RGPD site web conformité : obligations réelles à respecter

Un site web conforme au RGPD doit, en pratique, maîtriser quatre chantiers : la gestion des cookies, l’usage des outils d’analytics, la structuration des formulaires et la relation avec les sous-traitants. Selon les lignes directrices et décisions des autorités européennes, la conformité ne se joue ni sur un simple bandeau décoratif ni sur une clause copiée-collée, mais sur la capacité à informer clairement, à recueillir un consentement valable et à prouver ses choix3.

En France comme dans les autres États membres, les autorités de contrôle (notamment la CNIL) ont précisé ce qu’un site doit réellement mettre en place : un dispositif de consentement aux cookies non essentiels, un paramétrage spécifique ou une alternative à Google Analytics, une politique de confidentialité structurée autour des mentions obligatoires du RGPD et des contrats encadrant chaque sous-traitant258. Le reste – bandeaux purement décoratifs, mentions génériques « nous respectons votre vie privée », paramétrages par défaut d’outils américains – relève désormais de la légende.

Un bandeau cookies n’est obligatoire que pour les traceurs non essentiels

Un bandeau cookies est obligatoire dès lors que le site dépose ou lit des cookies ou autres traceurs non strictement nécessaires, notamment pour la mesure d’audience, la publicité ou la personnalisation1. Les cookies indispensables au fonctionnement du site (session, panier d’achat, authentification, sécurité) peuvent, eux, être utilisés sans consentement préalable, mais doivent être décrits dans la politique de cookies ou de confidentialité1.

Les recommandations de la CNIL et des guides de conformité en 2024–2026 convergent sur plusieurs exigences opérationnelles pour les bandeaux16 :

• Présenter des choix équilibrés : lorsqu’un bouton « Tout accepter » est proposé, un bouton « Tout refuser » doit être aussi visible, accessible et disponible dès le premier niveau d’information16.
• Bloquer les traceurs non essentiels avant consentement : les cookies d’analytics non exemptés, de publicité, de réseaux sociaux ne doivent pas être déposés tant qu’aucune action positive n’a été accomplie par l’utilisateur.
• Recueillir un consentement actif : cases non pré‑cochées, absence de consentement implicite par la poursuite de la navigation, et journalisation de la preuve de consentement (date, choix)1.
• Permettre le retrait aussi facilement que le don : un lien permanent (souvent en pied de page) doit permettre de rouvrir le bandeau ou le centre de préférences pour modifier ou retirer son consentement1.

Selon la CNIL, un bandeau est donc non nécessaire pour un site qui n’utilise strictement aucun traceur non essentiel, y compris d’analytics, de publicité ou de personnalisation1. En pratique, cela suppose soit l’absence totale de mesure d’audience, soit l’usage d’un outil de statistiques configuré pour bénéficier de l’exemption, ce qui impose un paramétrage restrictif documenté (adresse IP tronquée, absence de reciblage, durée de stockage limitée, etc.).

Plusieurs pratiques restent répandues mais sont désormais considérées comme non conformes ou risquées13 :

• Conditionner l’accès au contenu à l’acceptation des cookies (« cookie wall ») sans alternative payante ou sans équilibre démontré.
• Cacher le refus dans un second écran ou derrière un lien peu visible, en misant sur la fatigue de l’utilisateur (dark patterns)3.
• Affirmer que « la poursuite de la navigation vaut accord » alors que le consentement doit être un acte clair, libre et spécifique.

Google Analytics n’est pas conforme par défaut au RGPD

L’utilisation de Google Analytics, qu’il s’agisse d’Universal Analytics ou de GA4, a fait l’objet de décisions répétées de plusieurs autorités de protection européennes concluant à sa non‑conformité en configuration standard, principalement du fait des transferts de données vers les États‑Unis sans garanties jugées suffisantes78. En Autriche, en France, en Italie, au Danemark, en Norvège, en Finlande et aux Pays‑Bas, les autorités ont estimé que les données de navigation associées à des identifiants pouvaient constituer des données personnelles et que les mécanismes proposés par Google ne neutralisaient pas suffisamment les risques liés au droit américain de la surveillance78.

Selon des analyses synthétisant ces décisions, l’Autriche a rendu la première décision nette en 2021, suivie par la CNIL française en 2022 qui a mis en demeure des éditeurs de sites d’abandonner Google Analytics ou de mettre en place des « mesures supplémentaires » jugées efficaces7. Ces positions ont été confirmées ou relayées par d’autres autorités en 2023 et 2024, plusieurs pays allant jusqu’à considérer l’outil comme « illégal » ou « non conforme » en l’état810.

