22.04.2025
Légal
Pour mettre un site internet en conformité avec le RGPD, il faut identifier les données personnelles collectées, définir la base légale de chaque traitement, informer les visiteurs, gérer correctement les cookies et mettre en place des mesures de sécurité adaptées. La conformité ne se limite pas à ajouter un bandeau cookies ou une politique de confidentialité.
Le Règlement général sur la protection des données (RGPD) s’applique depuis le 25 mai 2018. Il encadre la collecte et l’utilisation des données personnelles des personnes physiques, notamment sur les sites web, les boutiques e-commerce et les applications.
Un simple formulaire de contact peut être concerné. Il en va de même pour un compte client, une inscription à une newsletter, un outil de mesure d’audience ou un service de réservation.
Comment savoir si votre site respecte ses obligations ? Quelles mentions doivent figurer dans les formulaires ? Faut-il demander le consentement pour chaque collecte ? Et comment configurer correctement les outils de statistiques et les traceurs publicitaires ?
ID Interactive est une agence digitale installée à Arradon, près de Vannes (Morbihan), depuis 2006, Google Partner, Meta Business Partner et Shopify Partner. L’agence accompagne les entreprises dans la conception et l’évolution technique de leurs sites Internet, notamment sur les questions de formulaires, de traceurs, d’hébergement et de sécurité.
Ce guide présente dix vérifications essentielles pour préparer la conformité RGPD d’un site internet, à adapter avec le responsable du traitement et, lorsque cela est nécessaire, son délégué à la protection des données.
Qu’est-ce que le RGPD pour un site internet ?
Le RGPD est un règlement européen qui encadre les traitements de données personnelles.
Une donnée personnelle est une information se rapportant à une personne physique identifiée ou identifiable.
Il peut notamment s’agir :
- D’un nom ou d’un prénom.
- D’une adresse e-mail nominative.
- D’un numéro de téléphone personnel.
- D’une adresse IP lorsque les conditions d’identification sont réunies.
- D’un identifiant de compte utilisateur.
- De certaines données de localisation.
- D’informations relatives aux achats ou aux comportements de navigation.
Les données de santé, les opinions politiques, les convictions religieuses et certaines autres catégories de données bénéficient de protections particulières.
Quels sites internet sont concernés par le RGPD ?
Le RGPD concerne les sites qui réalisent des traitements de données personnelles entrant dans son champ d’application.
Cela peut inclure :
- Un site vitrine avec un formulaire de contact.
- Une boutique e-commerce avec des comptes clients.
- Un site proposant une newsletter.
- Une plateforme de réservation.
- Une application web comportant des comptes utilisateurs.
- Un site utilisant des outils de statistiques ou de publicité.
Le règlement ne s’applique pas uniquement aux grandes entreprises.
Une TPE ou une PME peut également être concernée dès lors qu’elle traite des données personnelles dans les conditions prévues par le RGPD.
Le RGPD impose-t-il une certification du site ?
Non. Il n’existe pas de certification RGPD universelle et obligatoire permettant de déclarer automatiquement conforme l’ensemble d’un site internet.
Des mécanismes de certification peuvent exister dans des périmètres déterminés, mais ils ne remplacent pas l’analyse des traitements, des responsabilités et des mesures réellement mises en œuvre.
La conformité doit être documentée, appliquée et maintenue dans le temps.
Les 10 points à vérifier pour mettre son site en conformité RGPD
1. Identifier les données personnelles collectées
La première étape consiste à dresser un inventaire des traitements présents sur le site.
Il faut examiner les formulaires, les comptes utilisateurs, les outils statistiques, les solutions publicitaires, les services tiers et les données enregistrées par les applications.
Pour chaque traitement, identifiez :
- Les informations collectées.
- Les personnes concernées.
- La finalité du traitement.
- La base légale.
- Les destinataires des données.
- La durée de conservation.
- Les prestataires impliqués.
- Les éventuels transferts internationaux.
- Les mesures de sécurité.
Exemple : un formulaire de contact recueille le nom, l’adresse e-mail et le message d’un prospect afin de répondre à sa demande.
Le site doit expliquer l’utilisation de ces informations et éviter de demander des données sans rapport avec la demande.
Faut-il créer un registre des traitements ?
Le registre des activités de traitement permet de documenter les principales opérations réalisées sur les données personnelles.
