Protection des données : obligations RGPD et bonnes pratiques pour les sites pros

La protection des données désigne l’ensemble des règles et des mesures qui encadrent la collecte, l’usage, la conservation et la sécurité des informations permettant d’identifier une personne. En France, le cadre de référence est le RGPD, appliqué depuis le 25 mai 2018, complété par la loi Informatique et Libertés et contrôlé par la CNIL. Pour une entreprise, cela se traduit par quelques obligations concrètes : savoir pourquoi on collecte chaque donnée, informer les personnes, limiter la durée de conservation, sécuriser les accès et pouvoir répondre aux demandes de droits. Un site qui reçoit des appels, des formulaires ou des demandes de rappel est directement concerné.

Données personnelles : ce que la protection des données couvre vraiment

On imagine souvent que seules les informations « sensibles » sont visées. En réalité, le RGPD s’applique dès qu’une information se rattache, directement ou indirectement, à une personne physique. Un prénom associé à un numéro de mobile, une adresse IP enregistrée dans un journal serveur, la voix d’un client dans un enregistrement d’appel ou l’identifiant d’un visiteur dans un outil d’analyse sont tous des données personnelles.

Le texte distingue aussi des catégories dites particulières : santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques. Leur traitement est en principe interdit, sauf exceptions encadrées. Pour un site vitrine ou une boutique en ligne, le risque n’est pas théorique : un champ « message libre » dans un formulaire de rappel peut recueillir spontanément des informations de santé. Mieux vaut prévoir ce cas dans la politique interne plutôt que le découvrir lors d’un contrôle.

Enfin, la notion de traitement est très large. Collecter, consulter, transférer, croiser, archiver et même supprimer sont des opérations de traitement. Un simple export de contacts vers un tableur entre donc dans le champ du règlement.

Les obligations RGPD d’une entreprise qui collecte des contacts en ligne

Le règlement repose sur un principe de responsabilité : l’entreprise doit non seulement respecter les règles, mais aussi être capable de démontrer qu’elle les respecte. Le tableau ci-dessous résume les obligations qui reviennent le plus souvent pour un site professionnel.

Ces exigences paraissent lourdes sur le papier, mais elles se traduisent souvent par des décisions simples prises une fois pour toutes. Collecter des données utiles sur ses prospects reste parfaitement possible, à condition de savoir à quoi elles serviront et de ne pas les accumuler par réflexe.

Protection des données sur le canal téléphonique : widgets, rappels et suivi d’appels

Le téléphone est souvent oublié dans les démarches de conformité, alors qu’il génère beaucoup d’informations personnelles. Un widget d’appel, un bouton de rappel automatique ou un outil de suivi des conversions téléphoniques manipulent au minimum un numéro, une date, une durée et souvent la page d’origine du visiteur.

Numéro de l’appelant et demande de rappel

Lorsqu’un visiteur laisse son numéro pour être rappelé, la base légale est généralement la mesure précontractuelle qu’il sollicite lui-même. Ce numéro ne doit pas pour autant alimenter automatiquement une campagne de prospection sans information préalable. L’identification des numéros entrants pose des questions voisines : notre guide Comment savoir qui nous appelle rappelle qu’on peut vérifier l’origine d’un appel sans constituer pour autant un fichier permanent de tous les appelants.

Enregistrement des conversations

Enregistrer les appels pour la formation ou la qualité de service est admis, mais encadré. L’appelant doit être informé dès le début de la communication et pouvoir s’y opposer. Les salariés concernés doivent également être prévenus. La CNIL recommande de ne pas conserver les enregistrements au-delà de six mois, et de limiter l’accès à un petit nombre de personnes habilitées. Un enregistrement permanent et systématique, sans justification, est difficile à défendre.

Call tracking et numéros dynamiques

Le suivi d’appels attribue un numéro différent selon la source de trafic pour mesurer l’efficacité d’une campagne. Cette technique s’appuie souvent sur un traceur déposé dans le navigateur. Si ce traceur n’est pas strictement nécessaire au service demandé, il relève du consentement via le bandeau cookies. Il faut aussi vérifier où sont hébergées les données collectées par le fournisseur et ce qu’il en fait.

Côté prospection sortante, la règle a évolué : la loi du 30 juin 2025 a prévu qu’à partir d’août 2026 le démarchage téléphonique des consommateurs repose sur leur consentement préalable, et non plus sur un simple droit d’opposition. Les entreprises qui appellent des particuliers ont intérêt à vérifier précisément ce nouveau régime avec un conseil spécialisé.

