RGPD et site internet : le guide de conformité pour les pros en 2026
La CNIL a infligé un montant record de 486,8 millions d'euros d'amendes en 2025, soit 9 fois plus qu'en 2024. Et 67 sanctions sur 83 visaient des petites structures via procédure simplifiée. Les PME ne sont plus épargnées. Pourtant, 60 % des PME françaises ne sont toujours pas conformes. Voici la checklist concrète pour mettre votre site en règle — rédigée par des développeurs web, pas des juristes.
2025 : l'année où la CNIL a frappé fort
Les chiffres de l'année 2025 montrent un durcissement massif :
- 486,8 millions d'euros d'amendes au total (record absolu, vs 55,2 M€ en 2024)
- 83 sanctions prononcées
- 143 mises en demeure
- 67 sanctions via procédure simplifiée — ciblant les petites structures (amendes ≤ 20 000 €)
- 21 organismes sanctionnés spécifiquement pour violations liées aux cookies
Les sanctions majeures : Google 325 M€ (cookies sans consentement), Shein 150 M€ (information insuffisante), Free 42 M€ (faille de sécurité, janvier 2026), France Travail 5 M€ (violation données, janvier 2026).
Le message est clair : la CNIL ne se limite plus aux géants. La procédure simplifiée (introduite en 2022) permet de sanctionner rapidement les PME avec des amendes de 5 000 à 20 000 €. Un plombier, un restaurant ou un cabinet médical non conforme est désormais exposé.
La checklist RGPD en 10 points pour votre site web
Voici les 10 éléments que votre site doit avoir pour être conforme :
- Mentions légales complètes. Obligatoires depuis la LCEN (2004). Doivent contenir : raison sociale, SIRET, adresse, nom du directeur de publication, hébergeur avec adresse. Page accessible depuis toutes les pages du site (footer).
- Politique de confidentialité. Document qui décrit quelles données personnelles vous collectez, pourquoi, combien de temps vous les conservez, et comment les utilisateurs peuvent exercer leurs droits (accès, rectification, suppression). Doit être rédigée en français courant, pas en jargon juridique.
- Bandeau cookies conforme. Le consentement doit être libre, éclairé et préalable. Concrètement : un bandeau avec « Accepter » ET « Refuser » de même taille et même visibilité. Pas de dark patterns (bouton refuser caché, pré-cochage). Les cookies analytics et publicitaires ne peuvent pas être déposés avant le consentement explicite.
- Formulaires avec base légale. Chaque formulaire de contact, newsletter ou devis doit mentionner la finalité de la collecte et la base légale (consentement ou intérêt légitime). Case à cocher non pré-cochée pour le marketing.
- HTTPS obligatoire. Certificat SSL sur toutes les pages. Un site en HTTP expose les données en clair — et Google le signale comme « Non sécurisé ».
- Sécurité des données. Mots de passe hashés, accès administrateur protégé, sauvegardes régulières. La faille de Free (42 M€ d'amende) rappelle que la sécurité n'est pas optionnelle.
- Durée de conservation définie. Les données de contact ne peuvent pas être conservées indéfiniment. La CNIL recommande 3 ans maximum après le dernier contact pour la prospection commerciale.
- Registre des traitements. Document interne (pas publié sur le site) qui recense tous les traitements de données personnelles. Obligatoire pour les structures de 250+ salariés, recommandé pour toutes.
- DPO ou contact RGPD. Pour les structures de 250+ salariés, un DPO (Délégué à la Protection des Données) est obligatoire. Pour les TPE/PME, un simple contact RGPD dans la politique de confidentialité suffit.
- Droit d'opposition et de suppression. Un utilisateur doit pouvoir demander la suppression de ses données. Votre politique de confidentialité doit indiquer comment le faire (email, formulaire) et le délai de traitement (30 jours maximum).
RGPD pour une TPE : ce qui est vraiment obligatoire vs recommandé
Le RGPD fait peur parce qu'il est souvent présenté dans sa version maximale (grandes entreprises). Pour une TPE avec un simple site vitrine, voici ce qui est obligatoire vs recommandé :
| Élément | Obligatoire | Recommandé |
|---|---|---|
| Mentions légales | ✅ Oui (LCEN) | — |
| Politique de confidentialité | ✅ Oui (si collecte données) | — |
| Bandeau cookies | ✅ Si cookies non essentiels | Pas nécessaire si 0 cookie tiers |
| HTTPS | ✅ Oui | — |
| Registre des traitements | ❌ Non (< 250 salariés) | ✅ Bonne pratique |
| DPO désigné | ❌ Non (< 250 salariés) | ✅ Contact RGPD suffit |
| Analyse d'impact (AIPD) | ❌ Non (sauf données sensibles) | ❌ Non pertinent TPE |
| CMP (plateforme cookies) | ✅ Si cookies tiers | Inutile si analytics cookieless |
Concrètement, une TPE avec un site vitrine qui utilise Plausible (sans cookies) et un formulaire de contact simple a besoin de : mentions légales + politique de confidentialité + HTTPS. C'est tout.
Chez KYTIPO, ces trois éléments sont inclus dans tous les forfaits. On génère les mentions légales et la politique de confidentialité conformes lors de la livraison du site. Pas de supplément.
La conformité RGPD comme avantage compétitif (pas juste une contrainte)
Au-delà de l'obligation légale, la conformité RGPD est un signal de confiance qui impacte directement vos conversions :
- 92 % des consommateurs français se disent préoccupés par la protection de leurs données en ligne (Ifop 2024)
- Un site avec un bandeau cookies clair et une politique de confidentialité lisible inspire plus confiance qu'un site sans mentions légales
- Google favorise les sites HTTPS et conformes dans ses classements
- Les IA génératives citent plus facilement les sites qui respectent les standards web — dont le RGPD fait partie
Votre conformité RGPD est aussi un argument commercial face aux clients B2B. Les entreprises qui traitent avec des sous-traitants exigent de plus en plus la conformité RGPD de leurs partenaires. Un site conforme = un partenaire de confiance.
Pour en savoir plus sur l'autre obligation réglementaire majeure, consultez notre guide EAA accessibilité numérique.
Questions fréquentes
Prêt à passer à l'action ?
Maquette gratuite sous 24h, sans engagement.