Mettre un site WordPress en conformité avec le RGPD ne consiste pas simplement à installer une bannière cookies. Il faut d’abord savoir quelles données sont collectées, pourquoi, par quels outils, pendant combien de temps et à qui elles sont transmises. Le site, ses formulaires, ses extensions et ses services externes doivent ensuite être configurés en conséquence.
Pour un site WordPress classique, les principaux chantiers RGPD sont les suivants : recenser les traitements, identifier leur base légale, informer les utilisateurs, limiter les données collectées, gérer correctement les cookies soumis au consentement, encadrer les prestataires, sécuriser les données et prévoir l’exercice des droits. Une extension dite « RGPD » peut aider techniquement, mais elle ne rend pas un site conforme à elle seule.
Quelles sont les obligations RGPD d’un site WordPress ?
Le RGPD concerne les données à caractère personnel, c’est-à-dire les informations se rapportant à une personne identifiée ou identifiable. Sur un site WordPress, cela peut inclure un nom, une adresse email, une adresse IP, des coordonnées de livraison, un historique de commande ou certaines données issues de traceurs.
La première étape n’est donc pas de choisir un plugin. Elle consiste à recenser les traitements réalisés par le site.
Pourquoi collectez-vous la donnée ? Répondre à une demande, livrer une commande, envoyer une newsletter, sécuriser le site ou mesurer l’audience ?
Chaque traitement doit reposer sur une base appropriée : contrat, obligation légale, consentement, intérêt légitime ou autre base prévue par le RGPD.
Les données ne doivent pas être conservées indéfiniment par défaut. Une durée ou des critères de conservation doivent être définis.
Identifiez les personnes et prestataires qui peuvent accéder aux données : hébergeur, emailing, paiement, maintenance ou CRM.
La politique de confidentialité ne suffit pas à elle seule
Elle permet d’expliquer les traitements de manière centralisée, mais l’information doit également être présentée au moment pertinent. Sous un formulaire de contact, par exemple, l’utilisateur doit comprendre pourquoi ses données sont demandées et où obtenir davantage d’informations.
Copier la politique de confidentialité d’un autre site est risqué. Votre texte doit correspondre aux outils et traitements réellement utilisés sur votre propre WordPress.
Formulaires WordPress : quelles données demander ?
Un formulaire de contact n’a pas besoin de collecter toutes les informations imaginables. Le RGPD impose notamment un principe de minimisation des données : les informations demandées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire.
Nom, moyen de réponse et message peuvent souvent suffire. Une date de naissance ou une adresse postale n’ont pas leur place si elles ne servent pas la demande.
Ajoutez uniquement les données réellement nécessaires pour comprendre le projet et répondre correctement.
L’inscription marketing doit être distinguée d’une simple prise de contact. Évitez de transformer automatiquement toute demande en abonnement commercial.
Si des fichiers peuvent être envoyés, prévoyez leur stockage, leur accès et leur suppression selon une durée appropriée.
Faut-il une case « J’accepte la politique de confidentialité » ?
Pas systématiquement. Le simple fait d’afficher une case d’acceptation ne crée pas automatiquement une base légale adaptée. Le traitement d’une demande de contact peut, selon le contexte, reposer sur une autre base que le consentement.
Informer la personne sur l’usage de ses données est obligatoire. Demander son consentement n’est nécessaire que lorsque le traitement repose réellement sur cette base légale.
La CNIL rappelle le principe de minimisation : limiter les données collectées au nécessaire.
Pour structurer les formulaires et parcours d’un site professionnel : site vitrine WordPress.
Plugins, hébergeur et services tiers : qui traite vos données ?
WordPress peut transmettre des données à de nombreux services externes sans que cela soit immédiatement visible depuis les pages publiques.
Lorsqu’un prestataire traite des données personnelles pour votre compte, il peut être qualifié de sous-traitant au sens du RGPD. Les responsabilités et garanties doivent alors être encadrées, notamment contractuellement.
Auditez les plugins avant de les installer
Une extension peut envoyer des données vers ses propres serveurs, ajouter un service tiers ou créer de nouvelles tables en base. Avant de l’adopter, vérifiez sa documentation, les données utilisées et les paramètres disponibles.
Le fait qu’un plugin soit populaire ou présent dans l’écosystème WordPress ne constitue pas une garantie de conformité RGPD. La conformité dépend de son usage, de sa configuration et de votre propre traitement.
WooCommerce, sécurité et droits : les points à ne pas oublier
Une boutique WooCommerce traite davantage de données qu’un simple site vitrine : coordonnées, adresses de livraison, historique de commandes, données de facturation et informations nécessaires au paiement.
