RGPD et e-commerce : les obligations à connaître et comment s'y conformer

Si vous vendez en ligne, vous traitez des données personnelles à chaque commande et êtes soumis au RGPD. L'affaire SHEIN, sanctionnée de 150 millions d'euros par la CNIL le 1er septembre 2025 pour des cookies déposés sans consentement, rappelle que le risque est réel et qu'il vise d'abord la traçabilité du consentement. Maître Aurore Bonavia, avocate en e-commerce, vous offre ici une checklist de mise en conformité au RGPD quand on est un e-commerce, par ordre de priorité, ainsi qu’un tableau des bases légales à connaître.

RÉSUMÉ DE L'ARTICLE

• Tout site e-commerce est responsable de traitement dès qu'il collecte une adresse ou un e-mail client, ce qui déclenche les obligations d'information, de sécurité et de consentement.
• La bannière cookies doit permettre de refuser aussi facilement que d'accepter, sans case précochée, sous peine de sanction.
• Votre priorité de mise en conformité suit un ordre simple : d'abord le registre des traitements et l'information des clients, puis le consentement des cookies, enfin la sécurité et les contrats de sous-traitance.
• Une fuite de données vous oblige à notifier la CNIL sous 72 heures. Une non-conformité vous expose de son côté à une amende plafonnée à 20 millions d'euros ou 4 % de votre chiffre d'affaires mondial.

Pourquoi tout site e-commerce est concerné par le RGPD

Un site marchand collecte des données personnelles dès qu'un visiteur crée un compte, passe commande ou s'inscrit à une newsletter. Le nom, l'adresse de livraison, l'e-mail, l'historique d'achat et l'adresse IP sont tous des données personnelles au sens du RGPD. En les traitant pour vos ventes, vous devenez responsable de traitement. Vous êtes alors la personne qui décide pourquoi et comment ces données sont utilisées, ce qui vous rend directement redevable des obligations du règlement, quelle que soit la taille de votre boutique.

Aucun seuil de chiffre d'affaires ni de nombre de clients n'exonère un e-commerçant. Une boutique WooCommerce tenue par une seule personne relève des mêmes règles qu'une marketplace internationale, avec une intensité d'obligations proportionnée à ses traitements. Vous devez informer vos clients de l'usage de leurs données, recueillir leur consentement là où il est requis, sécuriser leurs informations et être en mesure de prouver que vous respectez les grands principes du RGPD.

Justifier les données que vous collectez est une obligation RGPD E-commerce

Chaque donnée que vous traitez doit reposer sur une base légale valable, c'est-à-dire une justification prévue par le RGPD. Un e-commerce s'appuie surtout sur trois bases : 

1. l'exécution du contrat de vente,
2. le consentement pour ce qui n'est pas nécessaire à la commande
3. l'obligation légale pour la comptabilité. 

La base que vous retenez pour un traitement défini aussi la durée pendant laquelle vous avez le droit de conserver la donnée. Le tableau suivant présente les données courantes d'une boutique en ligne à leur base légale  et à l'obligation RGPD qui en découle.

Donnée collectée	Base légale	Obligation principale
Nom, adresse de livraison, téléphone	Exécution du contrat de vente	Conserver le temps de la relation client, informer de l'usage
E-mail pour la newsletter	Consentement	Opt-in libre et traçable, désinscription en un clic
Données de facturation	Obligation légale comptable	Conservation longue exigée par la loi, accès restreint
Données de paiement	Exécution du contrat	Ne pas stocker le numéro de carte, s'appuyer sur un prestataire certifié
Cookies de mesure d'audience et publicité	Consentement	Recueil avant dépôt, refus aussi simple que l'acceptation
Historique d'achat pour recommandation	Intérêt légitime ou consentement	Information claire, droit d'opposition ouvert

Vous ne devez collecter que les données réellement utiles à la finalité annoncée.

Demander une date de naissance pour une simple livraison est un exemple classique de collecte excessive, souvent relevé lors des contrôles de la CNIL.

Rendre votre bannière cookies conforme au consentement

Les cookies et traceurs déposés sur le terminal d'un visiteur sont encadrés par l'article 82 de la loi Informatique et Libertés. La règle est : 

Tout traceur non strictement nécessaire au fonctionnement du site exige le consentement préalable de l'internaute. Les cookies techniques, comme le panier d'achat ou la gestion de la session, sont dispensés de consentement car ils sont indispensables au service demandé. En revanche, les cookies de mesure d'audience publicitaire, de retargeting ou de réseaux sociaux sont facultatifs et ne peuvent être déposés qu'après un accord actif.

