Beaucoup d’entrepreneurs ont coché les cases. Un bandeau sur le site, une politique de confidentialité quelque part dans le footer, et la conviction que le RGPD c’est surtout un problème pour les grandes entreprises.
Ce raisonnement est compréhensible, mais il est aussi partiellement faux.
Le RGPD s’applique dès la première collecte de données personnelles, quelle que soit la taille de la structure. Un formulaire de contact, une liste email, un outil de gestion client : chacun déclenche des obligations précises. L’enjeu n’est pas d’atteindre la conformité parfaite, c’est d’éviter que la première friction juridique ne révèle une architecture de conformité qui n’a jamais vraiment existé.
Ce raisonnement est compréhensible, mais il est aussi partiellement faux.
Le RGPD s’applique dès la première collecte de données personnelles, quelle que soit la taille de la structure. Un formulaire de contact, une liste email, un outil de gestion client : chacun déclenche des obligations précises. L’enjeu n’est pas d’atteindre la conformité parfaite, c’est d’éviter que la première friction juridique ne révèle une architecture de conformité qui n’a jamais vraiment existé.
Le consentement n’est pas un pop-up
C’est la confusion la plus répandue : identifier le bandeau de cookies avec la gestion du consentement.
Le bandeau est une interface. Le consentement est une obligation juridique encadrée par l’article 7 du RGPD et précisée par les recommandations de la CNIL. Pour être valide, il doit être libre, éclairé, spécifique et univoque. Ce qui exclut un bandeau avec un unique bouton « Accepter tout » : le refus doit être aussi accessible que l’acceptation. Un design qui noie le lien de refus dans une cascade de clics n’est pas du consentement valide, c’est une interface conçue pour le contourner.
Ce que beaucoup d’entrepreneurs ne réalisent pas : la responsabilité de la conformité du bandeau repose entièrement sur eux, pas sur l’outil qui le génère. Un plugin peut produire un bandeau techniquement fonctionnel et juridiquement non conforme. C’est le responsable de traitement, autrement dit vous, qui en répond devant la CNIL, pas l’éditeur du plugin.
Vos outils traitent des données à votre place
CRM, outil d’emailing, solution de paiement, hébergeur, logiciel de gestion de projet : la quasi-totalité des outils qu’utilise un entrepreneur traitent des données personnelles de ses clients ou prospects. En droit, ces prestataires sont des sous-traitants au sens de l’article 28 du RGPD.
L’obligation est claire : tout traitement de données personnelles confié à un tiers doit être encadré par un contrat de sous-traitance, ou DPA (Data Processing Agreement). Ce contrat n’est pas une formalité administrative : il définit l’objet du traitement, la durée, les obligations du prestataire en matière de sécurité, les conditions de restitution ou de suppression des données, et votre droit à audit.
En pratique, la majorité des entrepreneurs n’ont pas ce contrat avec leurs prestataires. Soit parce que le prestataire ne l’impose pas d’emblée, soit parce que l’obligation n’a jamais été signalée. Le problème se révèle au moment où un client sérieux vous demande de documenter votre chaîne de traitement, ou encore le moment où une demande d’effacement arrive et que vous n’avez aucun levier contractuel sur vos prestataires pour l’exécuter.
Certaines plateformes incluent un DPA dans leurs conditions entreprise, d’autres nécessitent une démarche active. Vérifier si vos sous-traitants principaux proposent un DPA est l’une des premières actions concrètes d’une mise en conformité réelle.
La politique de confidentialité qui ne correspond à rien
Elle est là. Dans le footer, parfois en lien sous le formulaire de contact. Elle date de l’installation du site ou a été générée automatiquement.
Le problème n’est pas son absence, c’est son contenu. Une politique générique ne reflète pas vos traitements réels. Elle mentionne des finalités que vous n’avez pas, en oublie d’autres, et ne précise pas les durées de conservation spécifiques à votre activité.
L’article 13 du RGPD liste ce que doit contenir l’information fournie aux personnes au moment de la collecte. Cette liste est précise : identité du responsable de traitement, finalités et base légale de chaque traitement, destinataires des données, durée de conservation, droits des personnes concernées, existence ou non d’un transfert hors UE. Une politique générée sans adaptation couvre rarement l’ensemble de ces points de façon exacte.
Une politique de confidentialité inexacte n’est pas un problème formel. C’est une déclaration fausse à l’égard des personnes dont vous traitez les données.
La conservation des données : l’obligation qu’on reporte indéfiniment
C’est probablement l’obligation la plus ignorée, parce qu’elle est la moins visible au quotidien. Le principe de limitation de la conservation (article 5.1.e du RGPD) impose que les données personnelles ne soient pas conservées plus longtemps que nécessaire à la finalité pour laquelle elles ont été collectées.
En pratique : vos anciens prospects que vous n’avez pas recontactés depuis dix-huit mois, votre liste email de contacts inactifs, les données de clients dont la relation commerciale est terminée depuis deux ans. Toutes ces données ont une durée de conservation maximale qui doit être définie et respectée.
La CNIL a publié des recommandations sectorielles sur les principales catégories de traitements. Ces durées sont défendables. Ce qui ne l’est pas, c’est l’absence totale de politique, c’est-à-dire conserver tout indéfiniment par défaut parce que la question n’a jamais été posée.
Ne pas avoir de politique de conservation, c’est ne pas pouvoir répondre à une demande d’effacement. Et ne pas pouvoir répondre à une demande d’effacement, c’est un manquement documenté.
Ce que le droit ne déploie pas à votre place
Mettre sa politique de confidentialité en conformité et configurer un bandeau de consentement valide sont deux opérations distinctes. La première est juridique, la seconde est technique, et les deux doivent se rejoindre pour que la conformité soit effective.
Un bandeau juridiquement bien rédigé mais mal configuré (cookies qui se déposent avant l’interaction de l’utilisateur, catégories de traceurs mal classifiées, mécanisme de retrait du consentement absent) reste non conforme. Inversement, une configuration technique propre ne couvre pas un responsable de traitement dont la politique de confidentialité ne correspond pas à ses traitements réels.
Le RGPD ne demande pas la perfection. Il demande une documentation sincère des traitements réels, une information honnête envers les personnes dont vous collectez les données, et une chaîne de sous-traitance encadrée.
Ce qui est difficile à défendre devant la CNIL, ce n’est pas l’erreur ponctuelle mais l’absence de démarche. Aucun registre des traitements, aucune politique de conservation, aucun DPA avec les prestataires, une politique de confidentialité qui ne correspond pas à l’activité : c’est l’ensemble qui constitue un manquement structurel.
Ça ne se construit pas en un jour, et ça commence par des documents qui vous correspondent. Pour une cartographie complète de vos obligations → Guide RGPD
Votre politique de confidentialité a été générée, pas rédigée
Les modèles Celestial Guardian sont construits par type d’activité, avec les mentions obligatoires, les bases légales et les durées de conservation adaptées à votre situation réelle.
→ Modèles de politiques de confidentialité
Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie accompagne les entrepreneurs et startups dans la sécurisation de leurs usages numériques : mise en conformité RGPD et AI Act, rédaction et négociation de contrats, gouvernance opérationnelle.