Face à cela, les guides de conformité en 2026 décrivent trois options réalistes pour un site souhaitant mesurer son audience8 :

• Basculer vers un outil hébergé dans l’Union européenne ou auto‑hébergé, conçu pour être conforme et, le cas échéant, éligible à l’exemption de consentement (statistiques strictement anonymisées, pas de reciblage, conservation courte)8.
• Limiter Google Analytics à un périmètre très restreint, assorti de mesures techniques et contractuelles supplémentaires (proxy européen, pseudonymisation avancée, clauses contractuelles types, vérification du Data Privacy Framework), ce qui nécessite une analyse juridique approfondie et une documentation précise8.
• Renoncer à Google Analytics lorsque l’organisation ne peut pas démontrer la proportionnalité du traitement ni l’efficacité des garanties, ce que recommandent plusieurs experts et cabinets pour les sites qui n’ont pas de besoins d’analyse très sophistiqués8.

La position qui ressort des sources récentes est claire : considérer Google Analytics comme conforme par défaut au RGPD en Europe est une croyance désormais contredite par les décisions successives des autorités de contrôle7810. Le sujet ne se résume pas au paramétrage des cookies, mais au respect des règles de transfert de données hors UE et des exigences de sécurité.

Ce que doit contenir une politique de confidentialité conforme

Une politique de confidentialité est obligatoire sur tout site français qui collecte une donnée personnelle, même via un simple formulaire de contact ou une inscription à une newsletter, en application de l’article 13 du RGPD25. Les modèles et guides publiés depuis 2024 détaillent une structure devenue quasi standard, articulée autour d’une douzaine de mentions essentielles25.

Selon ces sources, une politique de confidentialité conforme doit au minimum contenir les éléments suivants25 :

• Identité et coordonnées du responsable du traitement (entreprise, association, etc.).
• Coordonnées du délégué à la protection des données (DPO) si un DPO est désigné.
• Finalités des traitements : pourquoi les données sont collectées (gestion des demandes, envoi de newsletters, vente de produits, mesure d’audience, etc.).
• Bases légales de chaque traitement : consentement, exécution d’un contrat, obligation légale, intérêt légitime25.
• Catégories de destinataires : services internes et sous‑traitants qui accèdent aux données (hébergeur, prestataire d’emailing, outil de CRM, plateforme de paiement, etc.)25.
• Transferts hors Union européenne, le cas échéant, avec les garanties mises en œuvre (clauses contractuelles types, participation au cadre de protection des données, mesures techniques complémentaires)5.
• Durées de conservation par type de donnée et par finalité (par exemple, demandes de contact conservées quelques années, données de facturation conservées plus longtemps en raison d’obligations légales)25.
• Droits des personnes concernées : accès, rectification, effacement, opposition, portabilité, limitation du traitement, ainsi que les modalités pratiques pour les exercer (adresse courriel, formulaire)25.
• Droit d’introduire une réclamation auprès de l’autorité de contrôle compétente (en France, la CNIL)25.
• Caractère obligatoire ou facultatif des données demandées, et conséquences d’une non‑fourniture (impossibilité de traiter la demande, de livrer une commande, etc.)5.
• Existence d’une prise de décision automatisée ou d’un profilage, si applicable, avec les principales caractéristiques et conséquences5.

Les sources insistent sur deux points souvent négligés25 :

• La politique de confidentialité doit être spécifique au site et à ses traitements. Les modèles génériques peuvent servir de base, mais le responsable doit adapter chaque section à ses finalités, à ses outils et à ses sous‑traitants.
• Le document doit rester compréhensible pour un lecteur non spécialiste : phrases claires, absence de jargon technique non expliqué, hiérarchisation des informations (titres, sous‑titres, listes).

Certaines pratiques répandues sont désormais considérées comme obsolètes ou insuffisantes25 : l’usage de modèles copiés sans adaptation, les mentions « nous ne revendons jamais vos données » sans précision sur les destinataires réels, ou les documents qui se focalisent sur les cookies en oubliant les formulaires, l’emailing ou la gestion des comptes.

Formulaires, newsletters et comptes : les obligations concrètes

Au‑delà des cookies et d’analytics, la conformité RGPD d’un site se joue surtout dans la manière de collecter des données via les formulaires de contact, d’inscription et de création de compte. Les guides pratiques mettent en avant quelques règles structurantes, directement dérivées des articles 5, 6 et 13 du RGPD25 :

• Minimisation des données : ne collecter que les informations nécessaires à la finalité déclarée (par exemple, ne pas exiger la date de naissance pour un simple formulaire de contact).25
• Clauses d’information visibles : placer un lien clair vers la politique de confidentialité à proximité du bouton d’envoi, voire résumer en une phrase la finalité et la base légale (par exemple, « Vos données sont utilisées uniquement pour répondre à votre demande »).25
• Consentement distinct pour la prospection : si l’adresse courriel collectée pour une réponse à un message est ensuite utilisée pour envoyer des newsletters ou des offres, une case à cocher séparée, non pré‑cochée, est requise25.
• Double opt‑in recommandé pour les newsletters : même si la double confirmation n’est pas explicitement imposée par le RGPD, plusieurs guides la recommandent comme bonne pratique pour prouver le consentement et éviter les inscriptions frauduleuses25.

Pour les comptes clients et espaces utilisateurs, la conformité implique également une réflexion sur les durées de conservation et sur la suppression des comptes inactifs, afin de ne pas conserver indéfiniment des données sans finalité actuelle25. Les politiques publiées récemment insistent sur la nécessité de décrire clairement ces durées et les règles de purge.

