RGPD : c'est quoi, et que doit faire votre site internet ?La définition simple, puis le concret.

• RGPD veut dire règlement général sur la protection des données : le règlement (UE) 2016/679, applicable depuis le 25 mai 2018.
• Une donnée personnelle désigne toute information liée à une personne physique identifiable : un nom, mais aussi un e-mail, un téléphone, une adresse IP.
• Il s'applique à toute organisation, de l'indépendant au grand groupe.
• Les personnes ont des droits : accès, rectification, effacement, opposition, portabilité, avec une réponse en principe sous un mois.
• En France, la CNIL informe, conseille, contrôle et sanctionne.
• Pour votre site : formulaires sobres, cookies après accord, textes exacts, prestataires sous contrat, sécurité, plan en cas de fuite.

Dans ce guide

• RGPD : la définition, en clair
• Les sept principes et les six bases légales
• Les droits des personnes
• Quelles autorités protègent les données personnelles en France
• Ce que le RGPD change pour votre site internet
• Les sanctions, vérifiées
• Ce que nous ferions à votre place
• Questions fréquentes

RGPD signifie règlement général sur la protection des données : c'est le règlement (UE) 2016/679, adopté le 27 avril 2016 et applicable depuis le 25 mai 2018. En anglais, on parle de GDPR. Parce que c'est un règlement, et non une directive, il s'applique tel quel dans toute l'Union. En France, il se combine avec la loi Informatique et Libertés du 6 janvier 1978, qui en précise certains points et organise la CNIL.

L'idée de départ : chacun doit pouvoir savoir qui détient des informations sur lui, pourquoi, et avoir son mot à dire. En face, l'organisation qui s'en sert doit avoir une raison valable, l'annoncer, n'en prendre que le nécessaire, les protéger, et pouvoir prouver tout cela.

Les quatre mots à connaître

• Donnée personnelle : toute information se rapportant à une personne physique identifiée ou identifiable. Directement, comme un nom et un prénom ; indirectement, comme un numéro de téléphone, une adresse e-mail, une adresse IP, une voix ou une image, ou en croisant plusieurs informations. Le nom et les coordonnées d'une société n'en sont pas ; l'adresse e-mail nominative d'un de ses salariés, si.
• Traitement : toute opération sur ces données, automatisée ou non : collecte, enregistrement, consultation, envoi, conservation, effacement. Un fichier papier organisé compte aussi.
• Responsable du traitement : celui qui décide pourquoi et comment les données sont utilisées. Pour votre site, c'est votre entreprise.
• Sous-traitant : celui qui traite les données pour le compte du responsable : hébergeur, agence web, outil d'envoi d'e-mails, prise de rendez-vous.

Qui est concerné ? Toute organisation, publique ou privée, quelle que soit sa taille, établie dans l'Union, ou établie ailleurs mais qui propose des biens ou des services à des personnes qui s'y trouvent, ou suit leur comportement. Un indépendant avec un formulaire de contact l'est autant qu'une grande enseigne.

L'article 5 du RGPD pose six principes, et un septième qui les chapeaute : la responsabilité.

1. Licéité, loyauté, transparence : une raison valable, et des personnes informées de ce qui est fait.
2. Limitation des finalités : des données collectées pour un but précis, pas « au cas où ».
3. Minimisation : seulement ce qui est nécessaire à ce but.
4. Exactitude : des données tenues à jour, corrigées quand elles sont fausses.
5. Limitation de la conservation : une durée fixée, puis la suppression.
6. Intégrité et confidentialité : une sécurité adaptée contre la perte, la fuite ou la modification.
7. Responsabilité : pouvoir démontrer que tout cela est respecté, documents à l'appui.

Chaque traitement repose sur l'une des six bases légales de l'article 6 : le consentement, le contrat, une obligation légale, les intérêts vitaux d'une personne, une mission d'intérêt public, ou l'intérêt légitime. Le consentement n'est donc pas la seule voie : répondre à une demande de devis relève de la base « contrat », qui couvre aussi les démarches faites avant la signature à la demande de la personne ; conserver ses factures relève d'une obligation légale. Certaines données, dites sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques servant à identifier une personne, santé, vie ou orientation sexuelle), sont en principe interdites de traitement, sauf exceptions prévues par l'article 9.

