⏱ Temps de lecture : 9 min · Mis à jour en septembre 2026 · Com’Horizon, agence SEO & GEO Vendée

Le RGPD ne concerne pas que les grandes entreprises

Une idée reçue tenace

« Je suis plombier à Fontenay-le-Comte, je n’ai pas de fichier clients informatisé, le RGPD ce n’est pas pour moi. » C’est la phrase que l’on entend le plus souvent, et elle repose sur un malentendu. Le Règlement général sur la protection des données — règlement européen 2016/679, applicable depuis le 25 mai 2018 — ne fixe aucun seuil d’effectif ni de chiffre d’affaires. Il s’applique dès qu’une organisation traite des données personnelles, quelle que soit sa taille.

Or un site vitrine tout simple traite déjà des données personnelles : le formulaire de contact collecte un nom, un e-mail, souvent un téléphone et une adresse de chantier. L’outil de mesure d’audience enregistre des identifiants de visite. La newsletter stocke des adresses. Le module de prise de rendez-vous conserve des créneaux nominatifs. Aucun de ces traitements n’est illégal — ils demandent simplement d’être annoncés, encadrés et limités dans le temps.

Ce que le règlement demande vraiment

Le RGPD tient en quelques principes de bon sens, plus faciles à retenir que le texte lui-même :

• Une finalité annoncée : vous devez savoir pourquoi vous collectez chaque donnée, et le dire.
• Le minimum nécessaire : ne demandez pas la date de naissance sur un formulaire de devis de toiture.
• Une durée limitée : une donnée se conserve le temps utile, pas indéfiniment.
• La sécurité : les données doivent être protégées contre la perte et l’accès non autorisé.
• Les droits des personnes : accès, rectification, effacement, opposition, portabilité et limitation. Une demande doit recevoir une réponse dans le délai d’un mois.

La CNIL, autorité de contrôle française, dispose de plusieurs leviers, de la mise en demeure à la sanction financière. Mais l’enjeu réel pour une TPE vendéenne se situe ailleurs : un site opaque sur ce qu’il collecte inspire moins confiance qu’un site qui l’explique en trois phrases claires. La conformité est d’abord un argument commercial.

Les deux pages obligatoires de votre site

Les mentions légales

Elles ne relèvent pas du RGPD mais de la loi pour la confiance dans l’économie numérique. Leur absence est pourtant l’oubli le plus fréquent sur les sites de TPE — souvent parce que la page existe, mais qu’elle est restée à l’état de modèle jamais complété. Doivent y figurer, pour une entreprise :

• La dénomination sociale, la forme juridique et l’adresse du siège.
• Le numéro d’immatriculation au RCS ou au Répertoire des métiers, et le numéro de TVA intracommunautaire le cas échéant.
• Le nom du directeur de la publication.
• Le nom, l’adresse et le téléphone de l’hébergeur du site.
• Pour les professions réglementées, la référence aux règles professionnelles applicables et l’ordre de rattachement.

Vérifiez ce point aujourd’hui : ouvrez votre page de mentions légales et cherchez le nom de votre hébergeur. Dans un grand nombre de cas, c’est encore celui de l’agence qui a fait le site il y a six ans, ou un texte générique laissé par le thème.

La politique de confidentialité

C’est la page qui porte réellement votre conformité RGPD. Elle répond, en français courant, à six questions : qui est responsable du traitement, quelles données sont collectées, pour quelle finalité, sur quelle base légale, pendant combien de temps, et à qui elles sont transmises. Elle indique enfin comment exercer ses droits — une adresse e-mail dédiée suffit — et mentionne la possibilité de saisir la CNIL.

Résistez à la tentation du copier-coller : une politique recopiée sur un site concurrent décrit des traitements que vous ne réalisez pas et passe sous silence les vôtres. Partez d’un modèle, puis retirez tout ce qui ne vous concerne pas.

Le bandeau cookies : ce qui est réellement exigé

Tous les cookies ne se valent pas

Le sujet est mal compris parce qu’on l’aborde par le bandeau plutôt que par les cookies eux-mêmes. Il faut distinguer trois familles.

• Les cookies strictement nécessaires au fonctionnement du site — session de connexion, panier, mémorisation du choix de consentement — ne demandent pas de consentement préalable.
• La mesure d’audience peut, sous des conditions précises définies par la CNIL, bénéficier d’une exemption : finalité limitée à la mesure, pas de recoupement avec d’autres traitements, pas de suivi entre sites. Toutes les solutions du marché ne remplissent pas ces conditions, loin de là.
• Les cookies publicitaires et de réseaux sociaux — pixels de régies, boutons de partage, vidéos intégrées, outils de reciblage — exigent un consentement explicite, recueilli avant tout dépôt.

