RGPD en e-commerce : checklist et conseils pour être conforme

RGPD en e-commerce : de quoi parle-t-on exactement ?

Dès que votre boutique collecte des données personnelles, le RGPD s’applique, y compris dès les premières étapes pour lancer une entreprise e-commerce. Si vous avez besoin d’y voir clair dans la gestion globale de votre activité, vous pouvez aussi découvrir notre service d’expert-comptable e-commerce.

Où se cachent les données personnelles sur une boutique en ligne ?

On les retrouve notamment dans :

• compte client ;
• tunnel de commande ;
• paiement ;
• livraison ;
• service client ;
• newsletter ;
• cookies.

Base légale, finalité, minimisation : le trio qui évite 80 % des erreurs

Avant de collecter une donnée, vérifiez sa finalité, sa base légale et la minimisation des informations demandées.

Les obligations RGPD prioritaires à mettre en place sur votre site

Le RGPD peut vite sembler flou. En réalité, pour un site e-commerce, les obligations prioritaires sont limitées et très concrètes. Cette checklist vous permet de vérifier l’essentiel, sans entrer dans une logique juridique complexe.

Checklist des obligations RGPD de votre boutique en ligne

1) Informer vos visiteurs de façon claire

Dès la collecte, votre visiteur doit comprendre comment ses données seront utilisées.

Vous devez préciser :

• l’identité de la personne ou de l’entreprise qui collecte les données ;
• la finalité de la collecte ;
• les informations concernées ;
• les destinataires éventuels ;
• la durée de conservation ;
• les droits dont dispose la personne ;
• la démarche à suivre pour exercer ces droits.

Ces informations figurent dans votre politique de confidentialité et sous vos formulaires. Elles s’articulent aussi avec les conditions générales de vente de votre boutique en ligne, qui précisent le cadre contractuel de la vente. Un visiteur doit comprendre en une seule lecture ce que vous faites avec ses données.

2) Choisir la bonne base légale selon chaque usage

Chaque traitement doit reposer sur une base légale adaptée. En e-commerce, trois bases suffisent dans la majorité des cas :

• le contrat pour gérer une commande
• l’obligation légale pour la facturation
• le consentement pour la prospection et certains cookies

Un repère simple : si la donnée est indispensable à la vente, le contrat s’applique. Si elle sert au marketing, le consentement est généralement requis. Pour approfondir la gestion globale de votre activité, vous pouvez aussi consulter notre guide sur la comptabilité d’un e-commerce.

3) Limiter la collecte au strict nécessaire

Le principe de minimisation consiste à ne collecter que les données utiles à la finalité annoncée.

Pour vérifier rapidement vos formulaires :

• listez les champs demandés
• vérifiez que chacun correspond à une finalité claire
• supprimez ou rendez optionnels les champs non indispensables.

4) Prévoir vos preuves de conformité

Les preuves les plus utiles sont :

• la preuve du consentement (cookies, newsletters)
• le paramétrage de la bannière cookies
• les contrats de sous-traitance (DPA)
• un registre des traitements, même simplifié
• une procédure pour répondre aux demandes RGPD

Les cookies restent l’un des points les plus sensibles en e-commerce.

Cookies 2026 : consentement, bannière conforme, preuve et “cross-device”

En e-commerce, les cookies doivent être identifiés, paramétrés par finalité et associés à une preuve du consentement.

Bannière conforme : ce que votre visiteur doit pouvoir faire en 3 secondes

Une bannière cookies conforme doit offrir un choix équilibré, sans pousser à l’acceptation.

Votre visiteur doit pouvoir :

• Accepter les cookies non nécessaires
• Refuser les cookies non nécessaires
• Paramétrer les cookies par finalité

Ces options doivent être visibles au même niveau. Si refuser est plus compliqué qu’accepter, le consentement n’est pas valable.

Les cookies nécessaires au fonctionnement du site, comme le panier ou l’authentification, ne nécessitent généralement pas de consentement. En revanche, ceux utilisés à des fins de publicité et de personnalisation y sont systématiquement soumis. Les cookies de mesure d’audience peuvent en être dispensés s’ils respectent les critères d’exemption fixés par la CNIL (finalité strictement limitée, absence de croisement de données, information et droit d’opposition). À défaut, le consentement reste requis.

Paramétrage détaillé : comment classer vos cookies sans vous tromper

Classez vos cookies selon leur finalité, leur caractère indispensable et leur capacité à suivre le comportement des visiteurs.

On retrouve le plus souvent ces catégories :

• mesure d’audience
• publicité et reciblage
• personnalisation
• contenus externes
• cookies fonctionnels

Sur les plateformes e-commerce, certains modules ajoutent des cookies automatiquement. Un inventaire régulier de vos applications permet d’éviter les oublis.

