Depuis l’entrée en application du RGPD en mai 2018, les anciennes formalités de déclaration préalable auprès de la CNIL ont été supprimées pour la grande majorité des traitements de données liés à un site internet. Le mécanisme de conformité repose désormais sur une logique de responsabilisation : chaque organisme doit documenter lui-même ses traitements et être capable de prouver sa conformité à tout moment.
Registre des traitements : la pièce maîtresse qui remplace la déclaration CNIL
L’ancien système distinguait déclaration simplifiée et déclaration normale. Un site collectant des adresses e-mail via une newsletter ou un formulaire de contact devait obtenir un récépissé de la CNIL avant de traiter ces données. Ce régime n’existe plus.
Aujourd’hui, la conformité d’un site internet passe par le registre des activités de traitement. Ce document interne recense chaque opération impliquant des données personnelles : finalité, catégories de données collectées, durées de conservation, mesures de sécurité. Il doit pouvoir être présenté en cas de contrôle.
Pour un site vitrine avec un formulaire de contact, le registre reste simple. Pour un site e-commerce stockant des coordonnées bancaires et un historique d’achats, les entrées se multiplient. La granularité du registre reflète la complexité réelle des traitements, pas la taille de l’entreprise.
Concrètement, suivre une procédure de déclaration CNIL simplifiée revient à structurer ce registre et à documenter chaque traitement selon les exigences du RGPD, sans attendre de récépissé ni de numéro d’enregistrement.
Consentement et cookies : les contrôles que la CNIL cible en priorité
La gestion du consentement sur un site web est devenue le premier motif de plainte auprès de la CNIL. Les bannières cookies mal configurées, les cases pré-cochées ou l’absence de mécanisme de refus aussi simple que celui d’acceptation génèrent des signalements réguliers.
La CNIL a adopté une procédure de sanction simplifiée pour traiter rapidement les manquements courants. Depuis janvier 2026, 23 sanctions ont été prononcées dans ce cadre, la majorité faisant suite à des plaintes d’utilisateurs. Le mécanisme permet de sanctionner sans passer par la formation restreinte complète, ce qui accélère les délais de traitement.
Les points vérifiés lors d’un contrôle sur un site internet couvrent plusieurs aspects concrets :
- La présence d’un bandeau cookies permettant d’accepter ou de refuser les traceurs avec la même facilité, sans design trompeur
- Le dépôt effectif de cookies avant toute action de l’utilisateur (les cookies non importants ne doivent pas se charger avant le consentement explicite)
- La conservation d’une preuve horodatée du consentement, consultable en cas de demande de la CNIL
- L’existence d’une politique de confidentialité accessible, décrivant les traitements, les durées de conservation et les droits des utilisateurs
Un site qui coche ces quatre points couvre la majorité des risques identifiés par la CNIL sur les traitements web courants.
Répondre aux droits des utilisateurs : l’obligation la plus sous-estimée
Beaucoup de gestionnaires de sites concentrent leurs efforts sur la bannière cookies et la politique de confidentialité, mais négligent la gestion des demandes d’exercice de droits. Le RGPD accorde aux personnes concernées un droit d’accès, de rectification, d’effacement et de portabilité de leurs données.
Un utilisateur peut demander à tout moment quelles données un site détient sur lui, ou exiger leur suppression. Le responsable de traitement dispose d’un mois pour répondre. L’absence de réponse ou une réponse tardive constitue un manquement sanctionnable.
Mettre en place un circuit de traitement des demandes
Pour un site de petite taille, un formulaire dédié ou une adresse e-mail spécifique (type [email protected]) suffit. L’objectif est de tracer chaque demande reçue, la date de réception et la réponse apportée.
Cette traçabilité alimente directement le registre des traitements. En cas de contrôle, la CNIL vérifie non seulement l’existence d’un canal de contact, mais aussi la capacité réelle à retrouver et supprimer les données d’une personne identifiée dans les bases du site.
AIPD et cas particuliers : quand la conformité basique ne suffit plus
L’analyse d’impact relative à la protection des données (AIPD) n’est pas requise pour tous les sites. Elle devient obligatoire lorsqu’un traitement présente un risque élevé pour les droits et libertés des personnes : profilage systématique, collecte de données sensibles (santé, opinions politiques), surveillance à grande échelle.
Un site e-commerce classique n’entre généralement pas dans ce périmètre. En revanche, une plateforme de santé en ligne proposant des téléconsultations, ou un site collectant des données biométriques pour de l’authentification, doit réaliser une AIPD avant la mise en production du traitement.
Transferts de données hors Union européenne
L’utilisation d’outils d’analyse ou d’hébergement situés hors de l’UE (services cloud américains par exemple) impose des garanties supplémentaires. Le responsable de traitement doit vérifier que le prestataire offre un niveau de protection adéquat, via des clauses contractuelles types ou une décision d’adéquation de la Commission européenne.
Documenter le choix de chaque sous-traitant dans le registre permet de démontrer cette vérification. La CNIL a sanctionné plusieurs sites pour avoir transféré des données vers des serveurs américains sans encadrement contractuel suffisant.
Conformité RGPD d’un site web : ce qui compte lors d’un contrôle
La logique actuelle de la CNIL repose sur la capacité à démontrer sa conformité, pas sur un tampon administratif préalable. Un contrôle porte sur des preuves tangibles : le registre à jour, les preuves de consentement, les réponses aux demandes de droits, la documentation des sous-traitants.
- Le registre des activités de traitement, même sous forme de tableur, doit être complet et actualisé
- Les preuves de consentement des utilisateurs doivent être horodatées et conservées pendant toute la durée du traitement
- Les contrats avec les sous-traitants (hébergeur, outil d’e-mailing, solution de paiement) doivent inclure des clauses RGPD
La conformité d’un site internet ne se résume plus à une déclaration ponctuelle. Elle se construit dans la durée, par la tenue rigoureuse de ces documents et par la mise à jour régulière des pratiques à chaque évolution du site ou de ses outils.
