RGPD et cookies sur un site web : le guide pour une PME

Un site de PME collecte presque toujours des données personnelles : un formulaire de contact, un outil de statistiques, une vidéo YouTube intégrée, un bouton de partage. Le RGPD (le règlement européen sur les données personnelles) et la loi française Informatique et Libertés s’appliquent donc dès la première page en ligne, quelle que soit la taille de l’entreprise. La bonne nouvelle : pour un site vitrine ou une petite boutique, la mise en règle tient en une liste courte. Voici ce que nous vérifions sur chaque site que nous livrons, et ce que vous pouvez vérifier vous-même dès aujourd’hui.

Que dit la loi sur les cookies d’un site web ?

Le texte de référence pour les cookies en France est l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. Il impose de recueillir le consentement de la personne avant toute opération de lecture ou d’écriture sur son appareil (ordinateur, téléphone), sauf pour les traceurs strictement nécessaires au service demandé. La CNIL (l’autorité française de protection des données) a précisé ces règles dans ses lignes directrices et sa recommandation sur les cookies.

Le RGPD, lui, s’applique à toutes les données personnelles que le site traite ensuite : l’adresse e-mail laissée dans un formulaire, l’adresse IP enregistrée par un outil de statistiques, l’identifiant publicitaire. Les deux textes se complètent. Le premier dit quand vous pouvez poser un traceur, le second dit comment vous devez traiter ce qui en sort.

Un point que beaucoup de dirigeants ignorent : le mot « cookie » couvre aussi les pixels de suivi (Meta, LinkedIn), les scripts d’un outil de chat, les polices chargées depuis un serveur tiers si elles permettent une identification, et les vidéos intégrées depuis YouTube ou Vimeo. Si un script d’un tiers lit ou écrit quelque chose sur l’appareil du visiteur, la règle s’applique.

Quels cookies peuvent se passer de consentement ?

Les traceurs exemptés sont ceux qui servent uniquement à fournir le service que le visiteur demande. Selon la CNIL, c’est le cas des traceurs qui gardent le contenu d’un panier sur une boutique en ligne, de ceux qui maintiennent une session connectée, de ceux qui mémorisent la langue ou une préférence d’affichage attendue, et de celui qui enregistre le choix du visiteur sur les cookies eux-mêmes.

La mesure d’audience peut aussi être exemptée, mais à des conditions strictes. Toujours selon la CNIL, l’outil doit servir au seul éditeur du site, ne produire que des statistiques anonymes, ne pas recouper les données avec d’autres traitements, ne pas suivre la personne d’un site à l’autre, limiter la durée de vie du traceur à treize mois sans renouvellement automatique, et conserver les données vingt-cinq mois au maximum. La CNIL publie une liste d’outils de statistiques qui peuvent être configurés pour entrer dans cette exemption. Un outil de statistiques réglé « par défaut », qui partage les données avec une régie publicitaire, n’y entre pas.

Notre avis : pour une PME, la configuration exemptée est souvent le meilleur choix. Vous mesurez la fréquentation sans bandeau pour cette partie, et vous gardez des chiffres complets au lieu de perdre tous les visiteurs qui refusent. La contrepartie est de renoncer au ciblage publicitaire fin, ce qu’une entreprise locale n’utilise presque jamais.

Le bandeau cookies : ce qu’il doit faire et ne pas faire

Le bandeau conforme propose le refus au même niveau que l’acceptation, informe sur les finalités avant tout dépôt, et ne pose aucun traceur soumis à consentement tant que le visiteur n’a pas choisi. La CNIL résume la règle en une phrase, « refuser les cookies doit être aussi simple que de les accepter », et en a fait une campagne de contrôle : une vingtaine d’organismes mis en demeure en mai 2021, puis une quarantaine d’autres en juin de la même année.

Concrètement, voici ce que nous contrôlons sur un bandeau :

Deux précisions utiles. Le consentement doit être libre, spécifique, éclairé et sans ambiguïté : continuer à faire défiler la page ne vaut pas accord. Et la CNIL considère comme une bonne pratique de conserver le choix du visiteur, acceptation comme refus, pendant six mois, pour ne pas lui reposer la question en permanence.

Côté technique, le bandeau doit vraiment bloquer les scripts. Nous voyons souvent des sites où le bandeau est en place mais où le gestionnaire de balises charge quand même les pixels, parce que personne n’a relié le choix du visiteur au déclenchement des scripts. Le bandeau devient alors un décor, et c’est précisément ce que la CNIL reproche dans ses décisions : des cookies déposés avant le consentement, ou maintenus après un refus.

Les formulaires et les autres données du site

Chaque formulaire qui collecte une donnée personnelle doit informer la personne au moment de la collecte. Selon la CNIL, cette information comprend l’identité de l’organisme responsable, les finalités, les destinataires, la durée de conservation, les droits de la personne et le point de contact pour les exercer. Il faut aussi indiquer quels champs sont obligatoires. Une phrase claire sous le bouton d’envoi, avec un lien vers la politique de confidentialité, suffit dans la plupart des cas.

Exemple générique : un cabinet d’expertise comptable propose un formulaire « Demander un devis ». Sous le bouton, il écrit : « Vos données servent uniquement à répondre à votre demande. Elles sont conservées trois ans après notre dernier échange, puis supprimées. Vous pouvez demander leur accès ou leur suppression à cette adresse. » Trois ans à compter du dernier contact est la durée que la CNIL recommande pour les données de prospects.