Preuve du consentement : ce que vous devez pouvoir retrouver

La preuve du consentement correspond à votre capacité à démontrer que le visiteur a fait un choix éclairé.

Vous devez pouvoir montrer que :

• le choix a été proposé clairement
• le visiteur a exprimé une décision
• cette décision a été enregistrée

Consentement cross-device : ce que cela change en 2026

Le consentement cross-device concerne les boutiques qui synchronisent les choix cookies d’un même utilisateur entre plusieurs appareils. Si vous mettez en place un tel mécanisme, vous devez informer clairement l’utilisateur de sa portée et veiller à recueillir un consentement libre, spécifique, éclairé et univoque, avec une possibilité de modification simple à tout moment.

Les formulaires, le compte client et le tunnel de commande concentrent l’essentiel de la collecte de données personnelles.

Formulaires, compte client, checkout : collecter moins, collecter mieux

Sur une boutique en ligne, la collecte de données personnelles se concentre surtout dans les formulaires, le compte client et le tunnel de commande. Chaque information demandée doit répondre à un besoin précis.

Formulaires : identifier et limiter les données collectées

Chaque formulaire entraîne un traitement de données personnelles. Dès qu’une information permet d’identifier une personne, le Règlement général sur la protection des données s’applique.

Sur un site e-commerce, cette collecte intervient le plus souvent lors :

• de la création d’un compte client ;
• du passage d’une commande ;
• de l’envoi d’un formulaire de contact ;
• de l’inscription à une newsletter.

La création d’un compte client ne doit pas être imposée si elle n’est pas indispensable à l’achat ou si vous ne pouvez pas justifier sa base légale.

Pour chaque champ, demandez-vous s’il est réellement utile à l’objectif poursuivi.

Quelques repères :

• le nom et l’adresse email servent à identifier le client et à suivre sa commande ;
• l’adresse postale est indispensable lorsqu’une livraison est prévue ;
• le numéro de téléphone peut être demandé si le transporteur en a besoin ;
• la date de naissance et la civilité sont rarement justifiées.

Newsletter et prospection : une collecte distincte de la commande

La newsletter relève de la prospection commerciale. Elle ne doit pas être confondue avec la gestion d’une commande.

Deux situations reviennent souvent :

• inscription volontaire via un champ dédié
• case à cocher distincte lors du passage de commande

Dans tous les cas, la désinscription doit être simple et visible. Le retrait du consentement doit être possible à tout moment.

Checkout et paiement : savoir ce que vous stockez réellement

Le tunnel de commande regroupe la majorité des données personnelles collectées lors d’un achat :

• identité
• coordonnées
• adresse de livraison
• contenu de la commande

Les informations bancaires sont généralement traitées par le prestataire de paiement, tandis que la boutique peut conserver des références de transaction.

Vous devez donc savoir :

• quelles données restent chez vous
• quelles données sont transmises à un sous-traitant

Cette distinction est essentielle pour votre politique de confidentialité. Certaines données doivent aussi être conservées pour répondre à des obligations légales, notamment en matière de fiscalité en e-commerce.

Durées de conservation : ne pas garder les données indéfiniment

Le RGPD impose des durées de conservation conformes aux finalités des traitements.

Exemples courants :

• données de commande : conservation limitée à l’objectif commercial
• factures : conservation liée aux obligations légales
• compte client inactif : suppression ou anonymisation après une période définie
• newsletter : conservation tant que la personne reste inscrite

Une fois la collecte de données clarifiée, il reste un point central pour beaucoup de boutiques en ligne : les règles qui encadrent les newsletters et la prospection B2C.

Newsletters, emails et prospection B2C : ce qui est autorisé, ce qui est risqué

Quand vous envoyez une newsletter, vous traitez aussi des données personnelles : l’adresse email et, parfois, les ouvertures ou les clics.

En B2C, la prospection commerciale par courriel suppose d’informer la personne en amont et, en principe, de recueillir son consentement préalable.

Clients et prospects : deux cas différents

La distinction entre client et prospect est essentielle : un prospect n’a jamais acheté chez vous, un client oui.

• Pour un prospect particulier, le consentement préalable reste en principe la règle avant tout envoi de prospection commerciale par courriel.
• Pour un client, il faut distinguer les messages liés à la commande des messages de prospection commerciale.

Pour vos clients existants, vous pouvez toutefois prospecter sans recueillir leur accord au préalable si trois conditions sont réunies :

• leurs coordonnées ont été recueillies à l’occasion d’une vente ;
• la prospection porte sur des produits ou services analogues à ceux déjà achetés ;
• le client a pu s’y opposer simplement et gratuitement dès la collecte de son adresse email, puis à chaque envoi.

