitrine au crible, page par page. Résultat : trois constats, que l'on retrouve sur énormément de sites de petites entreprises.
Constat n°1 : le formulaire demandait trop. Pour une simple demande de rendez-vous, il exigeait nom, e-mail, téléphone, adresse postale et date de naissance. Or l'adresse postale ne servait jamais. La date de naissance, elle, pouvait se justifier par l'offre anniversaire — à condition de le dire et de rendre le champ facultatif. Surtout, aucune phrase n'expliquait l'usage de ces données personnelles.
Constat n°2 : les cookies partaient avant le consentement. Google Analytics se chargeait dès l'arrivée sur la page, avant le moindre clic. La « bannière de cookies » n'offrait qu'un bouton OK, sans aucun moyen de refuser. Mesurer son trafic reste pourtant une excellente idée, nous l'écrivions récemment — mais jamais sans l'accord du visiteur.
Constat n°3 : la newsletter se remplissait toute seule. Chaque adresse saisie dans le formulaire basculait automatiquement dans la liste d'envoi, sans case à cocher. De plus, le site n'avait ni politique de confidentialité, ni durée de conservation définie. La règle du consentement explicite conditionne pourtant toute la suite : une liste propre s'ouvre dix fois mieux qu'un fichier constitué en douce.
Trois corrections en une demi-journée
Première correction : un formulaire allégé. Nom, e-mail, message — le téléphone devient facultatif, l'adresse postale disparaît. La date de naissance reste proposée, mais facultative et expliquée : « pour recevoir votre offre anniversaire ». Sous le bouton d'envoi, une phrase d'information renvoie vers la politique de confidentialité.
Deuxième correction : une bannière de cookies digne de ce nom. Accepter ou refuser, deux boutons aussi visibles l'un que l'autre ; Google Analytics ne se charge qu'après le oui. Résultat, la mesure d'audience continue — elle ignore simplement les visiteurs qui refusent, et c'est bien le but.
Troisième correction : une politique de confidentialité en français courant. Qui collecte quoi, pourquoi, pendant combien de temps, et comment exercer ses droits : une page, cinq rubriques, zéro jargon. Les durées de conservation tiennent en deux lignes : trois ans après le dernier contact pour un prospect, la durée de la relation commerciale — plus les obligations comptables — pour une cliente. La newsletter gagne ensuite une vraie case d'inscription, décochée par défaut. Enfin, une adresse e-mail dédiée centralise désormais les demandes liées aux données.
Et la demande de la cliente ?
Supprimée, avec confirmation écrite, en 48 heures — alors que le délai légal laisse un mois. La cliente a répondu par un merci, puis a repris rendez-vous le mois suivant. Voilà le vrai visage du RGPD pour un site internet : moins une contrainte administrative qu'une façon de répondre proprement quand quelqu'un vous confie ses informations.
RGPD pour un site internet : combien ça coûte
Chez Nadia, la mise en conformité a demandé une demi-journée de travail, sans aucun logiciel payant. Soyons tout aussi francs sur les gains. Le RGPD pour un site internet n'améliorera pas votre référencement naturel du jour au lendemain, et il ne remplit pas le carnet de rendez-vous. En revanche, le formulaire allégé enlève de la friction : moins de champs à remplir, donc plus de demandes envoyées. Quant à la bannière conforme, elle réduit un peu la mesure d'audience, puisque les refus ne sont plus comptés — des chiffres plus petits, mais enfin honnêtes.
Le risque, lui, est bien réel, même pour une petite structure. La CNIL intervient le plus souvent après une plainte — précisément le scénario d'une demande de suppression restée sans réponse. De plus, une procédure simplifiée lui permet depuis 2022 de prononcer des amendes allant jusqu'à 20 000 €. Et si vous investissez dans la publicité en ligne, une bannière non conforme fausse vos statistiques : vous payez donc des clics que vous mesurez mal.
Une précision d'honnêteté, enfin : nous ne sommes pas juristes. Pour un site vitrine classique, les corrections décrites ici couvrent l'essentiel de la conformité RGPD. En revanche, données sensibles, vidéosurveillance ou fichier client volumineux : faites valider votre cas par un avocat ou un délégué à la protection des données.
Par où commencer sur votre propre site
Le RGPD pour un site internet se vérifie d'abord en quatre questions, cinq minutes chrono :
- Votre formulaire demande-t-il une information dont vous ne vous servez jamais ?
- Vos cookies se déposent-ils avant le moindre clic ? Testez en navigation privée.
- Votre politique de confidentialité existe-t-elle, et dit-elle combien de temps vous gardez les données ?
- Votre boîte mail : sauriez-vous répondre sous un mois à la cliente de Nadia ?
Si votre site a quelques années, la mise en conformité s'intègre naturellement à une refonte de site internet plutôt qu'en rustine. Et un site internet conçu aujourd'hui doit la prévoir dès la première maquette, au même titre que votre identité visuelle : ces signaux construisent ensemble la confiance du visiteur.
Envie d'y voir clair sans y passer vos soirées ? Envoyez-nous l'adresse de votre site et dites-nous ce que vous collectez : on vous répond franchement, avec les trois points à corriger en premier — et ceux qui peuvent attendre.