RGPD et boutique en ligne : ce qui est vraiment exigé

Une boutique traite des données par nature, pas par accident

Sur un site vitrine, la collecte de données personnelles se limite souvent à un formulaire de contact. Sur une boutique en ligne, elle est constitutive du fonctionnement : impossible de vendre sans identité, adresse de livraison, coordonnées, historique de commande et données de paiement.

Cette différence change la nature du sujet. La conformité n’est plus une formalité ajoutée après coup, mais une contrainte de conception qui touche le parcours d’achat, la base de données, les outils de mesure d’audience et les prestataires connectés à la boutique. Traitée en fin de projet, elle oblige presque toujours à revenir sur des choix déjà faits.

Savoir ce que vous collectez, avant tout le reste

Le point de départ n’est pas juridique mais factuel : établir la liste réelle des données qui transitent par la boutique. L’exercice surprend souvent, parce qu’une boutique moderne collecte bien au-delà de ce que le commerçant a consciemment décidé.

Il y a les données évidentes, saisies par le client : identité, adresses de facturation et de livraison, téléphone, adresse e-mail, contenu de la commande. Il y a les données générées automatiquement : adresse IP, historique de navigation, panier abandonné, identifiants de session. Et il y a celles produites par les outils tiers greffés à la boutique : mesure d’audience, pixels publicitaires, outil de support, plateforme d’e-mailing, module d’avis clients, service de livraison.

Chacun de ces flux a une finalité et une base légale distinctes. Traiter une commande relève de l’exécution du contrat. Envoyer une newsletter relève du consentement. Analyser le comportement d’achat à des fins publicitaires relève également du consentement. Confondre ces régimes est l’erreur la plus fréquente, et la plus visible en cas de contrôle.

Le bandeau cookies, terrain le plus contrôlé

C’est le point le plus visible d’une boutique, et celui qui concentre le plus de manquements. Les règles applicables sont stables depuis plusieurs années et ne laissent guère de marge d’interprétation.

Les traceurs strictement nécessaires au fonctionnement du site, comme le panier ou la session, ne demandent pas de consentement. Tous les autres, mesure d’audience non exemptée, publicité, personnalisation, réseaux sociaux, doivent être déposés uniquement après un accord actif de l’internaute. Concrètement, cela signifie qu’aucun script de tracking ne doit se déclencher au chargement de la page, avant tout choix de l’utilisateur.

Trois exigences sont régulièrement prises en défaut sur les boutiques. Refuser doit être aussi simple qu’accepter, ce qui exclut le bandeau où seul le bouton d’acceptation est visible. Le refus doit être respecté sans dégrader l’accès au site. Et l’utilisateur doit pouvoir revenir sur son choix à tout moment, ce qui suppose un point d’entrée permanent vers ses préférences, pas seulement une bannière affichée une fois.

La prospection commerciale suit ses propres règles

L’e-mailing est l’autre zone à risque, notamment parce qu’elle repose sur une idée fausse répandue : avoir l’adresse d’un client n’autorise pas automatiquement à lui envoyer des offres.

Le principe général est le consentement préalable. Il existe toutefois une exception importante en commerce : un client ayant déjà acheté peut recevoir des messages portant sur des produits ou services analogues, à condition d’avoir été informé au moment de la collecte et de pouvoir s’opposer simplement à chaque envoi. Cette exception ne couvre pas les personnes qui n’ont encore jamais rien acheté, ni les offres sans rapport avec l’achat initial.

En pratique, cela impose deux choses au moment de la conception : une case d’inscription à la newsletter distincte de la validation de commande, jamais pré-cochée, et un lien de désinscription réellement fonctionnel dans chaque message. Une base constituée en mélangeant clients et personnes n’ayant jamais acheté, sans traçabilité du consentement, devient très difficile à assainir a posteriori.

Les prestataires qui traitent vos données vous engagent

Une boutique s’appuie sur des services externes : hébergeur, plateforme de paiement, transporteur, outil d’e-mailing, solution de support. Chacun accède à tout ou partie des données clients, et le commerçant reste responsable de ce qu’ils en font.