Bonnes pratiques de protection des données au quotidien

La conformité ne se joue pas seulement dans les documents juridiques. Elle dépend surtout de gestes répétés chaque jour par les équipes commerciales, le support et les webmasters.

• Réduire les champs des formulaires. Chaque champ supprimé est une donnée en moins à protéger, et souvent un taux de conversion qui s’améliore.
• Utiliser la copie cachée pour les envois groupés. Mettre cinquante clients en copie visible expose leurs adresses à tous les destinataires. Bien comprendre le rôle du champ cci dans mail évite l’une des fuites les plus banales.
• Soigner l’exactitude des fichiers. Le RGPD impose des données exactes et à jour. Les imports depuis un tableur ou un CRM transportent parfois des caractères parasites : le guide Espace copier-coller explique comment ces caractères invisibles se glissent dans un texte, ce qui aide à repérer les doublons et les numéros mal formatés.
• Attribuer des accès nominatifs. Un compte partagé par toute l’équipe empêche de savoir qui a consulté ou exporté quoi.
• Activer l’authentification à deux facteurs sur l’hébergement, le CMS, la messagerie et l’outil de gestion des appels.
• Programmer les suppressions. Une purge automatique des prospects inactifs vaut mieux qu’une bonne résolution annuelle.

La transparence vis-à-vis des visiteurs compte autant que la technique. Le Nom d’un service en ligne doit être cohérent avec celui qui figure dans les mentions légales et la politique de confidentialité, afin que l’internaute sache clairement à qui il confie ses coordonnées.

Sous-traitants, transferts hors Union européenne et données sensibles

Rares sont les entreprises qui traitent toutes leurs données en interne. Hébergeur, éditeur de CRM, plateforme de téléphonie, solution d’envoi d’e-mails : chacun de ces prestataires est un sous-traitant au sens du RGPD. Le contrat qui les lie à l’entreprise doit comporter des clauses précises sur la sécurité, la confidentialité, l’assistance en cas de demande de droits et le sort des données en fin de contrat.

Les transferts hors de l’Union européenne demandent une vigilance particulière. Ils sont possibles vers un pays reconnu comme offrant une protection adéquate, ou moyennant des garanties comme les clauses contractuelles types. Pour les États-Unis, le cadre dit Data Privacy Framework, adopté en 2023, permet les transferts vers les entreprises américaines certifiées. Ce dispositif peut toutefois être contesté devant la justice européenne, comme ses prédécesseurs l’ont été : il est prudent de suivre son évolution et de privilégier, quand c’est possible, un hébergement européen.

Quant aux données de santé ou aux autres catégories particulières, elles imposent des précautions renforcées et parfois une analyse d’impact préalable. Si votre activité vous amène à en traiter régulièrement, l’appui d’un délégué à la protection des données ou d’un juriste spécialisé devient vivement conseillé.

Erreurs fréquentes en protection des données personnelles

Les manquements relevés par la CNIL chez les petites structures sont rarement spectaculaires. Ils tiennent le plus souvent à des oublis :

1. Une politique de confidentialité copiée d’un modèle, qui ne décrit pas les traitements réels du site.
2. Un bandeau cookies où refuser demande plus d’efforts qu’accepter.
3. Des fichiers de prospects conservés sans limite, parfois depuis la création de l’entreprise.
4. Des exports CSV envoyés en pièce jointe non protégée, puis oubliés dans une boîte de réception.
5. Aucune procédure pour répondre à une demande d’accès ou d’effacement, ce qui dépasse vite le délai d’un mois.
6. Des anciens salariés ou prestataires qui gardent leurs accès aux outils.

Pour les prospects, la CNIL considère qu’une conservation de trois ans à compter du dernier contact émanant de la personne constitue une référence raisonnable. Au-delà, il faut soit obtenir un nouvel accord, soit supprimer ou anonymiser.

Violation de données : comment réagir sans perdre de temps

Une violation ne se limite pas au piratage. La perte d’un ordinateur non chiffré, l’envoi d’un fichier au mauvais destinataire ou une base de données laissée accessible publiquement en sont aussi. Lorsqu’un incident est susceptible d’engendrer un risque pour les personnes, il doit être notifié à la CNIL dans un délai de 72 heures après sa découverte. Si le risque est élevé, les personnes concernées doivent elles-mêmes être prévenues.

Dans tous les cas, l’incident doit être consigné dans un registre interne des violations, même lorsqu’aucune notification n’est requise. Préparer une fiche réflexe avant tout problème (qui prévenir, comment couper un accès, où documenter) fait gagner un temps précieux le jour où il survient. Les sanctions prévues par le RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, mais la CNIL tient compte de la taille de l’organisme, de sa bonne foi et des mesures prises pour corriger la situation.