Certaines données doivent être conservées pour respecter des obligations légales ; d’autres n’ont pas vocation à rester indéfiniment dans WordPress.
Déterminez quelles informations sont nécessaires au compte et combien de temps les comptes inactifs doivent être conservés.
Les durées de conservation doivent tenir compte des obligations comptables, fiscales et commerciales applicables.
Évitez de stocker localement des informations de paiement sensibles lorsque la solution de paiement peut les traiter directement.
Ne réutilisez pas automatiquement les coordonnées d’un client à des fins commerciales sans vérifier le cadre applicable.
Pour une boutique WordPress : site e-commerce WordPress.
La sécurité fait partie de la protection des données
Perte, divulgation accidentelle, accès non autorisé ou destruction de données peuvent également constituer une violation. Selon le risque, une notification à la CNIL et parfois aux personnes concernées peut être requise.
Checklist RGPD pour un site WordPress
Cette checklist couvre les principaux sujets d’un site WordPress courant, pas toutes les situations juridiques possibles. Données sensibles, santé, mineurs, profilage important ou traitements à grande échelle peuvent nécessiter une analyse spécifique.
RGPD et WordPress : ce qu’il faut vraiment mettre en place
La conformité RGPD commence par la compréhension des traitements, pas par l’installation d’un plugin. Recensez les données collectées, déterminez pourquoi elles sont utilisées, informez les personnes, limitez ce qui est demandé, encadrez les prestataires et définissez des durées de conservation. Pour les cookies, distinguez les traceurs exemptés de ceux qui nécessitent un consentement préalable. Enfin, sécurisez WordPress et prévoyez la gestion des droits et des éventuelles violations de données.
Votre site WordPress doit être vérifié avant une refonte ou une évolution ?
La page Audit de site WordPress présente les éléments techniques, fonctionnels et structurels pouvant être examinés avant des modifications importantes du site.
Découvrir l’audit WordPress →FAQ sur le RGPD et WordPress
WordPress est-il conforme au RGPD par défaut ?
La conformité ne dépend pas uniquement du CMS. Elle dépend des traitements effectués, des plugins installés, des services externes, des formulaires, des cookies et de la manière dont les données sont gérées.
Un bandeau cookies est-il obligatoire sur tous les sites WordPress ?
Pas nécessairement. Si le site n’utilise que des traceurs exemptés de consentement, la situation diffère d’un site utilisant des traceurs publicitaires ou d’autres cookies soumis au consentement. Il faut d’abord identifier les traceurs réellement déposés.
Peut-on installer Google Analytics sans consentement ?
Cela dépend de l’outil, de sa configuration et des conditions applicables aux traceurs de mesure d’audience. Il ne faut pas considérer qu’un outil statistique est automatiquement exempté simplement parce qu’il sert à mesurer l’audience.
Faut-il mettre une case RGPD sous chaque formulaire ?
Il faut informer l’utilisateur de l’usage de ses données. En revanche, demander systématiquement un consentement n’est pas toujours approprié : le traitement peut reposer sur une autre base légale selon sa finalité.
Un plugin de consentement rend-il le site conforme ?
Non. Il peut gérer une partie des traceurs et du consentement, mais il ne traite pas à lui seul les formulaires, les durées de conservation, les sous-traitants, la sécurité, les droits ou les bases légales.
Faut-il désigner un DPO pour un petit site WordPress ?
Pas systématiquement. La désignation d’un délégué à la protection des données dépend de critères prévus par le RGPD, notamment certaines activités de suivi régulier et systématique ou de traitement à grande échelle.
Que faire en cas de fuite de données sur WordPress ?
Il faut documenter l’incident, en évaluer les conséquences et déterminer les obligations de notification. Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, une notification à l’autorité compétente peut être requise dans le délai prévu par le RGPD.
Sources et références
- EUR-Lex — Règlement général sur la protection des données Texte officiel du RGPD : principes, bases légales, droits, sous-traitance, sécurité et violations de données.
- CNIL — Cookies et autres traceurs Règles relatives au consentement, aux traceurs et aux exemptions possibles.
- CNIL — Minimiser les données collectées Présentation du principe de minimisation des données personnelles.
- CNIL — Sécurité des données Principes et ressources pour protéger les données personnelles contre les accès, pertes et divulgations non autorisés.
- CNIL — Les bases légales d’un traitement Présentation des différentes bases juridiques permettant de traiter des données personnelles.
