Chargement…
Chargement…
RGPD, cookies, bandeau de consentement, mentions légales : tout ce que votre site internet doit respecter en 2026 pour être conforme et éviter les sanctions.
La CNIL a distribué plus de 400 millions d'euros d'amendes liées au RGPD et aux cookies depuis l'entrée en vigueur du règlement. Et ce ne sont pas seulement les grandes entreprises qui sont visées. Des TPE et PME ont reçu des mises en demeure pour des sites non conformes — parfois suite à une simple plainte d'un visiteur.
En 2026, avoir un site internet qui ne respecte pas le RGPD et les règles sur les cookies, c'est prendre un risque juridique et financier réel. C'est aussi envoyer un mauvais signal à vos visiteurs sur votre sérieux.
Cet article fait le point sur ce que votre site doit concrètement respecter, sans jargon juridique inutile.
Le Règlement Général sur la Protection des Données (RGPD) impose une règle simple : toute collecte de données personnelles doit être légale, transparente et limitée au strict nécessaire.
Données personnelles : tout ce qui permet d'identifier directement ou indirectement une personne. Nom, email, adresse IP, numéro de téléphone, mais aussi cookies de tracking, données de formulaire, adresses de livraison.
Si votre site collecte une seule de ces informations — ne serait-ce qu'un formulaire de contact — vous êtes concerné par le RGPD.
Certains cookies sont indispensables au fonctionnement du site. Ils ne nécessitent pas de consentement mais doivent être mentionnés dans la politique de cookies.
Exemples :
Tout cookie qui n'est pas strictement nécessaire au fonctionnement du site nécessite un consentement explicite avant d'être déposé.
Exemples :
La CNIL a des exigences précises sur le bandeau de consentement. Voici ce qui est obligatoire :
Obligatoire :
Interdit :
Google Analytics 4 (GA4) utilise des cookies qui nécessitent un consentement. Tant que le visiteur n'a pas accepté, aucune donnée ne doit être envoyée à Google.
Alternative : des outils comme Plausible, Fathom ou Matomo (en configuration exemptée) peuvent mesurer l'audience sans cookies et sans consentement, à condition de respecter les critères d'exemption de la CNIL.
Tout site internet professionnel doit comporter des mentions légales accessibles. C'est la loi pour la confiance dans l'économie numérique (LCEN) qui l'impose.
Mentions obligatoires :
Distincte des mentions légales, la politique de confidentialité détaille le traitement des données personnelles. Elle doit préciser :
Si vous vendez des produits ou services en ligne, les Conditions Générales de Vente (CGV) sont obligatoires. Elles doivent être accessibles avant toute transaction et mentionner le droit de rétractation, les modalités de livraison, les garanties légales, etc.
Votre formulaire de contact collecte des données personnelles (nom, email, message). Voici ce qu'il doit respecter :
Vérifiez chaque point pour votre site :
Pages légales :
Bandeau cookies :
Formulaires :
Données :
Les sanctions peuvent atteindre 4 % du chiffre d'affaires annuel ou 20 millions d'euros (le montant le plus élevé est retenu). En pratique, les TPE et PME reçoivent d'abord une mise en demeure avec un délai pour se mettre en conformité.
Mais la CNIL peut aussi rendre publique la mise en demeure, ce qui constitue un risque réputationnel non négligeable.
N'importe quel visiteur peut porter plainte auprès de la CNIL si votre site ne respecte pas le RGPD. Et les associations de protection des consommateurs sont de plus en plus actives sur ces sujets.
Si votre site a besoin d'une refonte, c'est l'occasion idéale pour intégrer la conformité RGPD dès la conception.
La conformité RGPD doit être intégrée dès la conception du site (privacy by design). C'est ce que j'applique sur chaque projet de création de site internet : bandeau de consentement, pages légales, formulaires conformes, et configuration propre des outils analytics.
En tant que développeur web à Rennes, je m'assure que chaque site livré respecte les obligations légales françaises et européennes. Contactez-moi pour un audit de conformité de votre site ou pour intégrer ces éléments dans votre prochain projet.
Oui, dès qu'il collecte des données personnelles, même un simple formulaire de contact avec nom et email suffit. Le RGPD s'applique à toute collecte de données permettant d'identifier une personne, directement ou indirectement. L'adresse IP collectée par Google Analytics est déjà une donnée personnelle au sens du RGPD. En résumé : si votre site a un formulaire, des analytics ou des cookies tiers, il est concerné.
Plusieurs solutions existent selon votre stack technique. Pour WordPress : Complianz ou GDPR Cookie Compliance. Pour les sites sur mesure : Tarteaucitron (open source, français) ou Axeptio (payant, UX soignée). L'important est que l'outil bloque réellement les cookies avant consentement (pas seulement afficher un bandeau) et qu'il permette de refuser aussi facilement qu'accepter. Évitez les solutions qui ne font qu'afficher un bandeau sans bloquer les scripts.
Non, Google Analytics 4 dépose des cookies et transfère des données vers les serveurs de Google (aux États-Unis), ce qui nécessite un consentement explicite. Si vous voulez mesurer votre audience sans consentement, des alternatives existent : Plausible, Fathom ou Matomo (en configuration exemptée CNIL). Ces outils ne déposent pas de cookies et ne transfèrent pas de données hors UE, ce qui les exempte de la demande de consentement sous certaines conditions.
Deux minutes de questions, une fourchette d’heures honnête, et je vous rappelle pour en parler.
Estimer mon projet