Introduction
Le RGPD n’est pas un frein, c’est un socle de confiance pour votre boutique.
Chaque commande, chaque compte client, chaque newsletter manipule des données personnelles. Le Règlement Général sur la Protection des Données (RGPD) encadre cet usage avec une logique simple : chaque collecte repose sur une justification claire. Bonne nouvelle, votre activité e-commerce coche déjà la plupart des cases. Voici comment structurer votre conformité, base légale par base légale.
Points à retenir
- Le RGPD repose sur six bases légales. Chaque finalité de collecte s’appuie sur une seule d’entre elles, jamais sur plusieurs.
- Pour un e-commerce, l’essentiel se résume vite : la commande relève du contrat, la facturation de l’obligation légale, la newsletter du consentement.
- Les cookies de mesure ou de publicité exigent un consentement préalable. Le cookie qui retient votre panier d’achat, lui, en est exempté.
- Vos données clients se conservent en général trois ans après la dernière relation commerciale. Vos factures suivent une règle comptable distincte.
- Six obligations pratiques structurent votre mise en conformité, de la politique de confidentialité à la sécurisation des échanges.
Les six bases légales du RGPD, expliquées simplement
Toute collecte de données personnelles doit reposer sur une base légale. L’article 6 du RGPD en prévoit six, et vous en choisissez une seule par finalité.
Cette règle évite les zones grises. Avant de collecter une donnée, vous identifiez pourquoi vous le faites. Cette finalité détermine la base légale qui s’applique. Pour une boutique en ligne, faire appel à un expert-comptable e-commerce aide à relier ces obligations à votre gestion quotidienne.
La Commission Nationale de l’Informatique et des Libertés (CNIL) détaille ces six fondements. Trois concernent directement votre activité commerciale.
Le contrat
Vous traitez les données nécessaires à l’exécution d’un engagement avec votre client. C’est la base de toute commande et de toute livraison.
L’obligation légale
La loi vous impose de conserver certaines données. Vos factures relèvent de cette logique, pour vos obligations comptables et fiscales.
Le consentement
La personne accepte librement un usage précis de ses données. Indispensable pour la newsletter et la publicité ciblée.
L’intérêt légitime
Vous poursuivez un but raisonnable, sans porter atteinte aux droits de la personne. La prévention de la fraude en est un bon exemple.
Les deux dernières bases, la mission d’intérêt public et la sauvegarde des intérêts vitaux, concernent surtout les autorités publiques et les situations d’urgence. Un commerçant en ligne les rencontre rarement.
Quelle base légale pour chaque action de votre boutique ?
Le RGPD devient concret dès qu’on le rattache à vos opérations réelles. Chaque traitement de votre boutique correspond à une base précise.
L’idée n’est pas d’empiler les justifications. Une finalité, une base légale. Ce tableau relie les actions courantes d’un e-commerce à leur fondement.
| Finalité du traitement | Base légale RGPD |
|---|---|
| Création d’un compte client | Contrat |
| Traitement de la commande | Contrat |
| Organisation de la livraison | Contrat |
| Émission et conservation des factures | Obligation légale |
| Prévention de la fraude au paiement | Intérêt légitime |
| Envoi d’une newsletter | Consentement |
| Publicité ciblée et profilage | Consentement |
La distinction est utile au quotidien. Pour livrer une commande, vous n’avez pas besoin de demander un consentement séparé : le contrat suffit. En revanche, ajouter une adresse à votre liste de diffusion exige un accord explicite et préalable.
Le conseil d’Auctus Comptabilité
Cartographiez vos traitements avant de rédiger vos mentions
Listez chaque donnée que vous collectez, puis sa finalité, puis sa base légale. Ce petit registre des activités de traitement clarifie immédiatement votre conformité. Il facilite aussi la rédaction de votre politique de confidentialité, qui doit informer le client de tout cela. Chez Auctus, nous croisons cette cartographie avec vos obligations comptables, notamment sur la conservation des factures.