L’article 30 du RGPD prévoit cette obligation, avec certaines dérogations pour les organisations de moins de 250 salariés.
Ces dérogations restent toutefois limitées, notamment lorsque les traitements ne sont pas occasionnels, comportent des risques ou concernent certaines données sensibles.
En pratique, la gestion régulière des clients, des prospects ou des salariés justifie généralement une documentation dans le registre.
Un modèle de registre peut faciliter le travail, mais il doit être adapté aux traitements réellement effectués.
Un registre complété ne suffit pas, à lui seul, à rendre le site conforme.
2. Définir la base légale de chaque traitement
Tout traitement de données personnelles doit reposer sur une base légale appropriée.
Le RGPD prévoit six bases légales principales.
- Consentement : Inscription à certaines communications commerciales
- Exécution d’un contrat : Gestion d’une commande e-commerce
- Obligation légale : Conservation d’informations nécessaires à certaines obligations comptables
- Intérêts vitaux : Traitement nécessaire pour protéger la vie d’une personne
- Mission d’intérêt public : Certains traitements réalisés par une administration
- Intérêt légitime : Certaines opérations de sécurité ou de gestion, sous conditions
Le choix dépend de la finalité réelle et des circonstances du traitement.
Il ne faut pas sélectionner systématiquement le consentement.
Le consentement est-il obligatoire pour un formulaire de contact ?
Pas nécessairement.
Lorsqu’une personne utilise un formulaire pour demander un devis ou des informations sur une prestation, le traitement peut, selon le contexte, reposer sur des mesures précontractuelles prises à sa demande ou sur une autre base légale appropriée.
Il faut distinguer le traitement de sa demande et une éventuelle utilisation ultérieure de ses coordonnées à des fins de prospection.
La collecte des données doit toujours s’accompagner d’une information claire.
Ajouter une case « J’accepte le RGPD » ne remplace ni le choix d’une base légale appropriée ni une politique d’information conforme.
3. Informer les internautes sur l’utilisation de leurs données
L’information doit être accessible et compréhensible au moment où les données sont recueillies.
Le RGPD prévoit notamment de communiquer :
- L’identité et les coordonnées du responsable du traitement.
- Les coordonnées du DPO, lorsqu’il existe.
- Les finalités et les bases légales.
- Les destinataires ou catégories de destinataires.
- Les durées de conservation ou leurs critères de détermination.
- Les droits des personnes.
- Les modalités d’exercice de ces droits.
- Le droit de déposer une réclamation auprès d’une autorité de contrôle.
- Les informations applicables aux transferts internationaux.
- Les précisions pertinentes sur le caractère obligatoire ou facultatif des données.
- Les autres informations requises selon le traitement, notamment sur certaines décisions automatisées.
Cette information peut être organisée en plusieurs niveaux.
Par exemple, une mention courte peut figurer sous un formulaire, accompagnée d’un lien vers une page de confidentialité plus complète.
Exemple de mention RGPD pour un formulaire de contact
Voici une trame à personnaliser :
« Les informations recueillies dans ce formulaire sont utilisées par [nom de l’entreprise] pour traiter votre demande. Elles sont destinées aux personnes habilitées à y répondre et, le cas échéant, aux prestataires autorisés. Pour connaître la base légale, la durée de conservation de vos données et les modalités d’exercice de vos droits, consultez notre politique de confidentialité. »
Cette formulation constitue un exemple rédactionnel, pas une mention juridiquement suffisante dans tous les cas.
Elle doit être complétée en fonction de la base légale, des destinataires, des durées et des modalités réelles du traitement.
4. Configurer correctement les cookies et les traceurs
Les cookies et autres traceurs permettent notamment de mémoriser certaines préférences, d’assurer des fonctionnalités ou de mesurer la navigation.
Tous les cookies ne nécessitent pas un consentement préalable.
Les règles dépendent avant tout de leur finalité et de leur utilisation.
- Cookie de session strictement nécessaire : Généralement non
- Cookie nécessaire au panier e-commerce : Généralement non
- Traceur de publicité ciblée : En principe oui
- Traceur de mesure publicitaire : En principe oui
- Outil de mesure d’audience : Selon sa finalité et sa configuration
- Traceur lié à un service externe : Selon le fonctionnement et la finalité
Les règles relatives aux traceurs relèvent notamment de l’article 82 de la loi Informatique et Libertés, en articulation avec le RGPD pour les traitements de données personnelles.
