RGPD : les 6 obligations réelles d'un site vitrine de PME

Le RGPD a huit ans et continue de produire deux réactions symétriques chez les dirigeants de PME : la panique — « il nous faut un DPO et un audit à 10 000 € » — ou le haussement d'épaules — « on est trop petits, personne ne viendra nous contrôler ».

Les deux sont fausses. Un site vitrine de PME a six obligations concrètes. Elles se traitent en une journée si personne ne s'en est jamais occupé, et en deux heures par an ensuite. Voici la liste, dans l'ordre où je vous conseille de les traiter.

1. Savoir quelles données vous collectez, et pourquoi

C'est le socle : le registre des traitements. Le mot fait peur, la réalité est un tableau.

Pour un site vitrine, il tient en trois ou quatre lignes : le formulaire de contact, la newsletter si vous en avez une, les candidatures spontanées, les statistiques de fréquentation. Pour chaque ligne, notez : quelles données, pour quelle finalité, sur quelle base légale, combien de temps vous les gardez, et qui y a accès.

Ce tableau est votre registre. Il est obligatoire dès le premier salarié, il n'a pas à être envoyé à qui que ce soit, mais il doit pouvoir être produit en cas de contrôle. Et il a un bénéfice secondaire : en le remplissant, la plupart des dirigeants découvrent des collectes dont ils avaient oublié l'existence.

2. Ne collecter que ce dont vous avez besoin

C'est le principe de minimisation, et c'est celui qui est le plus systématiquement violé — presque toujours sans mauvaise intention.

Votre formulaire de contact demande-t-il le numéro de téléphone en champ obligatoire ? La raison sociale ? L'effectif ? Le budget envisagé ? Si ces informations ne sont pas nécessaires pour répondre à la demande, elles n'ont rien à faire là. Elles peuvent être demandées ensuite, dans l'échange, quand la personne a choisi d'engager la conversation.

Bonne nouvelle : cette exigence légale va dans le même sens que votre intérêt commercial, puisque chaque champ supplémentaire fait chuter le taux de complétion. Alléger votre formulaire vous met en conformité et vous rapporte des demandes.

3. Informer les personnes, au bon endroit

Vous devez une information claire à toute personne dont vous collectez les données. Concrètement, cela prend deux formes.

Une politique de confidentialité accessible depuis toutes les pages, qui indique qui vous êtes, ce que vous collectez, pourquoi, combien de temps, avec qui vous partagez, et quels sont les droits des personnes. Elle doit être lisible : un pavé juridique recopié depuis un générateur, contenant le nom d'une autre entreprise, ne remplit pas l'obligation. Le cas est loin d'être rare : sur les 41 sites que j'ai relevés en Grand Est, vingt-sept n'avaient aucune politique de confidentialité, et douze des vingt pages de mentions légales trouvées ne contenaient même pas le SIREN de l'entreprise.

Une mention courte au point de collecte, sous le formulaire : une phrase indiquant l'usage et renvoyant à la politique. C'est ce petit texte qui manque le plus souvent.

4. Un bandeau cookies qui fonctionne réellement

C'est le seul point du RGPD réellement contrôlé de manière proactive, et de loin le plus sanctionné. La CNIL a mené des campagnes de mise en demeure ciblant précisément les bandeaux non conformes, y compris chez des acteurs de taille moyenne.

Les trois règles à retenir : refuser doit être aussi simple qu'accepter, dès le premier écran ; aucun traceur non essentiel ne se dépose avant le choix de l'utilisateur ; le choix doit pouvoir être modifié à tout moment.

Un bandeau « En poursuivant votre navigation, vous acceptez les cookies » est non conforme depuis des années. Un bandeau avec un gros bouton « Tout accepter » et un lien discret « Paramétrer » l'est également. C'est un sujet à part entière, que je détaille dans bandeau cookies conforme CNIL.

Nuance utile : si vous configurez votre mesure d'audience conformément aux recommandations de la CNIL — finalité strictement statistique, pas de recoupement, pas de transfert à des tiers — elle peut être exemptée de consentement, et vous n'avez alors pas besoin de bandeau du tout. Beaucoup de sites vitrines pourraient s'en passer.

5. Pouvoir répondre à une demande de droits en un mois

Toute personne peut vous demander l'accès à ses données, leur rectification, leur effacement, ou s'opposer à leur traitement. Vous avez un mois pour répondre, prolongeable à trois mois pour les demandes complexes — avec information préalable.

Ce qu'il faut en pratique : une adresse de contact dédiée et visible dans la politique de confidentialité, et savoir où sont les données. Si vos contacts sont dispersés entre une boîte Outlook, un fichier Excel sur le poste du commercial et un CRM, vous ne saurez pas répondre.

Le non-respect de ce délai est l'un des motifs de plainte les plus fréquents auprès de la CNIL, tout simplement parce que c'est ce qu'un particulier mécontent peut constater et signaler facilement.

6. Encadrer vos prestataires

Toute entreprise qui traite des données pour votre compte est un sous-traitant au sens du RGPD : votre hébergeur, votre outil d'e-mailing, votre CRM, votre prestataire de maintenance, l'agence qui a accès à votre back-office.

Deux obligations. D'abord, un contrat écrit prévoyant les clauses de sous-traitance — dans la pratique, les grands fournisseurs les publient sous forme d'avenant à accepter en ligne, il suffit de le faire. Ensuite, vérifier où sont hébergées les données : un transfert hors Union européenne demande un encadrement spécifique.

C'est aussi le moment de poser la question de la localisation à votre hébergeur. Pour une PME du Grand Est ou du Luxembourg travaillant avec des donneurs d'ordre industriels, un hébergement européen est de plus en plus souvent une exigence contractuelle du client, indépendamment du RGPD. Le sujet croise directement celui du vrai prix d'un hébergement.

Ce qui n'est pas obligatoire, malgré ce qu'on vous dit

Autant le dire clairement, parce que beaucoup de prestations sont vendues sur ces malentendus :

• Un DPO n'est obligatoire que pour les organismes publics, le suivi à grande échelle, ou le traitement à grande échelle de données sensibles. Un site vitrine de PME n'est dans aucun de ces cas.
• Une analyse d'impact n'est requise que pour les traitements à risque élevé. Un formulaire de contact n'en est pas un.
• Une certification RGPD n'existe pas au sens où on vous la vend. Aucun label ne vous protège d'un contrôle.

Le vrai risque, pour une PME

Soyons factuels : la CNIL ne va pas débarquer spontanément dans une PME de trente personnes pour vérifier son registre. Le risque réel arrive par trois canaux.

Une plainte — d'un ancien salarié, d'un candidat, d'un client mécontent. C'est le déclencheur le plus fréquent d'un contrôle chez une petite structure.

Une violation de données. Si votre site est compromis et que le fichier clients fuit, vous devez notifier sous 72 heures. À ce moment-là, l'absence totale de documentation transforme un incident en dossier.

Un donneur d'ordre. De plus en plus de grands comptes industriels et logistiques envoient un questionnaire de conformité à leurs fournisseurs. Ne pas savoir y répondre coûte des marchés, bien avant de coûter une amende. Sur les 41 sites de transporteurs du Grand Est que j'ai relevés, dix seulement réunissaient les trois fondamentaux attendus dans un tel questionnaire.

C'est ce troisième canal qui devrait vous motiver. La conformité RGPD d'une PME n'est pas un exercice de peur réglementaire : c'est une case à cocher dans un appel d'offres, et elle se remplit en une journée.