Les erreurs qui rendent un bandeau non conforme

La CNIL demande que refuser soit aussi simple qu’accepter. Concrètement, un bandeau qui affiche un gros bouton « Tout accepter » et renvoie le refus vers un sous-menu « Paramétrer » ne répond pas à cette exigence : les deux choix doivent être accessibles au même niveau, avec la même facilité. Trois autres pièges reviennent constamment :

• Le dépôt avant le choix. Beaucoup de bandeaux sont purement décoratifs : les scripts publicitaires se chargent dès l’ouverture de la page, avant même que le visiteur ait cliqué. Le bandeau doit bloquer, pas informer.
• Le consentement impossible à retirer. Un visiteur qui a accepté doit pouvoir changer d’avis aussi facilement, via un lien permanent en pied de page.
• Le bandeau sur un site qui n’en a pas besoin. À l’inverse, un site vitrine sans publicité ni traceur tiers n’a rien à faire afficher. Un bandeau inutile ajoute un obstacle entre vous et votre visiteur, et dégrade la conversion pour rien.

Le préalable, dans tous les cas, est d’inventorier ce que votre site dépose réellement. Un site WordPress accumule des traceurs au fil des installations : une extension abandonnée, une carte, un flux de réseau social. C’est le même travail d’hygiène que celui décrit dans notre guide des extensions WordPress indispensables : savoir ce qui tourne sur votre site.

Et la mesure d’audience ?

Beaucoup de dirigeants craignent de perdre leurs statistiques en devenant conformes. Deux voies existent : configurer votre outil pour entrer dans le cadre de l’exemption, ou garder un outil complet derrière le consentement en acceptant que les chiffres ne couvrent qu’une partie du trafic. Le choix dépend de l’usage réel que vous faites de vos données — sujet détaillé dans notre guide Google Analytics 4 pour les PME. Pour un artisan qui consulte son tableau de bord une fois par trimestre, une solution exemptée suffit.

Vos formulaires, angle mort de la conformité

Trois lignes à ajouter sous chaque formulaire

Un formulaire de contact conforme n’a rien de dissuasif. Il annonce sous les champs, en une phrase courte, à quoi servent les informations, combien de temps elles sont conservées et comment demander leur suppression. Par exemple : « Ces informations nous permettent de traiter votre demande de devis. Elles sont conservées trois ans à compter de notre dernier échange et ne sont jamais transmises à des tiers. Pour y accéder ou les faire supprimer, écrivez à contact@… » Ajoutez un lien vers la politique de confidentialité et limitez les champs obligatoires au strict nécessaire : chaque champ superflu fait perdre des demandes.

La case à cocher : quand elle est utile, quand elle nuit

Une confusion très répandue consiste à imposer une case « J’accepte la politique de confidentialité » sur un formulaire de contact. Elle n’est pas nécessaire : lorsque quelqu’un vous écrit pour obtenir un devis, la base légale est l’exécution de mesures précontractuelles, pas le consentement. Vous ajoutez donc un frottement inutile.

En revanche, une case est indispensable — et doit être décochée par défaut — pour l’inscription à une newsletter. L’objet doit être distinct : « Je souhaite recevoir vos actualités par e-mail. » Inscrire d’office à une liste de diffusion toute personne ayant demandé un devis est l’une des pratiques les plus régulièrement sanctionnées, et l’une des plus mauvaises en termes de délivrabilité. Nous revenons sur ce point dans notre article sur l’e-mail marketing pour les TPE de Vendée.

Où partent les données de votre formulaire ?

Question rarement posée, et pourtant décisive. Sur beaucoup de sites WordPress, l’extension de formulaire enregistre chaque message en base de données en plus de vous l’envoyer par e-mail. Des années de coordonnées clients s’accumulent ainsi dans l’administration du site, souvent à l’insu du dirigeant, sans purge et sans que quiconque y pense le jour d’une compromission. Deux mesures suffisent : désactiver l’enregistrement si l’e-mail vous suffit, ou programmer une purge automatique. Cela rejoint directement les bonnes pratiques de sécurité WordPress : moins vous stockez, moins vous exposez.

Le registre des traitements en une page

Un document interne, pas une formalité à déposer

Le registre des activités de traitement recense ce que vous faites des données personnelles. Il ne se dépose nulle part : c’est un document interne, que vous devez pouvoir présenter en cas de contrôle. La CNIL met à disposition un modèle de registre simplifié adapté aux petites structures, ce qui évite de partir de zéro.

Pour une TPE vendéenne, il tient sur une page et compte généralement quatre à six lignes : prospects et demandes de devis, clients et facturation, newsletter, gestion du personnel s’il y a des salariés, vidéosurveillance de l’atelier le cas échéant, et fournisseurs. Chaque ligne indique la finalité, les catégories de données, qui y a accès, la durée de conservation et les éventuels sous-traitants.