Comment mettre en place un bandeau cookies conforme ?
Lorsque le consentement est nécessaire, le site doit notamment :
- Informer sur les finalités des traceurs.
- Permettre un choix libre et éclairé.
- Proposer un moyen de refuser les traceurs concernés.
- Ne pas interpréter le silence comme un accord.
- Éviter les cases pré-cochées.
- Permettre le retrait du consentement à tout moment.
- Conserver la preuve ou les éléments utiles attestant les choix.
- Ne pas déclencher les traceurs concernés avant le consentement.
La CNIL recommande notamment que les boutons « Tout accepter » et « Tout refuser » soient proposés avec un degré de simplicité comparable.
Les interfaces trompeuses, qui rendent le refus volontairement plus difficile, doivent être évitées.
Combien de temps conserver le choix des cookies ?
La CNIL recommande généralement de conserver le choix exprimé par un internaute pendant six mois, qu’il s’agisse d’une acceptation ou d’un refus.
Il s’agit d’une recommandation à apprécier selon le contexte du service, et non d’une durée légale universelle de validité du consentement.
La durée de vie technique des cookies est une autre question.
Pour certains outils de mesure d’audience susceptibles d’être exemptés de consentement, la CNIL fournit des recommandations distinctes concernant la durée des traceurs et la conservation des informations collectées.
La recommandation de six mois relative à la mémorisation du choix ne doit donc pas être confondue avec les treize mois applicables à certains traceurs de mesure d’audience.
5. Vérifier les outils de statistiques et les services tiers
Les sites Internet utilisent souvent des outils externes : Google Analytics 4, Google Tag Manager, Meta Pixel, vidéos YouTube, cartes interactives, chats ou solutions d’automatisation.
Ces outils peuvent entraîner la collecte de données personnelles ou l’accès à des informations présentes sur le terminal des visiteurs.
Il faut donc étudier leur fonctionnement, leurs finalités et leurs paramètres.
Peut-on utiliser Google Analytics 4 sans consentement ?
Il ne faut pas considérer que Google Analytics 4 bénéficie automatiquement d’une exemption de consentement.
La CNIL prévoit une exemption possible pour certaines solutions de mesure d’audience, sous des conditions strictes.
L’outil doit notamment être limité à la mesure d’audience pour le compte de l’éditeur, respecter les conditions relatives aux données collectées et ne pas permettre certains recoupements ou suivis entre sites.
La configuration réelle doit être évaluée.
L’utilisation d’un mode de consentement technique ne remplace pas, à elle seule, le recueil d’un consentement juridiquement valide lorsque celui-ci est requis.
Que vérifier avec les vidéos, cartes et réseaux sociaux ?
L’intégration d’une vidéo ou d’une carte externe peut entraîner des échanges de données avec le fournisseur avant même que le visiteur n’interagisse avec le contenu.
Il peut être nécessaire de différer le chargement de certaines fonctionnalités jusqu’au choix de l’utilisateur.
Une solution consiste, par exemple, à présenter un contenu de remplacement expliquant pourquoi l’activation du service nécessite une action.
La conformité dépend toutefois de la configuration effective et des traceurs concernés.
6. Définir les durées de conservation et gérer les droits
Les données personnelles ne doivent pas être conservées indéfiniment.
Le responsable du traitement doit déterminer une durée proportionnée à chaque finalité ou des critères permettant de la fixer.
Ces durées peuvent différer entre :
- Une demande de contact.
- Un compte client.
- Une commande.
- Une obligation comptable.
- Une inscription à une newsletter.
- Une candidature.
- Des journaux techniques.
Certaines données peuvent être archivées pour satisfaire des obligations légales ou préserver des droits, dans les conditions applicables.
Quels droits les visiteurs possèdent-ils ?
Selon les circonstances, les personnes disposent notamment de droits :
- D’accès.
- De rectification.
- D’effacement.
- De limitation.
- D’opposition.
- De portabilité.
- De retrait du consentement lorsque le traitement repose sur celui-ci.
Ces droits ne sont pas tous applicables de manière identique à chaque traitement.
Le droit à l’effacement est-il absolu ?
Non.
Une personne peut demander la suppression de certaines données, mais l’organisme peut dans certaines circonstances devoir ou pouvoir les conserver, notamment en raison d’obligations légales ou pour constater, exercer ou défendre des droits en justice.
La demande doit être examinée selon la base légale, la finalité et les exceptions applicables.