Une bannière de cookies conforme doit permettre au visiteur de refuser aussi facilement qu'accepter. Elle affiche un bouton de refus au même niveau que le bouton d'acceptation et ne dépose aucun traceur facultatif avant le clic. La case précochée est interdite, car le consentement doit résulter d'un acte positif de l'internaute.

À noter que continuer sa navigation ou fermer le bandeau ne vaut pas acceptation. Vous devez aussi conserver la preuve de chaque consentement recueilli et permettre à tout moment de le retirer aussi simplement qu'il a été donné.

C'est précisément là que SHEIN a été sanctionné : La CNIL a prononcé une amende de 150 millions d'euros le 1er septembre 2025 parce que des cookies publicitaires étaient déposés sans consentement valable et que le refus n'était pas respecté. 

Les cookies figurent parmi les principaux motifs de sanction relevés par la CNIL, ce qui en fait le premier point à sécuriser sur une boutique en ligne.

CGV politique de confidentialité et mentions d’information

Trois documents distincts encadrent votre relation avec le client : 

Les conditions générales de vente 

Les conditions générales de vente encadrent la transaction commerciale : le prix, la livraison, le droit de rétractation et les garanties. Elles relèvent du droit de la consommation plus que du RGPD. Notre cabinet d’avocat en CGV peut vous accompagner dans leur rédaction.

La politique de confidentialité

La politique de confidentialité décrit vos traitements de données, les finalités, les bases légales, les durées de conservation, les destinataires et les droits des personnes. C'est le document central de votre information RGPD.

Au moment de la collecte, la politique de confidentialité informe chaque client de l'identité du responsable de traitement, de la finalité poursuivie, de la base légale, de la durée de conservation et des moyens d'exercer ses droits. Le client dispose sur ses données d'un droit d'accès, de rectification, d'effacement et d'opposition, que votre politique doit rendre facile à exercer. Une information claire et accessible, écrite dans un langage compréhensible, fait partie des premiers éléments qu'un contrôle vérifie.

Les mentions légales

Les mentions légales identifient l'éditeur du site, l'hébergeur et les coordonnées de contact, comme l'exige la réglementation sur le commerce électronique.

Checklist de mise en conformité RGPD pour e-commerce

Voici la séquence que je recommande à un e-commerçant qui part de zéro. Chaque étape produit une preuve que vous pourrez présenter en cas de contrôle.

1. Cartographier vos traitements dans un registre. 

Le registre des traitements prévu par l'article 30 du RGPD liste chaque traitement, sa finalité, ses données, ses durées et ses destinataires. C'est la fondation, car il vous oblige à savoir ce que vous faites des données.

2. Rédiger et publier votre information client.

 La politique de confidentialité et les mentions d'information couvrent les articles 13 et 14 et rendent visible ce que vous faites des données de vos clients.

3. Rendre votre bandeau cookies conforme

Bloquez le dépôt des traceurs facultatifs avant consentement, offrez un refus aussi simple que l'acceptation, puis conservez la preuve des choix.

4. Fixer et appliquer des durées de conservation

Définissez pour chaque catégorie de données une durée justifiée, puis purgez ou anonymisez au terme. Un compte client inactif ne se conserve pas indéfiniment.

5. Organiser l'exercice des droits

Prévoyez une adresse et une procédure pour traiter les demandes d'accès, de rectification, d'effacement et d'opposition dans le délai d'un mois.

6. Sécuriser les données

Chiffrement des flux, mots de passe robustes, accès restreints et sauvegardes forment le socle technique attendu, dans une logique de privacy by design.

7. Encadrer vos sous-traitants par contrat

Hébergeur, prestataire de paiement et outils marketing doivent être liés par un contrat conforme à l'article 28, que nous détaillons plus bas.

L’avis de Maître Bonavia

Quand j'accompagne un e-commerçant, je constate presque toujours qu’il souhaite un document de politique de confidentialité et pense ne plus rien avoir à faire ensuite. Or, la CNIL ne contrôle pas votre intention, elle contrôle vos preuves. Le jour d'un contrôle, l'agent vous demande votre registre des traitements, la trace des consentements cookies et les contrats de vos sous-traitants. Je conseille toujours de commencer par le registre et par la bannière cookies, parce que ce sont les deux points que la CNIL vérifie en premier. La conformité se construit dans cet ordre, du concret vers le rédactionnel.

Sous-traitants hébergeur paiement et marketing

Chaque prestataire qui manipule des données pour votre compte est un sous-traitant au sens du RGPD. 

• L'hébergeur qui stocke votre base clients,
• le prestataire de services de paiement qui traite les transactions,
• l'outil d'e-mailing qui gère vos newsletters
• l'agence qui pilote vos campagnes publicitaires

Tous entrent tous dans cette catégorie de sous-traitant RGPD. Vous restez responsable de traitement, donc responsable de leurs manquements sur les données que vous leur confiez.