Sous‑traitants, hébergeurs et outils tiers : encadrer la chaîne

Un site conforme au RGPD ne se limite pas à ce qu’il affiche, mais à la manière dont il encadre les prestataires qui traitent des données pour son compte. Les modèles de conformité recensent systématiquement les sous‑traitants dans la politique de confidentialité et dans la documentation interne, et rappellent la nécessité d’un contrat conforme à l’article 28 du RGPD59.

En pratique, cela concerne59 :

• L’hébergeur du site et des bases de données.
• Les outils d’emailing (transactionnel et marketing).
• Les solutions de paiement et de facturation.
• Les solutions de support (chat, ticketing) et de CRM.
• Les outils d’analytics et de marketing automation.

Les documents recensés en 2026 indiquent que chaque contrat de sous‑traitance doit préciser les catégories de données traitées, les finalités, les mesures de sécurité techniques et organisationnelles, les modalités de coopération en cas de demande d’exercice de droits ou d’incident de sécurité, ainsi que les règles relatives aux transferts hors UE59. Ces informations sont ensuite résumées dans la politique de confidentialité côté utilisateur.

Questions fréquentes

Un bandeau cookies est‑il toujours obligatoire sur un site web ?

Un bandeau cookies n’est obligatoire que si le site utilise des cookies ou traceurs non strictement nécessaires, notamment pour la mesure d’audience non exemptée, la publicité ou la personnalisation1. Un site qui n’emploie que des cookies indispensables au fonctionnement (session, panier, sécurité) peut se passer de bandeau, à condition de décrire ces traceurs dans sa politique de confidentialité ou de cookies1. Les sources récentes soulignent toutefois que cette situation est rare : la plupart des sites recourent à au moins un outil de mesure ou de personnalisation, ce qui déclenche l’obligation de bandeau conforme (acceptation et refus équilibrés, blocage des traceurs avant consentement)16.

Google Analytics est‑il encore utilisable de manière conforme au RGPD ?

Les décisions de plusieurs autorités européennes depuis 2022 concluent que l’usage standard de Google Analytics, avec transferts de données vers les États‑Unis, n’est pas conforme au RGPD7810. Il est possible, en théorie, d’envisager des configurations assorties de mesures supplémentaires (proxy européen, pseudonymisation forte, garanties contractuelles et techniques), mais ces mises en œuvre restent complexes et controversées8. Les guides de conformité recommandent, pour les sites ordinaires, de privilégier un outil d’analytics hébergé dans l’UE ou auto‑hébergé, conçu pour respecter les exigences de minimisation et, parfois, bénéficier d’une exemption de consentement8.

Que doit absolument contenir une politique de confidentialité de site web ?

Une politique de confidentialité doit, au minimum, reprendre les mentions d’information prévues par l’article 13 du RGPD : identité du responsable, coordonnées éventuelles du DPO, finalités et bases légales des traitements, catégories de destinataires, transferts éventuels hors UE, durées de conservation, droits des personnes et modalités pour les exercer, ainsi que le droit d’introduire une réclamation auprès de l’autorité compétente25. Les modèles publiés en 2026 ajoutent des précisions sur le caractère obligatoire ou facultatif des données, les conséquences d’une non‑fourniture et l’existence éventuelle de décisions automatisées ou de profilage5. L’ensemble doit être formulé dans un langage accessible, structuré en sections claires et adapté aux traitements effectivement réalisés par le site.

Une simple mention « en envoyant ce formulaire, vous acceptez… » suffit‑elle au regard du RGPD ?

Les sources récentes indiquent qu’une phrase générique accolée à un formulaire ne suffit pas si elle ne précise ni la finalité, ni la base légale, ni les principaux droits de la personne25. Pour le traitement d’une demande ponctuelle, la base peut être l’exécution de mesures précontractuelles et ne nécessite pas toujours un consentement spécifique, mais l’information reste obligatoire (utilisation des données, durée de conservation, destinataires)25. En revanche, pour la prospection ou l’inscription à une newsletter, un consentement explicite et distinct est requis, matérialisé par une case non pré‑cochée et une formulation claire, ce qui dépasse largement la simple mention générique25.

Les anciens modèles de bandeaux et politiques sont‑ils encore acceptables en 2026 ?

Les pratiques qui se contentent d’un bandeau informant de l’usage de cookies sans offrir de refus simple, ou qui assimilent la poursuite de la navigation à un accord, sont désormais considérées comme non conformes par les autorités et les spécialistes13. De même, les politiques de confidentialité génériques, copiées sans adaptation, qui omettent les sous‑traitants, les durées de conservation ou les bases légales, ne répondent plus aux exigences de transparence rappelées par les modèles de 202625. Les organisations sont invitées à mettre à jour ces documents et dispositifs pour les aligner sur les recommandations récentes, en documentant leurs choix et en évitant les formulations vagues ou purement déclaratives.