Cookies et traceurs : ce que le consentement change
Tous les cookies ne se valent pas au regard de la loi. Certains nécessitent l’accord de l’internaute, d’autres en sont dispensés.
Le principe vient de l’article 82 de la loi Informatique et Libertés. Dès qu’un traceur sert à mesurer l’audience à des fins publicitaires, à profiler ou à cibler, vous devez recueillir un consentement préalable. L’internaute doit pouvoir accepter ou refuser aussi facilement.
Mais la loi reconnaît des exceptions. Certains cookies sont strictement nécessaires au service que demande l’utilisateur. Ils ne déclenchent aucune obligation de consentement.
Cookies soumis au consentement
Les traceurs de mesure d’audience publicitaire, de retargeting, les pixels des réseaux sociaux et les cookies de profilage exigent un accord préalable et éclairé. Tant que l’internaute n’a pas dit oui, ils ne se déposent pas. Le refus doit rester aussi simple que l’acceptation, sans case pré-cochée.
Cookies exemptés
Le cookie qui mémorise votre panier d’achat est exempté de consentement, car il est indispensable au service attendu. Même logique pour le cookie d’authentification d’une session connectée ou pour certains cookies de mesure d’audience strictement anonymes et limités. Vous les déposez sans bandeau bloquant.
Cette nuance soulage beaucoup de commerçants. Votre tunnel de commande continue de fonctionner sans bandeau intrusif. Seuls les outils marketing et statistiques requièrent une autorisation claire.
Parlons de votre projet
Besoin d'un accompagnement ?
Nos experts-comptables vous répondent sous 24H pour étudier votre situation et vous proposer une solution adaptée à votre activité.
Obtenir un devisSix obligations pratiques pour une boutique conforme
La conformité RGPD se résume à quelques réflexes concrets. Six obligations couvrent l’essentiel pour un site marchand.
Elles forment un ensemble cohérent. Bien menées, elles renforcent la confiance de vos clients autant que votre sécurité juridique.
La première obligation est l’information. Vous rédigez une politique de confidentialité distincte de vos Conditions Générales de Vente (CGV). Elle décrit ce que vous collectez, pourquoi, combien de temps vous le gardez, et comment exercer ses droits. Ce document précis rassure le visiteur dès sa première commande.
Les cinq suivantes complètent le dispositif et s’appliquent à toute boutique, quelle que soit sa taille.
Droits des personnes
Permettez à chaque client d’accéder à ses données, de les corriger, de les supprimer ou de s’opposer à leur usage. Prévoyez un contact simple pour ces demandes.
Minimisation
Ne collectez que les données réellement utiles à chaque finalité. Une date de naissance n’a pas sa place dans un simple formulaire de livraison.
Sécurité
Protégez les données par des mesures adaptées. Le protocole HTTPS sur l’ensemble du site et le chiffrement des paiements sont la base.
L’ecommerçant a l’obligation de notifier une violation de données à la CNIL sous 72 heures (article 33 du RGPD), et le cas échéant aux personnes concernées (article 34).
Sous-traitants
Encadrez par contrat vos prestataires qui traitent des données : hébergeur, solution d’emailing, transporteur. Ils s’engagent au même niveau d’exigence.
Gestion des cookies
Mettez en place un bandeau qui recueille un consentement clair, conserve la trace du choix et permet de revenir dessus à tout moment.
La désignation d’un DPO n’est pas obligatoire pour la plupart des petites boutiques e-commerce.
Le conseil d’Auctus Comptabilité
Une politique de confidentialité claire est un argument commercial
Un visiteur qui comprend l’usage de ses données achète plus sereinement. Une page lisible, sans jargon, qui distingue bien vos documents légaux, valorise votre sérieux. Notre équipe vous aide à articuler politique de confidentialité, mentions légales et CGV de façon cohérente, avec une réponse sous 24H pour cadrer votre projet.
Combien de temps conserver les données clients ?
