« Le RGPD, c’est pour les grandes entreprises » : c’est l’idée reçue la plus répandue chez les indépendants et petites structures. En réalité, dès qu’un site propose un formulaire de contact, un devis en ligne ou une inscription à une newsletter, il collecte des données personnelles et le RGPD s’applique, quelle que soit la taille de l’entreprise.

La bonne nouvelle : pour un site vitrine ou une petite boutique en ligne, les obligations restent gérables une fois qu’on sait exactement où regarder. Pour cadrer le sujet, cet article s’appuie notamment sur les ressources de la CNIL dédiées aux TPE-PME et sur son guide sur le registre des traitements, puis ramène les points importants à des décisions concrètes.

Quelles données votre site collecte-t-il réellement ?

La première étape est souvent négligée : lister, page par page, ce qui est réellement collecté. Un formulaire de contact récupère un nom, un email, parfois un téléphone. Un devis en ligne peut ajouter une adresse ou une description de projet. Un espace membre ou une boutique ajoutent identifiants, historique d’achat et parfois des données de paiement. Chaque champ ajouté au formulaire est une donnée dont il faut pouvoir justifier l’utilité.

Le registre des traitements : la fausse bonne excuse du « je suis trop petit »

Le RGPD prévoit une dérogation à l’obligation de tenir un registre pour les structures de moins de 250 salariés. Mais la CNIL est claire sur sa portée réelle : elle ne joue que pour des traitements occasionnels, non routiniers et sans risque pour les personnes concernées — l’exemple type est une campagne ponctuelle pour l’ouverture d’un établissement. Un formulaire de contact ou une newsletter permanents sur un site professionnel ne rentrent généralement pas dans ce cadre, puisqu’il s’agit d’un traitement continu. En cas de doute, la CNIL recommande d’inscrire le traitement dans le registre plutôt que de s’en dispenser.

Pour une petite structure, la CNIL propose justement un modèle de registre simplifié : quelques lignes par traitement (finalité, données concernées, durée de conservation, destinataires) suffisent, pas besoin d’un document juridique de plusieurs pages.

Combien de temps garder les données collectées ?

Le RGPD ne fixe pas de durée universelle : la règle est de conserver une donnée le temps nécessaire à la finalité qui a justifié sa collecte, puis de la supprimer ou de l’archiver. Concrètement pour un site professionnel :

  • Un message de contact resté sans suite peut être supprimé après quelques mois s’il ne débouche sur rien.
  • Les coordonnées d’un client actif se conservent le temps de la relation commerciale, puis selon les obligations comptables applicables.
  • Un contact newsletter doit pouvoir se désinscrire à tout moment, et une adresse inactive depuis plusieurs années n’a plus lieu d’être conservée.

Les sous-traitants invisibles : hébergeur, emailing, CRM

Un site professionnel s’appuie presque toujours sur des prestataires tiers : hébergeur, outil d’emailing, CRM, solution de formulaire, parfois un CMS en SaaS. Chacun d’eux est un sous-traitant au sens du RGPD dès qu’il traite des données pour le compte de l’entreprise. Cela implique de savoir où ces données sont hébergées, si un contrat encadre ce traitement, et si ces outils sont mentionnés dans la politique de confidentialité du site.

Les droits des personnes : ce qu’il faut pouvoir faire en pratique

Un visiteur ou client peut demander à consulter, corriger ou faire supprimer ses données, ou s’opposer à un traitement comme l’emailing. Sur un site professionnel, cela suppose concrètement : une adresse de contact clairement identifiée pour ces demandes, un lien de désinscription fonctionnel dans chaque email marketing, et un délai de réponse raisonnable une fois la demande reçue. Ces engagements se documentent dans la politique de confidentialité, distincte des mentions légales et des CGV.

Une checklist pour un site professionnel

  • Lister les formulaires et les données réellement collectées sur chaque page.
  • Tenir un registre simplifié, même minimal, pour les traitements récurrents.
  • Fixer une durée de conservation par type de donnée et la respecter.
  • Identifier les sous-traitants (hébergeur, emailing, CRM) et les mentionner dans la politique de confidentialité.
  • Vérifier que la désinscription et les demandes de suppression fonctionnent réellement.

À retenir

Le RGPD ne demande pas à une petite entreprise de se transformer en service juridique. Il demande de savoir ce qui est collecté, pourquoi, pour combien de temps, et de pouvoir répondre simplement à une personne qui pose la question. Ce sont surtout des habitudes d’hygiène numérique, proches de celles déjà nécessaires pour une bonne gestion des cookies et de la mesure d’audience.

Pour aller plus loin, vous pouvez consulter l’article sur les mentions légales, CGV et politique de confidentialité, revoir la construction de votre formulaire de contact, ou demander un avis depuis la page contact.