RGPD et site internet : le principe à comprendre avant tout
Le RGPD n'interdit presque rien : il conditionne la collecte de données à une base légale. Ce que ça change pour un site internet, et ce qui reste à vérifier.
Par La rédaction 4 min de lecture
Le RGPD n’interdit presque rien à un site internet : il conditionne la collecte de données personnelles à l’existence d’une base légale et à un principe de proportionnalité (dossier d’expertise, §28.4, relevé le 31/08/2026). Ce texte ne dresse pas une liste d’interdictions à cocher. Il pose une question, à se poser avant chaque collecte : sur quelle base légale ce traitement repose-t-il ?
Le principe qui commande tout : conditionner, pas interdire
Un gérant qui vient d’ouvrir un site internet cherche souvent une liste de règles à appliquer. Le RGPD ne fonctionne pas ainsi. Il ne dit pas « vous ne pouvez pas collecter telle donnée » : il dit qu’un traitement de données personnelles doit reposer sur une base légale et rester proportionné à sa finalité (dossier §28.4, 31/08/2026). C’est une clé de lecture, pas un article de loi à citer mot pour mot : elle sert à examiner chaque usage du site plutôt qu’à cocher une case unique.
Ce qui, sur un site, relève presque toujours d’un traitement de données personnelles
Un formulaire de contact enregistre un nom, une adresse e-mail, parfois un numéro de téléphone. Une inscription à une newsletter fait de même. Un outil de mesure d’audience collecte des données de navigation qui peuvent, selon leur configuration, identifier un visiteur. Dans les trois cas, il s’agit d’un traitement de données personnelles au sens général du texte. Le fait qu’un site soit petit, récent ou géré par un indépendant ne le sort pas de ce cadre.
La question à se poser avant toute collecte : quelle est la base légale ?
Avant d’ajouter un formulaire ou un outil de suivi, la question à trancher est celle de la base légale du traitement : le consentement de la personne, l’exécution d’un contrat, ou un intérêt légitime du responsable du site. Ce choix dépend de la nature du traitement et du contexte dans lequel il intervient. Cette page ne configure aucun formulaire à la place du lecteur : elle expose le principe qui doit guider la décision, pas la décision elle-même.
Ce que cette page ne tranche pas
Elle ne fixe aucune règle sur les cookies : ni le contenu d’un bandeau de consentement, ni la durée pendant laquelle ce consentement reste valable. Elle ne fixe aucun seuil à partir duquel la désignation d’un délégué à la protection des données deviendrait obligatoire. Elle n’avance aucun montant de sanction. Elle ne fixe aucune durée de conservation des données selon qu’il s’agit d’un prospect, d’un client ou d’une statistique de visite : la règle générale est qu’une durée doit rester proportionnée à la finalité du traitement, sans que ce dossier ne permette d’écrire un nombre de mois ou d’années précis.
Où vérifier, au cas par cas, avant de publier un formulaire
Ces points précis — bandeau de cookies, seuil DPO, montants de sanction, durées de conservation — relèvent de la CNIL, autorité compétente en France sur la protection des données. Avant de publier un formulaire ou un outil de mesure d’audience, la vérification se fait auprès d’elle, au moment de la mise en ligne, plutôt qu’à partir d’une règle générale figée dans un article.
Un régime distinct mérite d’être signalé pour ne pas être confondu : tout site édité à titre professionnel doit afficher des mentions légales (nom ou dénomination, adresse, numéro RCS le cas échéant, directeur de publication), obligation issue de la LCEN, art. 6-III. Ce n’est pas une exigence du RGPD : ce sont deux régimes séparés, l’un sur l’identification de l’éditeur, l’autre sur la protection des données. La même logique de base légale se retrouve aussi du côté des outils d’intelligence artificielle utilisés en entreprise, et la question numérique ne s’arrête pas au RGPD : une autre obligation numérique récente concerne les entreprises. Les indépendants ne sont pas à l’écart de ce cadre : les micro-entrepreneurs avec un site internet sont concernés au même titre.
La conformité juridique ne remplace pas la protection technique : sécuriser concrètement les données d’une petite structure relève d’un chantier distinct.
Poursuivre la lecture
