En bref
Un site de PME conforme au RGPD tient en trois piliers : des mentions légales complètes, un bandeau cookies où refuser est aussi simple qu'accepter, et un formulaire de contact qui précise l'usage des données collectées. Rien d'insurmontable, à condition de le faire dès la conception du site plutôt qu'en rattrapage.
Les points essentiels
- La CNIL a prononcé 83 sanctions et 143 mises en demeure en 2025, une partie concernant des bandeaux cookies non conformes (CNIL, bilan 2025).
- La règle centrale de la CNIL sur les cookies : « refuser les cookies doit être aussi simple que les accepter. »
- Un site de PME doit afficher des mentions légales complètes, quel que soit son statut juridique.
- Un formulaire de contact doit préciser l'usage des données collectées, sans case de consentement pré-cochée.
Le RGPD a souvent la réputation d’être un sujet complexe, réservé aux grandes entreprises avec un service juridique. En réalité, pour un site de PME classique, la mise en conformité tient sur trois points concrets, largement à la portée de n’importe quel dirigeant.
Voici l’essentiel, sans jargon inutile.
Les mentions légales, la base non négociable
Tout site professionnel doit afficher des mentions légales accessibles en un clic, généralement en pied de page. Elles doivent préciser :
- l’identité de l’éditeur du site (nom, forme juridique, adresse, SIRET) ;
- les coordonnées de l’hébergeur du site ;
- le nom du directeur de la publication ;
- les modalités de contact (email ou formulaire).
C’est un point souvent négligé sur les sites créés rapidement en no-code, alors que sa mise en place ne prend que quelques minutes une fois les informations réunies.
Le bandeau cookies, la règle qui piège le plus de sites
C’est le point le plus fréquemment mal appliqué, y compris par des sites d’apparence professionnelle. La règle de la CNIL est simple à énoncer : « refuser les cookies doit être aussi simple que les accepter. »
En pratique, la CNIL a identifié plusieurs pratiques non conformes, encore courantes en 2026 :
- le bouton refuser prend la forme d’un lien discret, quand le bouton accepter est mis en valeur par sa couleur ou sa taille ;
- l’option de refus se confond avec le texte d’information au point de ne pas être clairement identifiable ;
- le bouton accepter est répété plusieurs fois dans la bannière, alors que le refus n’apparaît qu’une fois.
Attention : un bandeau cookies qui met visuellement en avant l'acceptation par rapport au refus, même sans intention de tromper, est considéré non conforme par la CNIL. Vérifiez que les deux boutons ont la même taille, la même couleur de fond et la même visibilité.
Un bandeau conforme se limite à trois choses : une information claire sur l’usage des cookies, un bouton accepter et un bouton refuser d’égale importance, et une option pour modifier son choix à tout moment.
Le formulaire de contact et vos données clients
Chaque formulaire qui collecte des données (contact, devis, réservation) doit préciser à quoi ces données servent et qui peut y accéder. Concrètement :
- indiquez une phrase courte sous le formulaire précisant la finalité (« vos données sont utilisées uniquement pour traiter votre demande ») ;
- ne pré-cochez jamais une case de consentement pour une newsletter ou une prospection commerciale ;
- prévoyez une durée de conservation raisonnable et supprimez les données au-delà ;
- indiquez comment un client peut demander la suppression de ses données.
Repère utile : une simple page « Politique de confidentialité », liée depuis chaque formulaire, suffit à couvrir ces obligations pour la majorité des sites de PME. Pas besoin d'un document de plusieurs pages si votre collecte de données reste simple.
Ce que ça change concrètement pour vous
La CNIL a prononcé 83 sanctions en 2025, pour un total avoisinant 487 millions d’euros, mais l’écrasante majorité vise de grandes entreprises et des volumes de données sans commune mesure avec un site de PME. Le chiffre qui concerne davantage une petite structure, ce sont les 143 mises en demeure prononcées la même année, dont plusieurs pour des bandeaux cookies trompeurs : la CNIL laisse alors un délai pour corriger, avant toute sanction financière (CNIL, bilan des sanctions 2025).
Autrement dit, la conformité n’est pas une question de risque immédiat de grosse amende pour une PME. C’est surtout une question de sérieux perçu par vos visiteurs, et d’éviter une mise en demeure qui, même sans suite financière, reste un signal négatif à corriger dans l’urgence plutôt qu’en amont.
Gain rapide : ouvrez votre site depuis une navigation privée et testez vous-même votre bandeau cookies. Le bouton refuser est-il aussi visible que le bouton accepter ? Si vous hésitez à répondre, c'est probablement non conforme, et c'est corrigeable en quelques minutes.
Conclusion
La conformité RGPD d’un site de PME n’a rien d’un chantier juridique lourd : mentions légales complètes, bandeau cookies équilibré, formulaires transparents sur l’usage des données. Le mieux est de l’intégrer dès la conception du site, plutôt que de le corriger après coup dans l’urgence.
Si vous avez un doute sur la conformité de votre site actuel, notre audit SEO gratuit passe aussi en revue ces points essentiels. Et si vous préparez la création ou la refonte de votre site, découvrez notre offre de création de site web pensée conformité dès le départ.