• Être informé : qui utilise leurs données, pourquoi, combien de temps, et quels sont leurs droits.
• Accéder à leurs données, et en obtenir une copie.
• Rectifier ce qui est faux, et effacer leurs données dans les cas prévus.
• S'opposer à certains usages, et toujours à la prospection ; retirer un consentement à tout moment.
• Limiter l'utilisation de leurs données, par exemple le temps de vérifier une information qu'ils contestent.
• Emporter les données qu'ils vous ont fournies, dans un format courant et lisible par une machine (portabilité).
• Ne pas subir une décision entièrement automatisée qui les affecte de manière importante, et obtenir l'intervention d'un humain.

Vous devez répondre dans un délai d'un mois, que vous pouvez prolonger de deux mois si la demande est complexe ou si les demandes sont nombreuses, en prévenant la personne. La réponse est gratuite, sauf demande manifestement infondée ou excessive. Si vous ne donnez pas suite, vous devez dire pourquoi, et rappeler à la personne qu'elle peut saisir la CNIL.

En France, l'autorité qui fait respecter le RGPD est la CNIL, la Commission nationale de l'informatique et des libertés. Créée en 1978 par la loi Informatique et Libertés, c'est une autorité administrative indépendante, et l'autorité de contrôle nationale au sens du RGPD (article 8 de la loi). Ses missions : informer et protéger les droits des personnes, notamment en traitant leurs plaintes ; aider les organismes à se mettre en conformité ; conseiller les pouvoirs publics ; anticiper les usages nouveaux ; contrôler et sanctionner. En 2025, elle a reçu 20 150 plaintes, un record, mené 323 contrôles et prononcé 83 sanctions.

Les juges ont aussi leur rôle. Les sanctions et les mises en demeure de la CNIL se contestent devant le Conseil d'État, dans un délai de deux mois à compter de leur notification ; les tribunaux tranchent quand une personne demande réparation d'un dommage causé par une violation du RGPD (article 82). Au niveau européen, les autorités nationales siègent ensemble au Comité européen de la protection des données, qui veille à ce que le règlement s'applique de la même façon partout.

Ce guide dit d'où viennent les règles. Pour les vérifier une à une sur votre site, passez notre checklist d'audit RGPD en vingt points ; pour les textes obligatoires, lisez notre guide des mentions légales ; si une fuite arrive, suivez le déroulé fuite de données, que faire. Et pour confier le tout : la conformité RGPD avec Boost.

Le RGPD fixe deux plafonds d'amende (article 83), le montant le plus élevé étant retenu : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour des obligations comme la sécurité ou la notification des fuites ; 20 millions d'euros ou 4 % pour les principes, le consentement, les droits des personnes et les transferts.

La CNIL a d'autres outils : la mise en demeure, le rappel à l'ordre, l'injonction de se mettre en conformité, avec une astreinte jusqu'à 100 000 euros par jour de retard, la limitation ou l'interdiction d'un traitement. Pour les dossiers simples, la procédure simplifiée, en place depuis 2022, plafonne l'amende à 20 000 euros et l'astreinte à 100 euros par jour, ou à 100 000 euros et 500 euros par jour au-delà de 50 millions d'euros de chiffre d'affaires mondial ; ces décisions ne sont jamais rendues publiques.

En 2025, les 83 sanctions de la CNIL ont totalisé près de 487 millions d'euros, un montant porté surtout par deux décisions. Pour une petite structure, le risque concret ressemble plutôt à ceci : entre janvier et le 6 juillet 2026, la CNIL a prononcé 23 sanctions simplifiées, dont 19 après une plainte, pour 133 750 euros au total. Parmi les manquements relevés : des cookies déposés avant tout choix du visiteur, un refus plus compliqué que l'acceptation, des demandes d'accès ou d'effacement restées sans réponse.

Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 24 octobre 2026. Textes et pages consultés le 24 octobre 2026. Nous ne sommes pas avocats : pour une situation particulière, faites-vous conseiller.

• Règlement général sur la protection des données, texte officiel et texte publié par la CNIL (considérant 14, articles 2 à 9, 12 à 22, 28, 30, 32 à 34, 37, 44, 68, 70, 77, 82, 83 et 99).
• Légifrance, loi Informatique et Libertés du 6 janvier 1978 : article 8 (la CNIL), article 20 (ses sanctions) et article 22-1 (procédure simplifiée), versions en vigueur le 24 octobre 2026.
• CNIL, RGPD : de quoi parle-t-on ?, donnée personnelle, les droits sur vos données et missions de la CNIL.
• CNIL, les sanctions possibles, la procédure de sanction simplifiée, le recours devant le Conseil d'État, rapport annuel 2025 (publié le 18 mai 2026) et 23 nouvelles sanctions simplifiées (6 juillet 2026).
• CNIL, cookies et traceurs : que dit la loi ? et guide de la sécurité des données personnelles (édition 2024, 25 fiches).

Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.