Pensez aussi à ce qui ne se voit pas : le formulaire envoie souvent les données vers un outil tiers (une messagerie, un tableur en ligne, un CRM). Chacun de ces outils est un sous-traitant au sens du RGPD, et il doit figurer dans vos documents. Les outils hébergés aux États-Unis sont de nouveau utilisables sans montage juridique lourd depuis la décision d’adéquation de juillet 2023, à condition que le fournisseur soit certifié dans le cadre du Data Privacy Framework. Vérifiez cette certification dans sa documentation plutôt que de la supposer.

Le registre et la politique de confidentialité

Toute entreprise qui traite des données personnelles doit tenir un registre de ses traitements, quelle que soit sa taille. Les entreprises de moins de 250 salariés bénéficient d’un allègement : selon la CNIL, elles n’ont à y inscrire que les traitements non occasionnels (clients, prospects, paie, fournisseurs), ceux qui présentent un risque pour les personnes, et ceux qui portent sur des données sensibles. Pour un site vitrine, cela donne en pratique deux ou trois lignes : le formulaire de contact, la mesure d’audience, la newsletter si elle existe. La CNIL fournit un modèle de registre simplifié, gratuit, pensé pour les TPE et PME.

La politique de confidentialité est la version publique de ce registre. Elle liste les traitements, les durées, les destinataires, les droits, et le moyen de contacter l’entreprise. Elle est distincte des mentions légales, qui répondent à une autre obligation : nous détaillons la différence dans notre guide sur les mentions légales obligatoires d’un site internet.

Notre avis : écrivez cette page en français courant, pas en copier-coller juridique. Un visiteur qui comprend ce que vous faites de ses données vous fait plus facilement confiance, et la CNIL demande justement une information lisible, pas une notice de dix pages.

Sanctions : ce qui arrive vraiment

La CNIL sanctionne les manquements aux cookies, et pas seulement chez les géants. Dans son bilan 2025, elle indique que les cookies, la surveillance des salariés et la sécurité des données ont été les principaux motifs de sanction, pour un total cumulé de 486 839 500 euros d’amendes sur l’année. Vingt-et-un organismes ont été sanctionnés sur les traceurs : dépôt sans consentement, information insuffisante, ou refus du visiteur non pris en compte.

Les montants donnent l’échelle. En septembre 2025, la filiale du groupe SHEIN a reçu une amende de 150 millions d’euros pour des cookies déposés sans consentement. En novembre 2025, l’éditeur du site vanityfair.fr a été sanctionné de 750 000 euros, et American Express Carte France de 1,5 million d’euros, pour des manquements aux règles sur les traceurs. Le plafond prévu par le RGPD atteint 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Pour les petites structures, la CNIL dispose aussi d’une procédure simplifiée, plus rapide, avec des amendes à l’échelle de l’organisme.

Pour une PME, le risque le plus courant n’est pas la grande amende mais la mise en demeure après une plainte d’un visiteur ou d’un concurrent, avec un délai pour se mettre en règle. C’est gérable, mais c’est du temps et du stress évitables. Les mêmes contrôles valent pour l’accessibilité, un autre sujet que les PME découvrent souvent tard : voyez notre guide sur les obligations d’accessibilité d’un site web en France.

Par où commencer : la liste en six étapes

Commencez par inventorier ce que votre site charge réellement, puis corrigez dans l’ordre du risque. Voici la méthode que nous appliquons lors d’une refonte de site web, et qui tient en une demi-journée pour un site vitrine.

1. Listez les scripts tiers. Ouvrez le site en navigation privée, outils de développement, onglet réseau. Notez chaque domaine externe : statistiques, pixels, vidéos, polices, chat, cartes.
2. Classez-les. Exempté (panier, session, langue, mesure d’audience configurée pour l’exemption) ou soumis à consentement (publicité, réseaux sociaux, vidéos intégrées, chat).
3. Branchez un gestionnaire de consentement qui bloque réellement les scripts de la deuxième catégorie avant le choix, avec refus au premier niveau et lien de retrait en pied de page.
4. Réglez la mesure d’audience pour entrer dans l’exemption, ou gardez-la derrière le consentement si vous avez besoin du ciblage publicitaire.
5. Reprenez chaque formulaire : phrase d’information, champs obligatoires marqués, durée de conservation, lien vers la politique de confidentialité.
6. Remplissez le registre avec le modèle de la CNIL et publiez la politique de confidentialité.

Si vous voulez un premier état des lieux sans rien installer, notre analyse gratuite de site repère les traceurs chargés avant tout clic et la présence des pages légales. Elle ne remplace pas un conseil juridique, mais elle montre en quelques minutes où regarder en premier.

Questions fréquentes

Un site vitrine sans formulaire a-t-il besoin d’un bandeau cookies ?

Seulement s’il charge des traceurs soumis à consentement. Un site qui n’utilise qu’une mesure d’audience configurée pour l’exemption, sans pixel publicitaire ni vidéo intégrée, peut se passer de bandeau. Il doit tout de même informer les visiteurs de cette mesure d’audience dans sa politique de confidentialité.

Le bouton « Continuer sans accepter » est-il accepté par la CNIL ?

Oui, la CNIL cite cette formulation comme un moyen simple et clair d’exprimer un refus, à condition qu’elle soit aussi visible et accessible que le bouton d’acceptation. Un lien gris minuscule à côté d’un gros bouton bleu ne remplit pas cette condition.

Faut-il un délégué à la protection des données dans une PME ?

Pas forcément. Le délégué (DPO) est obligatoire pour les organismes publics et pour les entreprises dont l’activité principale repose sur un suivi régulier et à grande échelle des personnes ou sur des données sensibles. Un cabinet, un restaurant ou un artisan avec un site vitrine n’est généralement pas concerné, mais il doit quand même désigner un point de contact pour les demandes des visiteurs.