RGPD pour le e-commerce en France : obligations et checklist

Un site e-commerce français traite un volume important de données personnelles : noms, adresses, emails, numéros de téléphone, données de paiement, historiques d'achat, comportements de navigation. Chacune de ces données est protégée par le RGPD.

La CNIL porte une attention particulière au e-commerce. Les sanctions pour non-conformité peuvent atteindre 4 % du chiffre d'affaires mondial. En pratique, les premiers contrôles aboutissent souvent à des mises en demeure, mais les récidives entraînent des amendes significatives.

---

1. Bannière cookies et trackers

Un site e-commerce utilise presque toujours des cookies non essentiels :

• Google Analytics : mesure du trafic et des conversions
• Facebook Pixel / Meta Pixel : retargeting publicitaire
• Google Ads remarketing : reciblage des visiteurs
• Criteo, Taboola : publicité programmatique
• Hotjar, Microsoft Clarity : cartes de chaleur, enregistrement de sessions

Tous ces outils nécessitent un consentement explicite avant chargement. Votre bannière cookies doit :

• Offrir un bouton "Tout refuser" aussi visible que "Tout accepter"
• Ne charger aucun script de tracking avant consentement
• Ne pas pré-cocher les catégories analytics ou marketing
• Permettre de modifier le choix à tout moment

Impact business : oui, bloquer les trackers avant consentement réduit les données analytics. Mais c'est la loi. La CNIL a infligé 150 M€ d'amende à Google précisément pour ce problème.

---

2. Politique de confidentialité spécifique e-commerce

Votre politique de confidentialité doit détailler chaque traitement lié au e-commerce :

---

3. Données de paiement

Vous ne stockez probablement pas les données de carte bancaire directement. Votre prestataire de paiement (Stripe, PayPlug, Mollie, PayPal) s'en charge. Mais vous devez :

• Mentionner le prestataire dans votre politique de confidentialité
• Vérifier que le prestataire est certifié PCI-DSS
• Ne jamais stocker les numéros de carte complets dans votre propre base de données
• S'assurer que le prestataire dispose d'un DPA conforme au RGPD

Attention : certaines boutiques Shopify ou WooCommerce activent le stockage des données de carte pour les "achats en un clic". Vérifiez que cette fonctionnalité est gérée par le prestataire PCI-DSS, pas par votre serveur.

---

4. Emails marketing et prospection

Clients existants (soft opt-in)

L'article L34-5 du Code des postes et des communications électroniques autorise l'envoi d'emails marketing à vos clients existants sans consentement préalable, sous trois conditions :

1. Les produits/services proposés sont similaires à ceux déjà achetés
2. Le client a été informé au moment de la collecte qu'il recevrait des sollicitations
3. Chaque email contient un lien de désinscription fonctionnel

Prospects (opt-in obligatoire)

Pour les personnes qui n'ont jamais acheté chez vous, le consentement préalable (opt-in) est obligatoire. Cela signifie :

• Case non pré-cochée lors de l'inscription à la newsletter
• Formulation claire de ce que la personne va recevoir
• Double opt-in recommandé (email de confirmation)

Règles CNIL pour tous les emails commerciaux

• Lien de désinscription dans chaque email
• Identité de l'expéditeur claire
• Objet non trompeur
• Fréquence raisonnable (pas de harcèlement commercial)

---

5. Droit de rétractation et CGV

Le Code de la consommation (articles L221-18 à L221-28) impose un droit de rétractation de 14 jours pour les achats en ligne. Calendrier opérationnel :

Vos CGV doivent également mentionner les exceptions au droit de rétractation (produits personnalisés, denrées périssables, contenus numériques après début d'exécution), les prix TTC, les frais de livraison et les conditions de retour.

L'absence de CGV conformes sur un site e-commerce est une infraction au Code de la consommation, sanctionnable par la DGCCRF.

---

6. Comptes clients et droits des personnes

Vos clients doivent pouvoir :

• Consulter leurs données personnelles (profil, historique de commandes)
• Modifier leurs informations (adresse, téléphone, email)
• Supprimer leur compte (avec les données associées, sauf obligations légales de conservation)
• Exporter leurs données dans un format lisible (droit à la portabilité)
• Se désinscrire de la newsletter

Délai de réponse : 1 mois maximum. Mettez en place un processus interne pour traiter ces demandes.

Suppression de compte : vous devez supprimer les données de profil, mais vous pouvez conserver les données de facturation pendant 10 ans (obligation légale) et les données nécessaires à la gestion des litiges pendant la durée de prescription.

---

7. Sous-traitants et transferts de données

Listez tous vos prestataires et vérifiez leurs engagements RGPD :

---

Checklist RGPD e-commerce

• Bannière cookies conforme (Tout refuser visible)
• Aucun tracker chargé avant consentement
• Politique de confidentialité complète et spécifique
• Mentions légales (SIREN, RCS, hébergeur, capital)
• CGV conformes (rétractation 14 jours, prix TTC)
• Consentement newsletter (case non pré-cochée)
• Lien de désinscription dans chaque email
• Durées de conservation définies et appliquées
• Droit de suppression de compte fonctionnel
• Contrats sous-traitants (DPA) vérifiés
• Données de paiement gérées par un prestataire PCI-DSS
• HTTPS sur tout le site
• Registre des traitements à jour

---

Vérifiez votre boutique en ligne

Notre scanner analyse automatiquement les aspects RGPD de votre site e-commerce : bannière cookies, trackers, politique de confidentialité, HTTPS, mentions légales et plus encore.

Scanner ma boutique en ligne →

Résultat en 60 secondes. Aucun compte requis.

---

Sources

• CNIL, E-commerce et données personnelles
• DGCCRF, Obligations des sites de vente en ligne
• Code de la consommation, Droit de rétractation

---

Ceci est une analyse technique, pas un conseil juridique.