- WordPress n'est pas conforme au RGPD par défaut : cookies, Google Fonts, formulaires et plugins tiers déposent des traceurs ou envoient des données sans consentement.
- Un plugin de consentement (Complianz, CookieYes, Axeptio) bien réglé est indispensable, mais il doit surtout bloquer les scripts avant le clic sur « Accepter ».
- Auto-héberger Google Fonts et les scripts externes supprime les transferts d'adresse IP vers les États-Unis, au cœur du jugement de Munich (2022).
- Chaque formulaire (Contact Form 7, WPForms) doit afficher une information article 13 et, si besoin, une case de consentement non pré-cochée.
- Mentions légales, politique de confidentialité et registre des traitements complètent la conformité ; un audit permet de tout vérifier automatiquement.
Pourquoi WordPress n'est pas conforme au RGPD par défaut
WordPress fait tourner près de quatre sites sur dix dans le monde. Sa force — une infinité de thèmes et d'extensions — est aussi sa faiblesse côté RGPD : chaque plugin ajoute ses propres cookies, scripts et flux de données, souvent vers des serveurs tiers, sans que vous en soyez averti.
Par défaut, une installation WordPress ne bloque rien. Le thème peut charger des polices depuis les serveurs de Google, le module de commentaires enregistre l'adresse IP des visiteurs, et les outils de statistiques ou de publicité déposent des traceurs dès l'arrivée sur la page, avant tout consentement.
En tant qu'éditeur du site, c'est vous le responsable de traitement. Vous restez juridiquement redevable même quand le problème vient du code d'une extension. D'où l'intérêt de reprendre méthodiquement les points sensibles.
Les 6 points RGPD spécifiques à WordPress
Six familles de problèmes reviennent presque toujours sur un site WordPress. D'abord les cookies et traceurs (statistiques, publicité, boutons de réseaux sociaux), qui exigent un consentement préalable. Ensuite les polices Google Fonts chargées à distance, qui transmettent l'adresse IP du visiteur à Google.
Viennent ensuite les formulaires (Contact Form 7, WPForms), qui collectent des données personnelles sans toujours informer l'utilisateur ; les commentaires, qui stockent l'adresse IP et déposent un cookie ; et les outils de mesure d'audience comme Google Analytics, dont les transferts vers les États-Unis posent problème.
Enfin, les scripts tiers embarqués — vidéos YouTube, cartes Google Maps, pixel Facebook, reCAPTCHA — chargent du code externe qui piste le visiteur dès l'ouverture de la page. Chacun de ces six points se corrige, à condition de savoir où regarder.
Choisir et configurer un plugin de consentement
Pour gérer le consentement, trois extensions font référence en France : Complianz, CookieYes et Axeptio. Toutes affichent un bandeau, scannent les cookies présents et, surtout, permettent de bloquer les scripts tant que le visiteur n'a pas accepté.
La configuration doit respecter la doctrine de la CNIL : le bouton « Tout refuser » doit être aussi visible et accessible que « Tout accepter », dès le premier niveau du bandeau. Pas de case pré-cochée, des finalités décrites clairement et un retrait du consentement aussi simple que son recueil. Notre guide du bandeau cookies conforme à la CNIL détaille chaque réglage.
Attention à un piège fréquent : afficher un bandeau ne suffit pas. Si Google Analytics ou le pixel Facebook se chargent avant le clic sur « Accepter », vous êtes en infraction malgré le bandeau. Vérifiez que le blocage préalable des traceurs est bien activé dans l'extension.
Auto-héberger Google Fonts et les scripts externes
En janvier 2022, le tribunal régional de Munich a condamné un éditeur de site à 100 € de dommages-intérêts pour avoir chargé des Google Fonts depuis les serveurs de Google : cela transmettait l'adresse IP du visiteur aux États-Unis sans base légale valable.
La solution est simple et gratuite : auto-héberger les polices. Une extension comme OMGF télécharge automatiquement les Google Fonts et les sert depuis votre propre serveur ; certains thèmes proposent aussi une option native. Le visiteur ne contacte alors plus jamais Google. La marche à suivre est détaillée dans notre article sur Google Fonts et le RGPD.
Le même principe vaut pour les autres scripts externes : préférez le chargement différé des vidéos et des cartes, ou des versions « sans cookie » (comme youtube-nocookie), et conditionnez-les au consentement.
Formulaires, commentaires et information article 13
Tout formulaire qui collecte un nom, un e-mail ou un téléphone doit afficher une information au titre de l'article 13 du RGPD : qui est responsable, pourquoi les données sont collectées, combien de temps elles sont conservées et comment exercer ses droits. Un lien vers la politique de confidentialité, placé sous le formulaire, remplit cette obligation.
Lorsque le formulaire sert à une inscription newsletter ou à de la prospection, ajoutez une case de consentement non pré-cochée, distincte de l'envoi. Pour une simple prise de contact, l'information suffit, mais évitez de conserver les messages indéfiniment et n'employez pas un anti-spam qui piste, comme le reCAPTCHA de Google, sans encadrement.
Côté commentaires, WordPress enregistre par défaut l'adresse IP de l'auteur et propose un cookie « mémoriser mes informations ». Informez-en vos visiteurs et désactivez la conservation de l'IP si vous n'en avez pas l'usage.
Mentions légales, politique de confidentialité et cas WooCommerce
Deux pages sont incontournables : les mentions légales et la politique de confidentialité. Vous pouvez les produire en quelques minutes avec notre générateur de mentions légales et notre générateur de politique de confidentialité, puis les publier et les lier en pied de page.
Avec WooCommerce, la collecte s'intensifie : identité, adresse de livraison, historique de commandes, création de compte, avis clients, parfois relances de panier abandonné. Prévoyez des durées de conservation distinctes (dix ans pour les pièces comptables, mais pas pour la prospection) et identifiez vos sous-traitants — processeur de paiement, transporteur, outil d'e-mailing.
Ces traitements doivent figurer dans votre registre des traitements, obligatoire même pour une TPE dès que vous gérez des données de clients. C'est aussi votre feuille de route pour rester en conformité dans la durée.
Vérifier automatiquement la conformité de votre site
Contrôler ces six points à la main demande de fouiller le code de chaque page. Un audit automatisé va plus vite : il parcourt votre site, repère les Google Fonts chargées à distance, les traceurs déposés avant consentement, un bandeau cookies non conforme, les pages légales manquantes ou des formulaires sans mention d'information.
Vous pouvez lancer un audit RGPD gratuit de votre site WordPress en quelques secondes et obtenir la liste priorisée des corrections. C'est le moyen le plus rapide de savoir où vous en êtes avant qu'un contrôle ne le fasse à votre place.
Rappelons l'enjeu : les manquements les plus graves peuvent être sanctionnés jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, et la CNIL dispose depuis 2022 d'une procédure simplifiée (amende plafonnée à 20 000 €) pour les dossiers courants. Cet article est informatif et ne constitue pas un conseil juridique ; en cas de doute, rapprochez-vous d'un professionnel.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.