Une donnée ne se garde pas indéfiniment. Chaque finalité fixe sa propre durée de conservation, et la fin de cette durée déclenche la suppression ou l’archivage.
Pour la relation client classique, la CNIL retient un repère clair. Vous conservez les données de prospection et de gestion commerciale pendant trois ans à compter de la dernière relation, par exemple un dernier achat ou un dernier contact resté sans suite.
Les factures suivent une règle différente, et c’est là que la dimension comptable entre en jeu. Leur conservation ne relève pas du consentement, mais de l’obligation légale.
| Type de donnée | Durée de référence | Base légale |
|---|---|---|
| Données de prospection commerciale | 3 ans après le dernier contact | Intérêt légitime ou consentement |
| Compte client actif | Durée de la relation | Contrat |
| Pièces comptables et factures | 10 ans | Obligation légale |
| Consentement aux cookies | 6 mois recommandés* | Consentement |
*La durée de 6 mois concerne la conservation du choix de l’internaute (pour ne pas le solliciter à chaque visite). Elle ne doit pas être confondue avec la durée de vie des cookies eux-mêmes : la CNIL recommande de limiter les traceurs de mesure d’audience à 13 mois, et les données qui en sont issues à 25 mois maximum.
Voilà pourquoi un expert-comptable a toute sa place dans votre conformité RGPD. La conservation prolongée de vos factures n’est pas une entorse au règlement : elle s’appuie sur la base « obligation légale ». Vos exigences comptables et vos exigences de protection des données se complètent au lieu de s’opposer.
Questions fréquentes
Quelles sont les six bases légales du RGPD ?
L’article 6 du RGPD prévoit six fondements possibles pour traiter des données personnelles : le consentement de la personne, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public et la poursuite d’un intérêt légitime. Pour un e-commerce, trois reviennent sans cesse : le contrat pour la commande, l’obligation légale pour la facturation et le consentement pour le marketing. Chaque finalité repose sur une seule base.
Faut-il un consentement pour le cookie du panier d’achat ?
Non. Le cookie qui mémorise le contenu du panier est exempté de consentement, car il est strictement nécessaire au service que demande l’utilisateur. Sans lui, la commande ne fonctionnerait pas. La même logique s’applique au cookie d’authentification d’une session connectée. En revanche, les traceurs de mesure d’audience publicitaire, de profilage ou de retargeting exigent un accord préalable et éclairé de l’internaute.
Une politique de confidentialité suffit-elle à être conforme au RGPD ?
C’est une pièce centrale, mais pas la seule. Une boutique conforme combine information du client, respect de ses droits, minimisation des données, sécurité, encadrement des sous-traitants et gestion des cookies. La politique de confidentialité, distincte de vos CGV, formalise cette transparence. Pour vérifier que l’ensemble tient, un accompagnement structuré est précieux.
Combien de temps conserver les données d’un client e-commerce ?
Pour la prospection et la gestion commerciale, la CNIL recommande une conservation de trois ans après la dernière relation, par exemple un dernier achat ou un dernier échange. Au-delà, les données sont supprimées ou archivées. Les factures, elles, obéissent à une règle distincte liée à vos obligations comptables, sur une durée bien plus longue. Cette conservation prolongée repose sur la base légale « obligation légale », et non sur le consentement.
Un petit site e-commerce doit-il vraiment se mettre en conformité ?
Oui, le RGPD s’applique quelle que soit la taille de la boutique. Dès que vous collectez une adresse, un nom ou un historique d’achat, vous traitez des données personnelles. La bonne nouvelle, c’est que la mise en conformité d’un petit site reste accessible : quelques documents clairs, un bandeau cookies correct et de bonnes durées de conservation suffisent souvent. Pour partir sur des bases solides, demandez un devis adapté à votre activité.
Parlons de votre projet
Un accompagnement comptable adapté à votre activité
Un membre de notre équipe vous conseille et vous accompagne dans vos démarches. Réponse sous 24H.
