RGPD pour un site de TPE : le minimum réellement obligatoire

Par quoi commencer : savoir ce que vous collectez

Avant toute démarche, faites l'inventaire. Un formulaire de contact collecte un nom, un e-mail, parfois un téléphone et un message. Les journaux du serveur enregistrent des adresses IP. Un outil de statistiques peut déposer un traceur. Une newsletter conserve une liste.

Cet inventaire est la base de tout le reste, et il prend une heure. La plupart des sites de TPE collectent beaucoup moins qu'on ne le craint — et parfois un peu plus qu'on ne le croit, via un outil installé et oublié.

Étape 2 : les mentions et l'information

Les mentions légales sont obligatoires pour tout site professionnel : identité de l'éditeur, adresse, numéro d'immatriculation, contact, et identité de l'hébergeur. Leur absence est le manquement le plus fréquent et le plus facile à constater.

S'y ajoute une page qui explique, en français courant : quelles données sont collectées, pourquoi, combien de temps elles sont gardées, avec qui elles sont partagées, et comment demander leur suppression.

Sur les durées, il faut choisir et l'écrire. Un ordre de grandeur courant : une demande sans suite se conserve quelques mois, un dossier client quelques années, les pièces comptables dix ans par obligation légale, les journaux techniques une année.

Étape 3 : le registre, et le bandeau seulement si nécessaire

Le registre des traitements est obligatoire, y compris pour les très petites structures dans la plupart des cas. Ce n'est pas un document complexe : un tableau listant chaque traitement, sa finalité, les données concernées, la durée de conservation et les destinataires. Il reste chez vous et se présente en cas de contrôle.

Le bandeau de consentement, lui, n'est pas systématique. Il est requis pour les traceurs non strictement nécessaires — mesure d'audience publicitaire, réseaux sociaux, régies. Un site qui ne dépose aucun cookie autre que techniques n'a pas à en afficher, et c'est même préférable : un bandeau inutile dégrade l'expérience et signale une conformité mal comprise.

Le point à vérifier concrètement : ouvrez votre site dans une fenêtre privée et regardez les cookies réellement déposés avant tout clic. C'est cette liste qui décide, pas ce que dit votre prestataire.

Comment vérifier que c'est fait correctement ?

Quatre contrôles. Les mentions légales sont-elles complètes et accessibles depuis toutes les pages ? La page vie privée dit-elle des durées chiffrées plutôt que « le temps nécessaire » ? Le registre existe-t-il sous forme écrite ? Les cookies réellement déposés correspondent-ils à ce que le site annonce ?

Si les quatre sont vrais, une TPE avec un site vitrine est dans une situation saine. Le reste — analyse d'impact, délégué à la protection des données — concerne des traitements à risque ou à grande échelle qui sortent de ce cadre.

Précision utile : je suis développeur, pas juriste. Ce qui précède décrit ce qui s'applique couramment à un site vitrine de TPE ; une activité qui traite des données sensibles, des données de santé ou des mineurs relève d'exigences particulières, et là il faut un avis juridique.