RGPD pour les petits sites : ce qu'il vous faut (guide pratique)

Le RGPD a des airs de paperasse et d'amendes colossales, mais pour un petit site d'entreprise à Cluj ou à Cluj-Napoca, tout se résume à quelques éléments concrets. Si vous avez un site qui collecte des données — ne serait-ce qu'un simple formulaire de contact — vous avez besoin de trois choses : un bandeau de cookies qui fonctionne correctement, une politique de confidentialité qui reflète ce que fait réellement votre activité et des formulaires qui demandent les données comme il se doit. Le reste relève du bon sens. Ce guide RGPD pour les petits sites vous explique, sans jargon d'avocat, ce qu'il vous faut et pourquoi.

Un point important d'emblée : nous ne sommes pas avocats, et ceci n'est pas un conseil juridique, mais le fruit de notre expérience dans la création de sites. Pour des contrats compliqués ou des données sensibles (données médicales, financières), un consultant RGPD reste le meilleur choix. Mais pour la plupart des petites entreprises — un cabinet, une boutique, une société de services — ce qui suit couvre l'essentiel.

Le bandeau de cookies : l'erreur que presque tout le monde fait

Les cookies sont de petits fichiers que le site dépose dans le navigateur du visiteur. Certains sont strictement nécessaires au bon fonctionnement du site (ils conservent le panier, la session de connexion) — pour ceux-là, vous n'avez pas besoin de consentement. D'autres suivent le comportement : Google Analytics, le pixel Facebook, les cartes de type heatmap. C'est là qu'intervient l'obligation RGPD.

Un bandeau correct, ce n'est pas un texte qui dit « nous utilisons des cookies, OK ? » avec un seul bouton. Cela veut dire :

• Un consentement réel et symétrique : le visiteur doit pouvoir refuser aussi facilement qu'accepter. Un « Tout refuser » bien visible à côté de « Tout accepter », pas caché dans trois sous-menus.
• Aucun suivi avant le consentement : les scripts de tracking ne doivent pas se déclencher tant que la personne n'a pas effectivement cliqué sur « Accepter ». C'est ce qu'on appelle le « consentement préalable », et c'est précisément la partie que la plupart oublient.
• La possibilité de changer d'avis : un lien discret (généralement dans le pied de page) qui permet au visiteur de retirer ou de modifier son choix à tout moment.

La non-conformité la plus fréquente que nous observons chez les petites entreprises : le bandeau a fière allure, mais Analytics démarre dès la première seconde, quoi que clique le visiteur. En pratique, le bandeau n'est qu'un décor. Cela ne vous protège pas — il pose juste une étiquette de conformité par-dessus un vrai problème.

La politique de confidentialité : le document de base, pas un texte copié

La politique de confidentialité est la page qui explique, simplement, quelles données vous collectez, pourquoi, combien de temps vous les conservez et avec qui vous les partagez. Elle devient obligatoire dès que vous avez un formulaire de contact, une newsletter ou une boutique en ligne. Elle doit répondre clairement à :

• Quelles données vous collectez (nom, e-mail, téléphone, adresse de livraison) et par quels canaux.
• Sur quelle base légale — par exemple, le consentement pour la newsletter, le contrat pour une commande, l'intérêt légitime pour la sécurité du site.
• Avec qui vous les partagez : le transporteur, le prestataire de paiement, le fournisseur d'e-mail marketing, l'hébergement. Ce sont des « sous-traitants », et vous devriez avoir un accord avec eux.
• Comment quelqu'un peut exercer ses droits : accès aux données, rectification, suppression (« droit à l'oubli »), et où porter réclamation s'il n'est pas satisfait (auprès de vous, puis de l'ANSPDCP).

Ce n'est pas censé être dix pages de texte copié sur un autre site. Un texte emprunté mentionnera des choses que vous ne faites pas (traitement de cartes bancaires, transfert hors UE) et omettra ce que vous faites réellement — ce qui est pire que de n'avoir rien du tout, car cela montre que vous ne l'avez jamais relu. Nous préparons un modèle adapté à votre activité, que vous ou votre consultant ajustez au besoin.

Des formulaires conformes : les détails qui font la différence

C'est là que la plupart des sites se trompent, parce que cela ressemble à des broutilles. Un formulaire de contact ou d'inscription à la newsletter devrait respecter quelques règles :

• Une case non pré-cochée pour le consentement — elle ne peut pas être déjà cochée, le visiteur doit l'activer lui-même.
• Un lien visible vers la politique de confidentialité juste à côté du bouton d'envoi.
• Uniquement les données dont vous avez réellement besoin : si vous répondez à une question, il vous faut un e-mail et un message. Ne demandez pas le numéro d'identité, la date de naissance ou l'adresse « au cas où ». C'est le principe de minimisation des données.
• Un consentement distinct pour le marketing : si vous voulez aussi envoyer des offres, et pas seulement répondre, il vous faut une case dédiée à cela. Vous ne pouvez pas présumer du consentement du simple fait que la personne vous a écrit.

Cela représente quelques minutes de configuration, mais c'est précisément ce qui fait la différence entre un formulaire qui vous protège et un formulaire qui peut vous valoir une plainte.

Ce que vous risquez, concrètement, sans tout cela

Soyons honnêtes : l'ANSPDCP (l'autorité roumaine) ne contrôle pas de sa propre initiative chaque site de quartier. Les grosses amendes relayées par la presse concernent en général de grandes entreprises qui traitent d'énormes volumes de données. Pour une petite entreprise, le risque est moins spectaculaire, mais plus proche :

• Une plainte d'un client mécontent ou d'un concurrent peut déclencher un contrôle — et là, ce qui compte, c'est ce qu'on trouve, pas qui vous êtes.
• Vous perdez la confiance quand un visiteur voit que vous lui demandez des données sans rien expliquer. De plus en plus de gens le remarquent.
• Les partenaires sérieux — banques, prestataires de paiement, plateformes de marketing — exigent de plus en plus la preuve de la conformité avant de travailler avec vous.

En bref, la conformité relève davantage de la crédibilité que de la peur de l'amende. C'est la même raison pour laquelle une création de site web à Cluj mérite d'être faite correctement dès le départ, et non rafistolée après coup, et pour laquelle un domaine en HTTPS sécurisé et un site qui inspire confiance se traduisent par des clients qui remplissent votre formulaire sans hésiter.

Ce que nous incluons dans chaque forfait

Quand nous construisons votre site, la partie RGPD est comprise, et non un coût caché découvert à la fin :

Et ce, quel que soit le forfait : un landing simple (290–490 €), un site vitrine (490–890 €), un site de 7+ pages (890–1.500 €) ou une boutique en ligne (à partir de 690 €), où le RGPD compte le plus puisque vous traitez des commandes et des paiements. Pour le détail par forfait, voyez combien coûte un site web. Et si vous voulez que tout reste à jour — nouveaux scripts, politiques actualisées — nous proposons une maintenance à partir de 29 €/mois, qui inclut la vérification périodique de ces éléments.

Si ce guide vous a aidé à comprendre ce qu'il vous faut, faisons un pas concret ensemble. Nous vous préparons gratuitement une maquette de site au nom de votre entreprise, avec bandeau, politique et formulaires pensés correctement dès le départ — pour que vous voyiez exactement à quoi cela ressemblerait, sans aucun engagement. Écrivez-nous et nous construisons votre démo.