En principe, l’organisme dispose d’un mois pour répondre aux demandes d’exercice de droits, avec certaines possibilités de prolongation prévues par le RGPD.
Un site professionnel doit donc offrir un moyen effectif de contacter le responsable du traitement et disposer d’une procédure interne pour traiter les demandes.
7. Sécuriser les données personnelles
L’article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques.
La sécurité ne se limite pas à installer un certificat HTTPS.
Un site peut transmettre les données de manière chiffrée tout en présentant des vulnérabilités dans son administration ou son stockage.
Quelles mesures de sécurité prévoir ?
Les mesures pertinentes peuvent notamment comprendre :
- Le protocole HTTPS et une configuration TLS appropriée.
- Des mises à jour régulières du CMS et de ses dépendances.
- Des accès administrateurs individualisés.
- Une authentification renforcée pour les comptes sensibles.
- Une gestion des droits selon les besoins réels.
- Des sauvegardes et des tests de restauration.
- Des mesures de protection contre les accès non autorisés.
- Une surveillance et une journalisation proportionnées.
- Un chiffrement adapté des données stockées lorsque nécessaire.
- Des procédures de correction des vulnérabilités.
- Une politique de suppression des données devenues inutiles.
Les protections doivent être adaptées à la nature des données, aux risques et aux moyens de l’organisme.
Que faire en cas de violation de données ?
Une violation de données personnelles peut concerner leur confidentialité, leur intégrité ou leur disponibilité.
L’organisme doit documenter les violations constatées.
Lorsqu’une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où le responsable du traitement en a connaissance.
Lorsque le risque pour les personnes est élevé, celles-ci doivent également être informées, sous réserve des exceptions prévues.
La préparation de cette procédure doit faire partie de l’organisation de la sécurité du site.
8. Encadrer l’hébergement et les sous-traitants
Le responsable du traitement est l’organisme qui détermine les finalités et les moyens essentiels du traitement.
Le sous-traitant traite des données personnelles pour son compte, dans le cadre d’une prestation.
Pour un site Internet, les prestataires concernés peuvent comprendre :
- L’hébergeur.
- L’agence chargée du développement et de la maintenance.
- Le fournisseur de messagerie.
- Le prestataire de gestion des formulaires.
- Certains fournisseurs d’outils statistiques.
- Les services d’envoi de newsletters.
- Les prestataires assurant des sauvegardes ou l’assistance technique.
Le rôle juridique de chacun doit être déterminé selon les activités réellement réalisées.
Quel contrat prévoir avec les prestataires ?
Lorsqu’un prestataire agit comme sous-traitant au sens du RGPD, l’article 28 prévoit un encadrement contractuel.
Le contrat doit notamment définir les conditions du traitement, les obligations des parties, les mesures de sécurité et les modalités relatives aux sous-traitants ultérieurs.
Il peut également prévoir les conditions de restitution ou de suppression des données après la prestation.
Le responsable du traitement reste tenu de vérifier que ses sous-traitants présentent des garanties suffisantes.
Un hébergement en France garantit-il la conformité RGPD ?
Non.
Un hébergement situé en France ou dans l’Espace économique européen peut faciliter la maîtrise de certaines contraintes, mais ne garantit pas la conformité de l’ensemble du traitement.
Il faut notamment vérifier :
- Les entités ayant accès aux données.
- Les lieux de stockage et de sauvegarde.
- Les services connectés au site.
- Les sous-traitants ultérieurs.
- Les accès distants depuis des pays tiers.
- Les transferts internationaux éventuels.
- Les garanties juridiques applicables.
Des données hébergées en France peuvent faire l’objet d’un transfert international dans certaines configurations.
L’analyse doit donc porter sur la chaîne de traitement, pas seulement sur l’adresse du centre de données.
Comment encadrer les transferts hors de l’EEE ?
Lorsqu’un transfert de données personnelles vers un pays tiers existe, il faut vérifier les mécanismes juridiques applicables.
Selon le cas, il peut s’agir :
- D’une décision d’adéquation de la Commission européenne.
- De clauses contractuelles types adaptées aux transferts internationaux, complétées si nécessaire par des mesures supplémentaires.
- De règles d’entreprise contraignantes.
- D’autres garanties ou dérogations prévues par le RGPD.
Pour les États-Unis, le Data Privacy Framework permet notamment certains transferts vers des organisations effectivement certifiées et couvertes par la décision d’adéquation.