Cela suppose de savoir précisément qui a accès à quoi, de disposer d’un contrat encadrant ce traitement pour chaque prestataire, et de vérifier où les données sont hébergées. Un transfert hors de l’Union européenne n’est pas interdit, mais il demande un encadrement spécifique qu’il vaut mieux identifier avant de choisir l’outil plutôt qu’après l’avoir intégré à la boutique.

C’est aussi un argument pratique en faveur de la sobriété : chaque module ajouté à une boutique élargit la surface de conformité à maintenir. Un catalogue de vingt extensions dont la moitié ne sert plus est autant un problème de conformité qu’un problème de performance.

Combien de temps conserver les données

La question revient systématiquement, et la réponse n’est pas « le plus longtemps possible ». Chaque catégorie de données a une durée de conservation justifiée par sa finalité, au-delà de laquelle elle doit être supprimée ou archivée.

Les données de commande relèvent d’obligations comptables et se conservent plusieurs années à ce titre, mais cela ne signifie pas qu’elles doivent rester accessibles en base active. Les données de prospection se conservent tant que la relation existe, puis se purgent. Les comptes clients inactifs depuis longtemps n’ont pas vocation à rester indéfiniment.

Définir ces durées et les appliquer réellement est l’un des points les moins traités sur les boutiques en ligne, parce que rien ne le rend visible au quotidien. C’est pourtant l’un des premiers éléments demandés en cas de contrôle.

La sécurité fait partie de la conformité

On réduit souvent le sujet à des documents et des bandeaux, en oubliant que la protection des données impose aussi des mesures techniques proportionnées au risque. Une boutique qui affiche une politique de confidentialité irréprochable mais dont l’administration est accessible avec un mot de passe faible n’est pas conforme.

Le socle attendu reste accessible : chiffrement des échanges sur l’ensemble du site et pas seulement sur la page de paiement, comptes administrateurs nominatifs plutôt qu’un accès partagé, authentification renforcée sur les accès sensibles, mises à jour appliquées régulièrement, et sauvegardes testées. Le stockage des données de carte bancaire, lui, n’a pas à être assumé par le commerçant : il relève du prestataire de paiement, et vouloir les conserver soi-même ajoute un risque considérable pour un bénéfice nul.

Il faut également anticiper le scénario de la violation de données. Si un incident expose des données clients, l’entreprise doit être en mesure de réagir vite, de documenter ce qui s’est passé et, selon la gravité, d’en informer l’autorité de contrôle puis les personnes concernées. Savoir à l’avance qui fait quoi dans cette situation évite de découvrir la procédure au pire moment.

Les droits des clients doivent être exerçables

Un client peut demander l’accès à ses données, leur rectification, leur suppression, ou s’opposer à certains traitements. L’entreprise doit pouvoir répondre dans un délai contraint.

Cela n’impose pas un dispositif complexe, mais cela impose d’y avoir réfléchi avant la première demande : savoir où sont stockées les données, être capable de les extraire, connaître ce qui peut être supprimé et ce qui doit être conservé pour des raisons légales. Une adresse de contact dédiée et une procédure interne écrite suffisent généralement pour une PME.

Un chantier à traiter par étapes

La conformité d’une boutique ne se règle pas en installant un module. Elle se construit par un inventaire des données et des outils, une reprise du bandeau de consentement, une clarification des bases légales de chaque traitement, la mise en ordre des contrats prestataires, et la définition des durées de conservation.

Aucune de ces étapes n’est hors de portée d’une PME, mais leur enchaînement demande de la méthode. Notre audit e-commerce intègre ce volet aux côtés des parcours et de la performance, et le service de maintenance et support e-commerce permet de maintenir cette conformité dans la durée plutôt que de la reprendre tous les deux ans. Le sujet du consentement est détaillé dans notre article sur les cookies et la mesure d’audience.

Sources : CNIL, Site web, cookies et autres traceurs · CNIL, La prospection commerciale par courrier électronique