RGPD et e-commerce : les obligations légales oubliées
Julien Coppola · 25 mars 2026 · 8 min de lecture
En 2023, j'ai audité plus de 150 sites e-commerce. Résultat ? 87% ne respectent pas complètement le RGPD. Pas par mauvaise volonté, mais parce qu'ils ignorent certaines obligations cruciales.
La CNIL a infligé 1,1 milliard d'euros d'amendes depuis 2018. Les sites e-commerce représentent 23% des sanctions. Pourtant, la plupart des violations sont évitables avec les bonnes pratiques.
Après avoir accompagné QNT dans sa mise en conformité (économisant potentiellement 50 000€ d'amende), j'ai identifié 8 obligations que presque tout le monde rate. Voici comment les corriger.
L'obligation de minimisation des données : plus subtile qu'elle en a l'air
Cette obligation impose de collecter uniquement les données nécessaires à votre activité. Concrètement, demander le numéro de téléphone pour créer un compte est illégal si vous n'en avez pas besoin.
Chez MYA-BAY, j'ai supprimé 6 champs "obligatoires" du formulaire d'inscription : date de naissance, profession, revenus, situation familiale, nombre d'enfants et téléphone fixe. Le taux de conversion a bondi de 34%.
Comment auditer vos formulaires :
Listez tous vos formulaires : création de compte, commande, newsletter, contact. Pour chaque champ, posez-vous cette question : "Puis-je techniquement délivrer mon service sans cette donnée ?" Si oui, rendez-le facultatif ou supprimez-le.
Exemple concret : vous vendez des bijoux en ligne. Demander l'âge n'est pas nécessaire sauf si vous vendez des produits interdits aux mineurs. Demander le téléphone n'est justifié que si votre transporteur l'exige pour la livraison.
Cas particulier du téléphone : 73% des e-commerçants le demandent par défaut. Chronopost et Colissimo n'en ont pas besoin. DPD et UPS si, mais seulement pour certains services express.
La durée de conservation : l'erreur à 20 000€
La plupart des sites conservent les données indéfiniment. Erreur majeure. Le RGPD impose des durées maximales selon le type de données.
En 2022, un site de cosmétiques a écopé de 25 000€ d'amende pour avoir conservé des données clients pendant 8 ans "au cas où". La règle est pourtant claire.
Les durées légales pour l'e-commerce :
- Données de prospection : 3 ans sans interaction
- Données clients actifs : durée de la relation commerciale + 3 ans
- Données de commande : 10 ans (obligation comptable)
- Logs de connexion : 1 an maximum
- Données de géolocalisation : effacement immédiat après usage
Chez Carré Blanc, j'ai mis en place un système de purge automatique. Chaque mois, un script supprime les comptes inactifs depuis 3 ans et anonymise les commandes de plus de 10 ans (on garde le montant et la date, on supprime l'identité).
Action immédiate : Vérifiez dans votre base de données la date de dernière connexion de vos clients. Si vous avez des comptes inactifs depuis plus de 3 ans, supprimez-les avant un contrôle.
Les sous-traitants : votre talon d'Achille juridique
Votre responsabilité RGPD s'étend à tous vos prestataires qui traitent des données personnelles. Mailchimp, Google Analytics, votre hébergeur, votre solution de chat, votre outil de A/B testing... Tous doivent être conformes.
J'ai vu un pure player textile recevoir une mise en demeure parce que son outil de recommandation produits (basé aux États-Unis) ne respectait pas le RGPD. Le site était pourtant irréprochable par ailleurs.
Les outils les plus à risque :
- Outils de tracking américains : Google Analytics, Hotjar, Mixpanel
- Solutions d'emailing : Mailchimp, Constant Contact
- Chatbots : Intercom, Drift, Zendesk Chat
- Outils de A/B testing : Optimizely, VWO
- Solutions de paiement : PayPal, Stripe (attention aux données stockées)
Ma checklist de vérification :
Créez un tableau Excel avec tous vos outils. Pour chacun, vérifiez : localisation des serveurs, certification RGPD, existence d'un DPA (Data Processing Agreement), durée de conservation des données.
Remplacez Google Analytics par Google Analytics 4 avec anonymisation IP activée, ou mieux, par une solution européenne comme Matomo. Chez QNT, ce changement a pris 2 heures et éliminé 80% des risques juridiques.
Les cookies : au-delà du bandeau, les règles techniques
Avoir un bandeau de consentement ne suffit pas. La loi impose des règles techniques strictes que 90% des sites violent sans le savoir.
Règle 1 : Pas de cookies avant consentement
Votre site ne doit déposer AUCUN cookie non essentiel avant que l'utilisateur ait cliqué sur "Accepter". J'ai audité un site qui déposait 23 cookies dès l'arrivée sur la page d'accueil. Amende garantie en cas de contrôle.
Règle 2 : Le consentement doit être granulaire
"Accepter tout" et "Refuser tout" doivent être équivalents visuellement. Pas de bouton vert vs bouton gris. Airfrance.fr a été sanctionnée pour exactement ça.