L’adhésion du destinataire et le périmètre du transfert doivent être vérifiés.
9. Publier les mentions légales et la politique de confidentialité
Il faut distinguer les informations permettant d’identifier l’éditeur d’un site des informations relatives aux traitements de données personnelles.
Ces deux ensembles d’informations répondent à des objectifs différents.
- Mentions légales : Identifier l’éditeur du site et fournir les informations légalement requises
- Politique de confidentialité : Expliquer les traitements de données personnelles
- Information sur les cookies : Présenter les finalités des traceurs et les choix disponibles
- Conditions générales : Encadrer certaines relations contractuelles ou d’utilisation selon le service
Ces informations peuvent être organisées de plusieurs manières, à condition de rester accessibles, complètes et compréhensibles.
Que mettre dans la politique de confidentialité ?
La politique de confidentialité doit correspondre aux traitements réellement effectués.
Elle peut notamment comporter :
- L’identité du responsable du traitement.
- Les coordonnées utiles et celles du DPO lorsqu’il existe.
- Les catégories de données collectées.
- Les finalités et leurs bases légales.
- Les destinataires.
- Les durées de conservation.
- Les transferts internationaux concernés.
- Les droits des personnes.
- Les modalités d’exercice des droits.
- Les informations applicables aux traitements particuliers.
Il ne faut pas copier une politique de confidentialité générique sans vérifier son adéquation avec le site.
Par exemple, un site e-commerce utilisant des services de paiement, d’expédition et de marketing n’effectue pas les mêmes traitements qu’un site vitrine comportant seulement un formulaire de contact.
10. Organiser la conformité et la maintenir après la mise en ligne
La conformité RGPD s’inscrit dans la durée.
L’ajout d’un nouvel outil, la création d’un formulaire, un changement d’hébergement ou l’installation d’un module peut modifier les traitements réalisés.
L’entreprise doit donc prévoir une organisation adaptée.
Quand faut-il désigner un DPO ?
Le délégué à la protection des données, ou DPO, accompagne l’organisme dans la mise en œuvre et le suivi de ses obligations.
Sa désignation est obligatoire dans certains cas, notamment pour les organismes publics et pour certaines activités impliquant un suivi régulier et systématique à grande échelle ou des traitements à grande échelle de catégories particulières de données.
Elle n’est pas obligatoire pour toute entreprise disposant d’un simple site Internet.
Même lorsqu’il n’est pas obligatoire, un DPO peut être désigné volontairement.
Qu’est-ce qu’une analyse d’impact AIPD ?
Une analyse d’impact relative à la protection des données (AIPD) permet d’évaluer les risques qu’un traitement présente pour les droits et libertés des personnes.
Elle est obligatoire notamment lorsque le traitement est susceptible d’engendrer un risque élevé ou relève des listes de traitements pour lesquels une AIPD est requise.
Elle ne doit pas être présentée comme une formalité automatiquement imposée à chaque site recueillant une information sensible.
La nécessité d’une AIPD dépend des caractéristiques du traitement, de son contexte et des règles applicables.
Les données de santé demandent-elles des précautions particulières ?
Oui.
Les données de santé sont des données bénéficiant d’une protection renforcée au titre du RGPD.
Leur traitement est en principe interdit, sauf si l’une des exceptions prévues par l’article 9 s’applique et si les autres exigences légales sont respectées.
Selon les situations, le traitement peut notamment être autorisé dans le cadre de soins, d’obligations spécifiques ou d’un consentement explicite valable.
Le consentement explicite n’est donc ni la seule exception possible ni une autorisation générale de traiter librement des données de santé.
Les projets concernés doivent également examiner les règles sectorielles applicables.
Dans certains cas, notamment pour l’hébergement de données de santé à caractère personnel dans les conditions prévues par le Code de la santé publique, le recours à un hébergeur certifié HDS peut être obligatoire.
La nécessité d’une AIPD et les exigences d’hébergement doivent être étudiées selon le traitement envisagé.
Quelles sont les sanctions en cas de non-conformité RGPD ?
Le RGPD prévoit plusieurs mesures correctrices et niveaux de sanctions.
Selon les manquements, les autorités peuvent notamment prononcer des rappels à l’ordre, des injonctions de mise en conformité, des limitations de traitement ou des amendes administratives.
