Guide e-commerce

RGPD e-commerce : le guide de conformité pour votre boutique en ligne

Comptes clients, paiement, cookies publicitaires, emailing : une boutique en ligne cumule bien plus de traitements de données qu'un site vitrine. Voici comment mettre votre e-commerce en conformité, point par point.

Auditer mon site gratuitement
L’essentiel
  • Un e-commerce multiplie les traitements sensibles (comptes, paiement, tracking, emailing) et s'appuie sur de nombreux sous-traitants : sa surface de non-conformité est bien plus large qu'un simple site vitrine.
  • Le consentement aux cookies et pixels publicitaires est la faille la plus sanctionnée : bouton « Tout refuser » dès le premier niveau, aucun traceur marketing avant le clic, preuve du consentement conservée.
  • L'emailing exige un opt-in (ou un lien de désinscription pour vos propres clients) ; les données prospects se conservent 3 ans après le dernier contact.
  • Chaque prestataire (paiement, plateforme, transporteur, emailing) doit être encadré par un contrat de sous-traitance (DPA) au sens de l'article 28 du RGPD.
  • Politique de confidentialité, mentions légales, CGV et registre des traitements sont obligatoires ; un audit permet de repérer les manques avant la CNIL.

Pourquoi un e-commerce est bien plus exposé qu'un site vitrine

Un site vitrine se contente souvent de présenter une activité et un formulaire de contact. Une boutique en ligne, elle, collecte et traite des données à chaque étape : création de compte, adresses de livraison et de facturation, historique d'achat, paiement, suivi marketing, newsletters. Chacune de ces étapes est un « traitement » au sens du RGPD, avec ses propres obligations.

À cela s'ajoute une chaîne de prestataires : plateforme (Shopify, WooCommerce, PrestaShop), solution de paiement (Stripe, PayPal), hébergeur, outil d'emailing, transporteurs, régies publicitaires. Vous restez responsable de la conformité de l'ensemble, même quand la donnée transite par un tiers.

Résultat : la surface de risque est bien plus grande, et la CNIL cible régulièrement le commerce en ligne. Les manquements les plus graves peuvent coûter jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Avant tout, sécurisez la conformité RGPD de votre site web traitement par traitement.

Cookies et pixels publicitaires : la faille la plus sanctionnée

C'est le point sur lequel la CNIL sanctionne le plus. Tout traceur non strictement nécessaire (pixels Meta ou TikTok, balises Google Ads, retargeting, mesure d'audience non exemptée) exige un consentement préalable, libre, éclairé et spécifique par finalité. Concrètement, aucun de ces scripts ne doit se déclencher tant que le visiteur n'a pas cliqué sur « Accepter ».

Le bandeau doit rendre le refus aussi simple que l'acceptation : un bouton « Tout refuser » dès le premier niveau, une information claire, et la preuve du consentement conservée. En 2025, plusieurs sanctions records ont visé des acteurs du commerce en ligne, dont Shein, pour dépôt de traceurs sans consentement valable.

Attention aussi à la mesure d'audience. Le transfert de données vers les États-Unis via des outils américains a été encadré par le Data Privacy Framework en 2023, mais la CNIL invite à la prudence et recommande une configuration anonymisée ou des alternatives européennes (Matomo, Plausible). Pour paramétrer votre bandeau, appuyez-vous sur une checklist RGPD claire.

Emailing et prospection : opt-in, désinscription et durées

Pour prospecter de nouveaux contacts par email en B2C, la règle est l'opt-in : sans consentement préalable et explicite, pas d'envoi. Les cases pré-cochées et le consentement « noyé » dans les CGV ne valent pas accord. En B2B, l'intérêt légitime peut suffire, à condition que le message soit en rapport avec la fonction du destinataire.

Une exception utile : vous pouvez adresser des offres à vos propres clients pour des produits ou services analogues à ceux déjà achetés, sans nouveau consentement, dès lors qu'ils ont été informés et disposent d'un moyen simple de se désinscrire. Chaque email doit donc contenir un lien de désabonnement fonctionnel et immédiat.

Côté durées, la CNIL est précise : les données de prospects non clients se conservent 3 ans à compter du dernier contact (ouverture, clic, achat), et celles des clients pendant la relation commerciale, puis 3 ans. Au-delà, il faut purger ou anonymiser.

Comptes clients et paiement : minimisation, sécurité, sous-traitants

Le principe de minimisation impose de ne collecter que les données réellement nécessaires à la commande. Proposez la commande sans création de compte obligatoire, évitez les champs superflus, et ne stockez jamais les numéros de carte bancaire : cette responsabilité revient à votre prestataire de paiement, dans le cadre de la norme PCI-DSS.

La sécurité est une obligation légale, pas une option : site en HTTPS, mots de passe hachés, accès aux données limités aux personnes habilitées, sauvegardes. Une fuite de données clients doit être notifiée à la CNIL sous 72 heures.