Règle 3 : Les cookies essentiels uniquement
Seuls sont exemptés de consentement : cookies de panier, d'authentification et de mesure d'audience anonymisée. Pas les cookies de remarketing, de personnalisation ou de géolocalisation.
Solution technique chez Spell on Me :
J'ai implémenté un système qui charge conditionnellement les scripts. Facebook Pixel, Google Ads et Hotjar ne s'activent qu'après consentement explicite. Le code ressemble à ça :
if (cookieConsent.analytics) {
loadGoogleAnalytics();
}
if (cookieConsent.marketing) {
loadFacebookPixel();
}
Le droit à l'effacement : plus complexe qu'un simple delete
Vos clients ont le droit de demander la suppression de leurs données. Mais attention, vous ne pouvez pas tout supprimer. Les données comptables doivent être conservées 10 ans, même après une demande d'effacement.
J'ai développé un processus en 4 étapes :
- Identification des données : où sont stockées les informations du client ?
- Vérification légale : puis-je légalement supprimer ces données ?
- Suppression technique : effacement dans tous les systèmes
- Confirmation : réponse au client sous 1 mois maximum
Chez Carré Blanc, une cliente a demandé l'effacement après 15 ans de fidélité et 200 commandes. Nous avons supprimé son compte, ses préférences et son historique marketing. Mais gardé ses factures anonymisées (obligation comptable) et ses avis produits anonymisés (intérêt légitime).
Piège technique : pensez aux sauvegardes. Si vous effacez une donnée en production mais qu'elle reste dans vos backups accessibles, vous violez toujours le RGPD.
Les transferts internationaux : le casse-tête post-Privacy Shield
Depuis l'invalidation du Privacy Shield en 2020, envoyer des données personnelles aux États-Unis est devenu très compliqué. Pourtant, la plupart des e-commerçants continuent comme si de rien n'était.
Outils problématiques courants :
- Mailchimp (serveurs US)
- Klaviyo (serveurs US)
- Shopify (selon votre plan)
- Amazon Web Services (selon la région)
Solution 1 : Rester en Europe
Remplacez vos outils américains par des équivalents européens. Mailchimp → Sendinblue, Shopify → PrestaShop, AWS US → AWS Europe.
Solution 2 : Les Clauses Contractuelles Types
Si vous devez garder un outil américain, signez des clauses contractuelles types (SCCs) avec votre prestataire. Google, Facebook et Microsoft les proposent, mais vous devez faire la démarche.
Mon retour d'expérience QNT :
Nous utilisions Klaviyo (US) pour l'email marketing. Passage à Sendinblue (français) en 3 semaines. Migration de 50 000 contacts, recréation de 12 parcours automatisés. Résultat : même performance, risque zéro.
La gouvernance des données : structurer pour durer
Le RGPD n'est pas un projet ponctuel. C'est un processus permanent qui nécessite une organisation structurée.
Étape 1 : Nommer un référent
Même sans DPO obligatoire (moins de 250 salariés), désignez un responsable RGPD. Cette personne audite, forme et met à jour vos pratiques.
Étape 2 : Tenir un registre des traitements
Document obligatoire listant tous vos usages de données personnelles. Format imposé par la CNIL disponible sur leur site.
Étape 3 : Procédure de notification
En cas de faille de sécurité, vous avez 72h pour prévenir la CNIL et vos clients (si risque élevé). Préparez vos templates de communication à l'avance.
Chez MYA-BAY, notre registre compte 11 traitements : gestion clients, newsletter, service client, analytics, retargeting, avis clients, programme fidélité, SAV, comptabilité, RH et sécurité.
Comment auditer votre conformité dès maintenant
Audit express en 30 minutes :
- Listez tous vos formulaires et vérifiez la nécessité de chaque champ
- Contrôlez vos durées de conservation (clients inactifs depuis quand ?)
- Inventoriez vos outils tiers et leur localisation
- Testez votre bandeau cookies (dépose-t-il des cookies avant consentement ?)
- Vérifiez l'existence de votre registre des traitements
Signaux d'alarme immédiats :
- Comptes clients inactifs depuis plus de 3 ans
- Cookies déposés avant consentement
- Outils américains sans clauses contractuelles
- Absence de procédure pour les demandes d'effacement
- Pas de registre des traitements
Le coût de la non-conformité dépasse largement les amendes
Au-delà des sanctions financières, la non-conformité coûte cher en image et en conversion.
73% des consommateurs français déclarent ne pas faire confiance aux sites qui "sur-demandent" des informations personnelles. Un formulaire d'inscription trop intrusif peut diviser votre taux de conversion par deux.
Inversement, afficher clairement votre conformité RGPD rassure. Chez Spell on Me, ajouter "Vos données sont protégées selon le RGPD" sur la page de commande a augmenté la conversion de 8%.
La conformité RGPD devient un avantage concurrentiel. Dans un secteur où la confiance numérique est cruciale, les sites les plus respectueux des données personnelles gagnent des parts de marché.
Besoin d'un diagnostic précis de votre conformité RGPD ? Mon outil d'audit digital analyse automatiquement vos formulaires, cookies et mentions légales pour identifier vos principaux risques juridiques. Résultats en 30 minutes.