RGPD : les bons réflexes pour votre site et votre prospection

Le principe : des données utiles, protégées, et un client qui garde la main

Le RGPD repose sur une idée simple. Les données personnelles appartiennent aux personnes, pas aux entreprises qui les collectent. Une entreprise peut les utiliser, mais à certaines conditions :

• pour un objectif précis et légitime (gérer une commande, envoyer un devis, assurer un suivi client…) ;
• en ne collectant que ce qui est nécessaire à cet objectif ;
• en informant les personnes de ce qu’on fait de leurs données ;
• en les conservant pendant une durée limitée ;
• en les protégeant contre les fuites et les accès non autorisés ;
• en respectant les droits des personnes : accéder à leurs données, les corriger, les faire effacer, s’opposer à la prospection.

Rien de révolutionnaire, au fond : c’est du bon sens, écrit noir sur blanc. Et c’est aussi un argument commercial. Les consommateurs sont de plus en plus attentifs à ce qu’on fait de leurs informations. Une entreprise qui les traite avec respect, qui ne les sollicite que lorsqu’ils l’ont souhaité, gagne leur confiance sur la durée. Et un client qui a confiance revient.

Votre site internet, premier chantier

Le site est souvent le premier endroit où une entreprise collecte des données sans y penser. Formulaire de contact, demande de devis, inscription à une lettre d’information, outils de mesure d’audience, boutons de réseaux sociaux, vidéos intégrées… Chacun de ces éléments mérite un petit contrôle.

Les formulaires

Un formulaire ne doit demander que ce qui est utile. Pour une demande de contact, un nom, un moyen de répondre et le message suffisent souvent ; la date de naissance ou l’adresse postale n’ont rien à y faire. Sous le formulaire, une courte mention indique à quoi serviront les données, combien de temps elles seront gardées et comment exercer ses droits, avec un lien vers la politique de confidentialité.

Si vous proposez une lettre d’information, l’inscription se fait par une case à cocher volontairement, jamais précochée. Et chaque envoi comporte un lien de désinscription qui fonctionne.

Les cookies et traceurs

C’est le sujet le plus visible pour vos visiteurs. Les cookies strictement nécessaires au fonctionnement du site (panier, sécurité, mémorisation du choix de cookies) peuvent être déposés sans demander. Pour tout le reste (mesure d’audience la plupart du temps, publicité, pixels des réseaux sociaux, certaines vidéos intégrées), il faut le consentement préalable du visiteur.

La CNIL, l’autorité française de protection des données, a précisé les règles du bandeau : refuser doit être aussi simple qu’accepter, le visiteur doit pouvoir choisir par finalité, et son choix doit pouvoir être modifié à tout moment. Un bandeau qui propose un gros bouton « Tout accepter » et un minuscule lien « Paramétrer » caché dans un coin n’est pas conforme. Et naviguer sur le site ne vaut pas acceptation.

Chez Graph’in !, nous avons développé notre propre extension WordPress de consentement aux cookies, que nous installons sur les sites de nos clients. Elle bloque les traceurs tant que le visiteur n’a pas fait son choix, propose le refus au même niveau que l’acceptation, et évite de dépendre d’un abonnement à un service tiers.

Les pages obligatoires

Tout site professionnel doit afficher des mentions légales (qui édite le site, qui l’héberge) et, dès qu’il collecte des données, une politique de confidentialité rédigée en langage clair : quelles données, pour quoi faire, combien de temps, qui y a accès, quels sont les droits des personnes et comment les exercer.

La sécurité

Protéger les données, c’est aussi protéger le site : connexion sécurisée (https), mises à jour régulières de WordPress et des extensions, mots de passe solides, sauvegardes, hébergement sérieux. Un site piraté qui laisse fuir les messages reçus par le formulaire de contact, c’est une fuite de données personnelles, avec les obligations qui vont avec. Nous en parlons dans l’article consacré à la maintenance et à la sécurité d’un site WordPress.

La prospection : opt-in, opt-out, qui a le droit de quoi ?

La prospection est le domaine où circulent le plus d’idées reçues. Les règles dépendent du canal utilisé et de la personne visée.

Vers les particuliers (B to C)

Par mail, SMS ou automate d’appel, la règle est l’opt-in : il faut l’accord préalable de la personne. Si elle n’a pas dit oui, c’est non. Une exception existe pour vos clients existants : vous pouvez leur proposer par mail des produits ou services analogues à ceux qu’ils ont déjà achetés, à condition de les avoir informés au moment de la collecte et de leur permettre de refuser simplement.

Par courrier postal, c’est l’opt-out : la prospection est possible tant que la personne ne s’y est pas opposée.

Au téléphone, le vent a tourné, après des années de liste d’opposition Bloctel. Depuis le 11 août 2026, le démarchage téléphonique des consommateurs suppose leur consentement préalable : c’est ce que prévoit la loi du 30 juin 2025. Le décret n° 2026-662 du 23 juillet 2026 encadre ensuite la façon de recueillir ce consentement, de le conserver et de permettre à la personne de le retirer. Avant toute campagne d’appels, vérifiez les règles en vigueur sur le site de la CNIL et sur celui de la DGCCRF.