Pour certaines catégories de violations, les plafonds prévus par l’article 83 atteignent :
- 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, selon le régime applicable.
- 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour les catégories de manquements les plus graves.
Pour les entreprises, le montant de référence le plus élevé est retenu dans les cas prévus par le règlement.
Ces montants sont des plafonds, pas des sanctions automatiques.
La sanction éventuelle dépend notamment de la nature, de la gravité, de la durée et des circonstances du manquement.
Checklist RGPD d’un site internet : les vérifications essentielles
Pour préparer un audit, les principaux contrôles peuvent être regroupés dans une checklist.
- Inventaire des données : Les formulaires, outils et traitements sont recensés
- Registre : Les traitements à documenter sont correctement enregistrés
- Bases légales : Chaque finalité repose sur une base identifiée
- Formulaires : Les informations requises sont accessibles lors de la collecte
- Cookies : Les traceurs non exemptés ne se déclenchent pas avant le consentement
- Gestion du consentement : Les choix sont clairs et modifiables
- Durées de conservation : Des durées adaptées sont définies et appliquées
- Droits des personnes : Les demandes peuvent être reçues et traitées
- Sécurité : Les mesures sont adaptées aux risques
- Sous-traitants : Les contrats et garanties sont vérifiés
- Transferts internationaux : Les flux et mécanismes juridiques sont documentés
- Mentions légales : Les informations d’identification sont présentes
- Politique de confidentialité : Elle reflète les traitements réellement effectués
- DPO et AIPD : Les obligations éventuelles sont évaluées
- Suivi : Les évolutions du site donnent lieu à une nouvelle vérification
Cette checklist constitue un point de départ.
Elle ne remplace pas une analyse de conformité tenant compte de l’ensemble des traitements réalisés par l’organisme.
Quel rôle peut jouer une agence web dans la conformité RGPD ?
Une agence digitale peut intervenir sur les aspects techniques et éditoriaux nécessaires à la mise en œuvre des décisions prises par le responsable du traitement.
Par exemple, ID Interactive peut accompagner un projet de site Internet sur plusieurs aspects :
- L’identification des formulaires et outils présents sur le site.
- La configuration technique de la gestion des cookies.
- L’intégration des mentions d’information fournies ou validées.
- La limitation des données collectées par les formulaires.
- La mise en place de mesures de sécurité adaptées.
- L’encadrement technique des accès et des services.
- Les modifications nécessaires lors de la création ou de la refonte du site.
La définition des bases légales, l’analyse des obligations propres à l’entreprise et la validation juridique des documents relèvent du responsable du traitement, accompagné si nécessaire de son DPO ou de son conseil.
Le fait de confier la mise en œuvre technique à un prestataire ne transfère pas automatiquement l’ensemble des responsabilités RGPD à celui-ci.
Intégrer le RGPD dès la conception du site
La protection des données dès la conception, ou privacy by design, consiste à prendre en compte les exigences de confidentialité et de sécurité avant la mise en production.
Lors d’un projet de création ou de refonte de site Internet, il est notamment utile de définir les données réellement nécessaires, les droits d’accès et la configuration des services tiers.
Une telle démarche évite de traiter toutes les questions RGPD une fois le site déjà publié.
Quelle place pour l’hébergement ?
Le choix de l’hébergement participe à la maîtrise des risques et des traitements.
ID Interactive peut étudier les exigences techniques d’un projet et les conditions d’exploitation associées aux prestataires retenus. L’agence propose notamment un hébergement et cloud français pour les sites qu’elle développe.
Les choix d’hébergement doivent toutefois être appréciés avec l’ensemble des traitements, des accès et des transferts éventuels.
Comment savoir si son site respecte le RGPD ?
Un site internet ne peut pas être déclaré conforme au RGPD sur la seule base de la présence d’un bandeau cookies, d’une page de confidentialité ou d’un certificat HTTPS.
L’analyse doit porter sur les données réellement traitées, leur base légale, les informations communiquées, les outils activés, les contrats, les mesures de sécurité et l’organisation de l’entreprise.
Les contrôles techniques doivent être rapprochés des obligations documentaires et juridiques.
Cette démarche doit également être répétée lorsque le site et les services qui lui sont connectés évoluent.
Pour étudier les adaptations techniques nécessaires à votre site Internet, vous pouvez contacter ID Interactive afin de présenter votre environnement et vos besoins.
Sources officielles
Article publié initialement le 9 août 2020.