Chaque prestataire qui traite des données pour votre compte (Stripe, PayPal, la plateforme e-commerce, l'outil d'emailing, les transporteurs) doit être encadré par un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD : finalités, durée, mesures de sécurité, sous-traitance ultérieure, audit. Sur une boutique hébergée, voyez notre guide dédié à la conformité RGPD sur Shopify, et pensez au suivi mensuel pour garder ces contrats à jour.

Les documents obligatoires : politique de confidentialité, CGV et registre

Trois documents doivent être accessibles depuis votre boutique. La politique de confidentialité détaille les finalités, les durées de conservation, les destinataires et sous-traitants, les éventuels transferts hors UE et les droits des clients (accès, rectification, effacement, opposition). Les mentions légales identifient l'éditeur, et les CGV encadrent la relation commerciale.

À l'interne, le registre des traitements est obligatoire, y compris pour une TPE. Il recense chaque traitement : compte client, gestion des commandes, emailing, statistiques, service après-vente. C'est aussi votre meilleur outil de pilotage pour savoir où vivent vos données. Constituez-le facilement avec notre registre des traitements prêt à remplir.

Enfin, l'information doit être délivrée au moment de la collecte : sous chaque formulaire (inscription, newsletter, contact), une mention courte renvoyant à la politique de confidentialité suffit à respecter l'obligation de transparence.

Checklist et audit : par où commencer concrètement

Pour avancer sans se noyer, procédez par priorités : d'abord le bandeau cookies et le blocage des pixels avant consentement, puis l'emailing (opt-in et désinscription), ensuite la minimisation des comptes et la sécurité, enfin les contrats de sous-traitance et les documents légaux. C'est l'ordre qui réduit le plus vite votre exposition.

Le plus efficace reste de partir d'un état des lieux objectif. Lancez un audit RGPD gratuit de votre boutique : il détecte en quelques minutes les traceurs déposés sans consentement, les mentions manquantes et les points à corriger en priorité.

Cet article est informatif et ne constitue pas un conseil juridique. Il vise à vous aider à comprendre vos obligations et à préparer votre mise en conformité ; pour les situations complexes, faites valider vos choix par un professionnel.

Où en est votre site aujourd’hui ?

Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.

Lancer l’audit gratuit
À lire aussi
Lancer un audit RGPD gratuit de ma boutiqueConformité RGPD d'un site web : le guide completBandeau cookies conforme aux règles CNILChecklist RGPD pour site web

Cet article est informatif et ne constitue pas un conseil juridique.

Questions fréquentes

Questions fréquentes

Un site e-commerce doit-il obligatoirement avoir un DPO ?

Non, la désignation d'un délégué à la protection des données n'est obligatoire que dans certains cas (suivi à grande échelle, données sensibles). Une petite boutique n'est généralement pas concernée, mais elle doit tout de même respecter le RGPD et tenir un registre des traitements. Désigner un référent en interne reste une bonne pratique.

Faut-il le consentement pour Google Analytics sur une boutique en ligne ?

Oui, dès lors que l'outil dépose des cookies ou identifie les visiteurs, le consentement préalable est requis, comme pour tout traceur non essentiel. Le Data Privacy Framework a rétabli en 2023 un cadre pour les transferts vers les États-Unis, mais la CNIL recommande la prudence. Une configuration anonymisée ou une alternative européenne (Matomo, Plausible) simplifie la conformité.

Combien de temps puis-je conserver les données de mes clients ?

Les données d'un client se conservent pendant la durée de la relation commerciale, puis 3 ans à des fins de prospection. Les prospects non clients se conservent 3 ans à compter du dernier contact. Certaines données comptables suivent des durées légales distinctes (facturation). Au-delà, il faut supprimer ou anonymiser.

Puis-je envoyer des emails promotionnels à mes clients existants ?

Oui, sans nouveau consentement, si l'offre porte sur des produits ou services analogues à ceux déjà achetés, que le client a été informé lors de la collecte et qu'un lien de désinscription figure dans chaque message. Pour prospecter de nouveaux contacts en B2C, en revanche, un opt-in explicite est nécessaire.

Ai-je besoin d'un contrat avec Stripe, Shopify ou mon transporteur ?

Oui. Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant au sens de l'article 28 du RGPD et doit être encadré par un contrat de traitement (DPA). Ces prestataires proposent généralement un modèle prêt à accepter dans leur interface ; conservez-en la trace dans votre documentation.

Quelles sanctions risque un e-commerce non conforme ?

Les manquements les plus graves peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Les infractions liées aux cookies et à la sous-traitance sont les plus fréquemment sanctionnées. Au-delà de l'amende, une fuite ou une mise en demeure publique nuit fortement à la confiance des clients.