Vers les professionnels (B to B)

Vers un professionnel, à son adresse professionnelle, la prospection par mail est possible sans accord préalable, à condition que le message soit en rapport avec sa fonction (proposer un logiciel de paie à un responsable des ressources humaines, par exemple), qu’il ait été informé et qu’il puisse s’opposer facilement aux envois suivants.

Dans tous les cas

Chaque message doit permettre de se désinscrire, simplement et gratuitement, et la désinscription doit être prise en compte. On ne réutilise pas des données trouvées en libre accès sur internet comme si elles avaient été confiées. Et l’on se méfie des fichiers vendus en ligne à prix cassé : rien ne garantit qu’ils soient à jour, ni qu’ils aient été constitués légalement. Un fichier plus petit mais qualifié, composé de personnes intéressées par ce que vous proposez, vaut bien mieux qu’une liste immense de gens qui ne vous connaissent pas.

En interne : un registre et une personne référente

Le RGPD demande de documenter ce que l’on fait des données. L’outil de base est le registre des traitements : un tableau qui liste chaque usage de données personnelles (gestion des clients, prospection, paie, recrutement, vidéosurveillance…), avec pour chacun les données concernées, l’objectif, la durée de conservation, les personnes qui y ont accès et les mesures de sécurité. La CNIL met à disposition un modèle simplifié pour les petites structures.

Faut-il un délégué à la protection des données (DPO) ? Il est obligatoire pour les organismes publics et pour les entreprises dont l’activité principale implique un suivi régulier et à grande échelle des personnes, ou le traitement à grande échelle de données sensibles. La plupart des TPE et PME n’y sont pas tenues. Il reste très utile de désigner en interne une personne référente, qui tient le registre, répond aux demandes et veille au respect des règles au quotidien.

Les données de vos collaborateurs sont, elles aussi, concernées : dossiers du personnel, paie, candidatures reçues. Une candidature non retenue, par exemple, ne se garde pas indéfiniment.

Quand un client demande ses données, ou quand ça fuit

Deux situations méritent d’être anticipées, parce qu’elles arrivent toujours au mauvais moment.

La première : un client, un ancien prospect ou un ancien salarié vous demande quelles données vous avez sur lui, ou vous demande de les effacer. Le RGPD prévoit une réponse dans un délai d’un mois en règle générale. Mieux vaut savoir à l’avance où se trouvent les données (le fameux registre sert justement à ça) et qui s’occupe de répondre. Une demande traitée vite et poliment reste un bon souvenir pour la personne, même si elle vous quitte.

La seconde : une fuite. Un ordinateur portable volé, une boîte mail piratée, un formulaire de site exploité par un robot malveillant. Quand une violation de données présente un risque pour les personnes, l’entreprise doit la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, et parfois prévenir les personnes concernées. Là encore, la meilleure défense reste la prévention : mises à jour, mots de passe solides, sauvegardes, accès limités à ceux qui en ont besoin.

Les idées reçues qui ont la vie dure

• « Je suis trop petit pour être concerné. » Faux : le RGPD s’applique dès qu’on manipule des données personnelles, quelle que soit la taille de l’entreprise.
• « En B to B, tout est permis. » Faux : la prospection par mail est plus souple, mais le message doit concerner la fonction du destinataire et lui permettre de refuser.
• « Un bandeau cookies avec un bouton Accepter suffit. » Faux : il faut pouvoir refuser aussi facilement.
• « Mon prestataire s’occupe de tout. » En partie seulement : il peut vous équiper et vous conseiller, mais c’est votre entreprise qui reste responsable de l’usage qu’elle fait des données.
• « Une fois en règle, c’est terminé. » Pas tout à fait : chaque nouvel outil, chaque nouveau formulaire, chaque nouvelle campagne se pose la question.

Où trouver les bonnes informations ?

La source de référence reste le site de la CNIL, qui propose des guides pratiques, des modèles et des fiches pour les petites entreprises. La CNIL et BPI France avaient d’ailleurs publié ensemble un guide pour aider les TPE et PME à adopter les bons réflexes. Votre expert-comptable, votre avocat ou votre conseiller web peuvent compléter selon votre situation.

Un site conforme, avec Graph’in !

L’équipage de Graph’in ! ne remplace pas un juriste, mais il s’occupe de tout ce qui touche à votre communication : formulaires sobres, bandeau de consentement maison, politique de confidentialité à jour, mesure d’audience respectueuse, lettre d’information dans les règles, site WordPress sécurisé et maintenu. Pour les entreprises de Nantes, d’Ancenis et de toute la Loire-Atlantique, découvrez notre accompagnement web et réseaux sociaux.

Pour aller plus loin, lisez aussi ce que le référencement peut rapporter à votre entreprise, et comment le mesurer dans le respect du consentement. Une question sur votre site ? Contactez-nous.

Levez l’encre !

Vos questions, nos réponses