L'article 28 du RGPD impose de conclure avec chaque sous-traitant un contrat écrit qui fixe

1.  l'objet du traitement,
2. sa durée,
3. les mesures de sécurité,
4. l'interdiction d'utiliser les données à d'autres fins,
5. le sort des données en fin de contrat.

Vous devez choisir des prestataires qui présentent des garanties suffisantes et vérifier où sont hébergées les données, en particulier hors de l'Union européenne.

En pratique, un e-commerçant récupère ces clauses dans les accords de traitement proposés par ses outils, mais il lui revient de les collecter et de les tenir à disposition de la CNIL.

Notifier la CNIL sous 72 heures après une fuite de données

La violation de données regroupe tout incident qui compromet la confidentialité, l'intégrité ou la disponibilité de données personnelles. Cela vise aussi bien un piratage qu'un envoi d'e-mail à la mauvaise liste ou une perte de fichier. 

L'article 33 du RGPD vous oblige alors à notifier la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance, dès lors que l'incident présente un risque pour les personnes concernées. Passé ce délai, la notification tardive doit être motivée.

La notification doit décrire :

1. la nature de la violation,
2. les catégories,
3. le nombre approximatif de personnes touchées,
4. les conséquences probables,
5. les mesures prises pour y remédier. 

Lorsque le risque pour les personnes est élevé, l'article 34 impose en plus d'informer directement les clients concernés, par exemple en cas de fuite de mots de passe ou de coordonnées bancaires. Tenir un registre interne des violations, même mineures, fait partie des éléments qu'un contrôleur s’attend à trouver.

Sanctions RGPD e-commerce : ce que vous risquez vraiment

Le RGPD prévoit à son article 83 un plafond d'amende de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Ce plafond vise les manquements les plus graves, comme l'absence de base légale ou le non-respect des droits des personnes (la CNIL module la sanction selon la gravité, la durée du manquement, le caractère intentionnel et la coopération de l'entreprise).

Sur l'ensemble de l'année 2025, la CNIL a rendu 83 sanctions pour un total cumulé de 486,8 millions d'euros, un niveau qui confirme la montée en puissance de son action répressive.

Au-delà de l'amende, une non-conformité expose aussi à une mise en demeure publique et à une perte de confiance des clients, dont l'effet commercial dépasse souvent le montant de la sanction elle-même.

FAQ

Un e-commerce doit-il obligatoirement désigner un DPO ?

La désignation d'un délégué à la protection des données n'est obligatoire que dans certains cas, notamment un suivi régulier et à grande échelle des personnes ou le traitement de données sensibles à grande échelle. La plupart des petites boutiques n'y sont pas tenues, mais désigner un référent interne reste utile pour piloter la conformité. Un e-commerce en forte croissance qui pratique la prospection intensive et le profilage se rapproche du seuil et a intérêt à faire trancher la question.

Un modèle de politique de confidentialité suffit-il à être conforme ?

Un modèle donne une structure, mais il ne rend pas conforme à lui seul. La conformité suppose que le document décrive vos traitements réels, avec vos finalités, vos durées et vos sous-traitants. Elle suppose aussi qu'il s'appuie sur un registre à jour. Un modèle générique recopié sans travail de fond crée un décalage entre ce que vous affichez et ce que vous faites, décalage que la CNIL sanctionne.

Google Analytics 4 est-il légal sur un site e-commerce ?

La mesure d'audience est possible, mais elle relève de traceurs soumis au consentement dès qu'elle dépasse la stricte statistique anonyme. Vous devez donc bloquer le dépôt de Google Analytics avant l'accord de l'internaute et vérifier les conditions de transfert des données. Des solutions de mesure d'audience exemptées de consentement existent et évitent une partie de ces contraintes.

Une TPE risque-t-elle vraiment une amende ?

Le plafond de 20 millions d'euros ou 4 % du chiffre d'affaires concerne les cas les plus graves. Une petite boutique n'atteindra pas ces montants. La CNIL adapte sa réponse à la taille et privilégie souvent la mise en demeure pour une première non-conformité de bonne foi. Le risque réel pour une TPE est donc davantage une injonction de se corriger sous peine de sanction, ce qui reste coûteux en temps et en réputation.

Ma newsletter exige-t-elle un consentement opt-in ?

Envoyer une newsletter commerciale à un prospect suppose son consentement préalable, recueilli par une case à cocher non précochée et distincte de la validation de commande. Une exception existe pour vos propres clients sur des produits similaires, mais elle reste encadrée et impose toujours une désinscription simple. Conservez la preuve de chaque consentement, car c'est elle qui vous protège en cas de plainte.