En dehors de cette exception prévue par l’article L. 34-5 du Code des postes et des communications électroniques (CPCE), le consentement préalable reste la règle.

Un email lié à la commande est opérationnel ; un email promotionnel relève de la prospection.

Consentement, retrait et preuve : les trois points à encadrer

Pour gérer correctement vos campagnes, trois éléments doivent être distingués :

• le consentement : l’accord donné par la personne pour recevoir des communications ;
• le retrait : la possibilité de revenir sur cet accord à tout moment ;
• la preuve : la trace qui démontre que le consentement a bien été recueilli.

CRM, emailing, statistiques : ce que vos outils peuvent enregistrer

Dans la plupart des boutiques, l’envoi d’emails passe par un outil CRM ou une solution d’emailing.

Un outil d’emailing peut enregistrer des ouvertures, des clics, des désinscriptions ou des rebonds.

Exemple : vous envoyez une newsletter, identifiez les personnes ayant cliqué sur “nouvelle collection”, puis les relancez. Il s’agit alors d’un traitement de données à documenter.

Ce qui crée souvent un risque sans que vous le voyiez

Le risque apparaît surtout lorsque la prospection manque de clarté.

Voici les cas typiques :

• Case newsletter pré-cochée
• Formulation floue sur ce qui sera envoyé
• Absence de lien de désinscription visible
• Mélange commande et prospection dans le même message
• Partage avec des partenaires sans consentement clair

Quand un client se plaint, le sujet n’est pas l’envoi d’emails en lui-même, mais le fait de ne pas comprendre pourquoi il les reçoit ou comment se désinscrire.

Si vos contacts comprennent pourquoi ils reçoivent vos messages et comment se désinscrire, vous réduisez fortement les frictions. Il faut ensuite savoir traiter leurs demandes d’accès, de rectification, d’effacement ou de portabilité.

Droits des personnes : répondre aux demandes sans être juriste

En e-commerce, les demandes liées aux droits des personnes suivent souvent les mêmes schémas et peuvent être traitées avec une méthode claire.

Les droits RGPD, en clair, avec des situations de boutique en ligne

Les droits les plus fréquemment exercés sur une boutique en ligne sont :

• droit d’accès : savoir quelles données sont détenues
• droit de rectification : corriger une information inexacte
• droit à l’effacement : demander la suppression des données
• droit d’opposition : refuser certains usages, notamment la prospection
• droit à la portabilité : récupérer ses données dans un format exploitable

Ces droits concernent les données liées au compte client, aux commandes, au support et à la prospection. Certaines informations peuvent toutefois être conservées lorsqu’une obligation légale l’impose.

Comment traiter une demande liée au RGPD ?

Une demande liée au RGPD est le plus souvent envoyée par email, via un formulaire de contact ou depuis l’espace client.

Vous pouvez la traiter en quatre étapes simples :

• étape 1 : identifier la demandeaccès, correction, suppression, opposition ou portabilité
• étape 2 : vérifier l’identité si nécessairesurtout si l’adresse utilisée diffère de celle du compte
• étape 3 : rassembler les données concernéescompte client, commandes, support, newsletter
• étape 4 : répondre et tracer l’actionréponse claire, conservation d’une trace de la demande

Cette traçabilité permet de démontrer votre conformité et de gérer les demandes répétées plus facilement.

Fonctionnalités utiles pour gérer les droits

Certaines fonctionnalités facilitent grandement la gestion des droits :

• export des données clients pour l’accès et la portabilité
• suppression du compte ou suppression manuelle possible
• gestion claire des abonnements pour la prospection
• point de contact dédié aux demandes RGPD

Ces outils réduisent le temps de traitement et limitent les erreurs.

Lorsqu’un client demande la suppression de son compte, vous distinguez :

• les données liées à la relation commerciale et au marketing ;
• les données soumises à des obligations de conservation.

Vous supprimez ce qui peut l’être et vous conservez ce qui relève d’une obligation légale.

Une fois les droits des clients clarifiés, il faut aussi encadrer les prestataires qui traitent des données pour votre compte.

Gestion des sous-traitants et transferts de données : plateformes e-commerce, contrats et données hors UE

Cette vigilance est encore plus importante dans certains modèles comme le dropshipping en e-commerce, où plusieurs intermédiaires interviennent dans le traitement des données.

Vous restez responsable du traitement. Cela signifie que vous devez vérifier avec qui vous travaillez, où vont les données, et sous quelles garanties.

