RGPD e-commerce : obligations, responsabilités et sanctions encourues

Sommaire

1. Quelles données personnelles collecte un site e-commerce

2. Responsable de traitement ou sous-traitant : qui fait quoi

3. Bases légales applicables aux traitements du e-commerce

4. Cookies et consentement : le point le plus contrôlé

5. Obligations documentaires : registre, information, durées de conservation

6. Sanctions encourues et points de vigilance contractuels

FAQ

Pour aller plus loin

Un site marchand collecte des données personnelles à chaque étape du parcours d'achat. Le RGPD s'applique donc à toute la chaîne technique du e-commerce : plateforme, hébergeur, prestataire de paiement, régie publicitaire, outil d'emailing. Pour un DSI, la difficulté n'est pas seulement technique. Elle tient à la qualification juridique de chaque intervenant et à l'encadrement contractuel qui en découle, car le e-commerçant reste comptable des traitements devant la CNIL.

1. Quelles données personnelles collecte un site e-commerce

Un tunnel de commande produit quatre familles de données. Les données d'identité et de contact permettent de créer le compte client. Les données de commande retracent produits, montants et adresses de livraison. Les données de paiement transitent en général par un prestataire spécialisé. Les données de navigation alimentent la mesure d'audience et la publicité ciblée. Le principe de minimisation limite la collecte : seules les données nécessaires à la finalité du traitement de gestion commerciale peuvent être collectées. Un champ de formulaire ajouté par précaution sort donc du cadre. La CNIL publie un référentiel dédié aux traitements de gestion des activités commerciales, qui encadre notamment la gestion des commandes, la prospection et la fidélisation.

La qualification des données collectées conditionne toute la conformité aval du site.
Cadrer vos traitements avec un avocat en protection des données

2. Responsable de traitement ou sous-traitant : qui fait quoi

Le responsable de traitement décide des finalités et des moyens. Le sous-traitant agit sur instruction, pour le compte du premier. Le e-commerçant est responsable de traitement pour ses ventes et sa prospection, y compris lorsque tout est externalisé. En effet, il choisit les outils, les paramètre et fixe les durées. Ses prestataires sont sous-traitants lorsqu'ils exécutent ses instructions, alors que d'autres agissent pour leur propre compte et deviennent responsables autonomes. Le recours à un sous-traitant doit être encadré par un contrat écrit prévoyant les garanties du RGPD. Cette qualification n'est pas déclarative : elle se déduit de la marge de manœuvre réelle de chaque acteur.

3. Bases légales applicables aux traitements du e-commerce

Chaque traitement repose sur une base légale unique, choisie avant la collecte. La gestion du compte et l'exécution de la commande reposent sur le contrat. La conservation des factures répond à une obligation légale comptable. La lutte contre la fraude et la prospection adressée aux clients existants peuvent relever de l'intérêt légitime, sous réserve d'un droit d'opposition simple. La publicité ciblée et les traceurs non essentiels relèvent du consentement. Or un DSI hérite souvent d'un empilement d'outils dont personne n'a documenté la base légale. Reconstituer cette cartographie est le préalable à toute négociation contractuelle avec les éditeurs.

Le choix d'une base légale erronée fragilise l'ensemble des traitements qui en dépendent.
Faire auditer vos bases légales

4. Cookies et consentement : le point le plus contrôlé

L'utilisateur doit être informé et donner son consentement préalable avant tout dépôt ou lecture de traceur, sauf exemptions prévues à l'article 82 de la loi Informatique et Libertés. Le consentement se manifeste par un acte positif clair : les cases pré-cochées ne sont pas admises. Il doit aussi être éclairé, ce qui suppose d'informer l'utilisateur de l'identité du ou des responsables de traitement pour lesquels le consentement est recueilli, et des finalités poursuivies. Le responsable doit pouvoir apporter à tout moment la preuve d'un consentement libre, éclairé, spécifique et univoque. Techniquement, cela impose un blocage effectif des tags tant que l'accord n'est pas recueilli, puis une journalisation des choix exploitable en cas de contrôle.

5. Obligations documentaires : registre, information, durées de conservation

Le registre des traitements recense finalités, catégories de données, destinataires et durées. Il sert de référence commune entre direction juridique et direction des systèmes d'information. L'information des personnes doit être accessible au moment de la collecte, et non reléguée dans des conditions générales. Les durées de conservation se fixent par finalité, puis s'appliquent par des purges automatisées : une durée écrite mais jamais exécutée reste un manquement. En cas de violation de données personnelles, la notification à la CNIL intervient dans un délai de 72 heures après en avoir pris connaissance, ce qui suppose une procédure de détection et d'escalade définie à l'avance avec l'hébergeur.

La documentation vaut preuve : sans registre à jour ni durées appliquées, la conformité reste déclarative.
Structurer votre documentation RGPD

6. Sanctions encourues et points de vigilance contractuels

Les sanctions administratives du RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'exposition ne se limite pas à l'amende, car une injonction de cesser un traitement peut interrompre une chaîne publicitaire entière. Trois points appellent une vigilance contractuelle.

1. La sous-traitance ultérieure : l'éditeur doit déclarer ses propres prestataires et permettre une opposition.
2. Les transferts hors Union européenne, souvent implicites dans les outils d'analyse et de support.
3. La réversibilité : restitution puis suppression des données en fin de contrat, dans un format exploitable.

Même avec des contrats solides, le e-commerçant conserve une exposition résiduelle, puisqu'il répond du choix de ses prestataires et du paramétrage de ses outils.

FAQ

Le RGPD s'applique-t-il à une petite boutique en ligne ?

Oui. Le règlement ne fixe aucun seuil de chiffre d'affaires ou d'effectif. Un site qui enregistre des adresses et des historiques d'achat traite des données personnelles. Seules certaines obligations dépendent de la nature et du volume des traitements.

Qui est responsable si le prestataire commet l'erreur ?

Le e-commerçant reste responsable de traitement devant la CNIL pour les traitements qu'il a décidés. Le contrat de sous-traitance organise les obligations et les recours entre les parties, mais il ne transfère pas cette qualification.

Un bandeau cookies suffit-il à être conforme ?

Non. Le bandeau doit permettre de refuser aussi simplement que d'accepter, bloquer effectivement les traceurs non essentiels avant le choix, et conserver la preuve du consentement recueilli.

Combien de temps conserver les données clients ?

La durée se fixe par finalité, en base active puis en archivage. Le référentiel de la CNIL sur la gestion des activités commerciales donne le cadre applicable aux commandes, à la prospection et à la fidélisation.

Que faire en cas de fuite de données ?

Documenter l'incident, évaluer le risque pour les personnes, puis notifier la CNIL dans les 72 heures suivant la prise de connaissance. L'information des clients s'impose lorsque le risque est élevé.

Pour aller plus loin

Référentiel relatif aux traitements de données personnelles pour la gestion des activités commerciales - CNIL

Cookies et traceurs : que dit la loi ? - CNIL

Commerce et publicité - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.