Vos sous-traitants comptent aussi

Votre hébergeur, votre outil d’e-mailing, votre logiciel de facturation, votre solution de prise de rendez-vous : tous traitent des données pour votre compte. Listez-les et repérez ceux qui hébergent hors Union européenne. Un transfert hors UE n’est pas interdit, mais il doit reposer sur un cadre juridique valide, et c’est à vous de savoir le documenter. Choisir un prestataire européen quand l’équivalent existe simplifie considérablement le dossier.

Le réflexe à avoir en cas d’incident

Si des données personnelles sont perdues, divulguées ou compromises — site piraté, boîte e-mail détournée, ordinateur volé —, la violation doit être notifiée à la CNIL dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d’engendrer un risque pour les personnes. Lorsque le risque est élevé, les personnes concernées doivent également être informées. Savoir cela à l’avance change tout le jour où cela arrive : on gagne des heures précieuses.

La checklist de mise en conformité

Dans l’ordre, pour un site vitrine de TPE :

1. Inventorier. Listez tout ce que votre site collecte : formulaires, newsletter, mesure d’audience, traceurs déposés par les extensions et les contenus intégrés.
2. Nettoyer. Supprimez les extensions inutilisées, les pixels d’anciennes campagnes et les champs de formulaire dont vous ne vous servez pas. C’est l’étape qui simplifie toutes les suivantes.
3. Compléter les mentions légales avec vos vraies informations et celles de votre hébergeur actuel.
4. Rédiger la politique de confidentialité à partir de votre inventaire, et pas d’un modèle générique.
5. Installer un bandeau cookies bloquant — si et seulement si vous déposez des traceurs qui l’exigent —, avec refus au même niveau qu’accepter et retrait possible à tout moment.
6. Mettre à jour les formulaires : mention de finalité, lien vers la politique, case newsletter distincte et décochée.
7. Définir les durées de conservation et programmer les purges, y compris celles des messages stockés dans WordPress.
8. Remplir le registre et le ranger avec vos documents d’entreprise.
9. Revoir l’ensemble une fois par an, ou à chaque nouvel outil ajouté au site.

Cette revue annuelle est le bon moment pour faire le point sur les autres obligations de votre site, à commencer par l’accessibilité web et le RGAA, qui suit une logique très proche : anticiper plutôt que corriger dans l’urgence.

FAQ — RGPD site internet Vendée

Un site vitrine sans formulaire est-il concerné par le RGPD ?

Si le site ne collecte aucune donnée — pas de formulaire, pas de newsletter, pas de mesure d’audience, pas de contenu tiers intégré —, les obligations RGPD sont minimales. Les mentions légales restent obligatoires, elles, car elles relèvent d’un autre texte. Attention toutefois aux collectes invisibles : une carte, une vidéo ou une police de caractères chargée depuis un serveur externe fait sortir des données du site.

Faut-il désigner un délégué à la protection des données (DPO) ?

La désignation d’un DPO n’est obligatoire que dans des cas précis : organismes publics, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles. Une TPE ou une PME vendéenne classique n’entre pas dans ces cas. Rien n’empêche en revanche de désigner en interne un référent, ce qui a le mérite de donner un nom à la personne qui répond aux demandes.

Mon site est hébergé chez un prestataire, la conformité est-elle de son ressort ?

Non. Votre hébergeur est un sous-traitant : il doit garantir la sécurité de l’infrastructure et vous fournir les engagements correspondants. Mais le responsable de traitement, c’est vous : les finalités, les durées de conservation, les mentions et le registre relèvent de votre entreprise. Une agence peut réaliser le travail pour vous, elle ne prend pas votre place au regard du règlement.

Combien de temps faut-il pour mettre un site de TPE en conformité ?

Pour un site vitrine standard, comptez une demi-journée d’inventaire et de rédaction, plus une à deux heures de mise en œuvre technique si un bandeau cookies est nécessaire. Le poste le plus long est l’inventaire, surtout sur un site ancien où se sont accumulées des extensions dont plus personne ne connaît la fonction. Une refonte de site est d’ailleurs l’occasion idéale de repartir sur des bases propres.

Théo Robergeau Expert SEO & GEO | Com’Horizon, Luçon (Vendée 85) — 07 80 32 77 01 Théo accompagne les TPE, PME et artisans de Vendée et de Charente-Maritime dans la construction de leur présence en ligne : site internet, référencement local, conformité et sécurité. Il intervient à Luçon, Fontenay-le-Comte, La Roche-sur-Yon, Les Sables-d’Olonne, Challans et dans toute la Vendée (85).