Contrats de sous-traitance, article 28 du RGPD et obligation de confidentialité

Un sous-traitant doit être encadré par un accord de traitement des données (DPA). Ce document répond aux exigences de l’article 28 du RGPD. Il précise les règles du jeu entre vous et le prestataire.

Concrètement, vous devez pouvoir identifier :

• l’objet du traitement et les finalités
• la durée du traitement
• les catégories de données personnelles concernées
• les mesures de sécurité mises en place
• l’obligation de confidentialité
• les conditions de recours à d’autres sous-traitants
• l’assistance en cas de demande client ou de violation de données

Sur les solutions SaaS, ces contrats sont généralement accessibles dans les pages légales ou les paramètres du compte.

Localisation des données, hébergeur européen et transferts hors UE

Un autre point clé concerne la localisation des données. Certaines plateformes utilisent un hébergeur européen. D’autres impliquent des transferts hors UE, parfois sans que cela soit évident.

Un transfert hors Union européenne existe dès qu’un prestataire traite des données depuis un pays tiers. Cela peut concerner :

• l’hébergement
• le support technique
• l’infrastructure cloud
• la maison mère du prestataire

Dans ce cas, vous devez vérifier les garanties de sécurité prévues, la localisation du traitement des données et les mécanismes contractuels utilisés pour protéger les données personnelles.

L’objectif reste le même : limiter les risques juridiques et protéger les données de vos clients.

Plateformes e-commerce et outils : les points à vérifier

Quelle que soit votre plateforme e-commerce (Shopify, PrestaShop, WooCommerce ou Magento), certains critères reviennent toujours :

• possibilité d’export des données clients
• fonctionnalité de suppression des données
• gestionnaire de consentement aux cookies
• journalisation des accès et des actions
• garanties en cas de fuite de données

Attention aussi aux plugins et applications tierces. Ils peuvent introduire des risques automatisés, collecter des données supplémentaires ou déclencher des transferts non maîtrisés.

La plupart des plateformes e-commerce proposent aussi des modules ou plugins dédiés à la conformité RGPD : gestion du consentement cookies (CMP), export des données clients, suppression des comptes ou paramétrage des durées de conservation. Leur activation et leur bon paramétrage facilitent la mise en conformité.

Il reste un dernier volet essentiel : la sécurité des données et la gestion des incidents.

Sécurité, incidents et registre des traitements

Certaines entreprises complètent ces mesures par une assurance responsabilité civile professionnelle e-commerce pour couvrir certains risques liés à leur activité.

Sécurité : les mesures techniques et organisationnelles les plus utiles

Les mesures techniques et organisationnelles les plus utiles sont les suivantes :

• Connexion HTTPS (HyperText Transfer Protocol Secure) sur tout le site
• Accès limités aux données clients
• Mots de passe robustes et double authentification
• Sauvegardes régulières
• Mises à jour du CMS, des thèmes et des plugins
• Journalisation des accès sensibles

Ces éléments répondent directement aux mesures prévues par le RGPD.

Violation de données : que faire ?

Une violation de données correspond à une fuite, une perte ou un accès non autorisé.La gestion repose sur une suite d’étapes claires, faciles à suivre.

Étape 1 : contenir l’incident

• Bloquer l’accès concerné
• Modifier les identifiants
• Désactiver le service à risque

Étape 2 : analyser la situation

• Identifier les données touchées
• Évaluer le nombre de personnes concernées
• Comprendre l’origine de l’incident

Étape 3 : limiter l’impact

• Corriger la faille
• Renforcer la sécurité
• Surveiller les accès

Étape 4 : tracer les actions

• Date de l’incident
• Décisions prises
• Mesures appliquées

Étape 5 : décider des notifications

• Évaluer la nécessité d’informer l’autorité
• Informer les personnes si le risque est élevé

Ces étapes répondent à l’obligation de sécurité des données personnelles et à la gestion des fuites de données.

Audit et registre des traitements : comment garder la main

Un audit sert à savoir ce que vous faites réellement avec les données.Le registre des traitements permet de garder une vue claire :

• Finalités des traitements
• Catégories de données personnelles
• Destinataires internes ou externes
• Durées de conservation
• Sous-traitants impliqués
• Mesures de sécurité associées

Même simplifié, ce registre suffit dans la majorité des e-commerces.

Contrôle et sanctions : ce que vous risquez au-delà de l’amende

Les conséquences les plus fréquentes ne sont pas financières :

• Perte de confiance des clients
• Atteinte à la réputation
• Blocage des campagnes marketing
• Gestion d’urgence chronophage

Le RGPD sert avant tout à éviter ces situations.

Dougs peut vous aider à structurer votre conformité.