Publié le 21 octobre 2026 · 9 min de lecture · Par Jérémy Billey
Un site vitrine collecte presque toujours des données personnelles : formulaire de contact, cookies de mesure, commentaires, newsletter. Le RGPD s’applique donc, même à un site de cinq pages. Voici les points à régler concrètement sur WordPress, sans jargon juridique.
La mise en conformité fait peur parce qu’on l’imagine comme un dossier juridique. Dans les faits, pour un site vitrine classique, elle tient à une poignée de réglages, deux pages de texte et quelques décisions simples sur ce que vous collectez. Je traite ces points à la livraison de chaque site que je conçois, et je les revois lors des maintenances. Voici le déroulé que j’applique, dans l’ordre.
Dès que votre site récolte un nom, un email ou une adresse IP, vous êtes responsable de traitement. Ce statut implique six obligations concrètes.
Un site vitrine de PME ou d’artisan n’a généralement pas besoin d’un délégué à la protection des données. En revanche, un registre des traitements reste conseillé, même sous la forme d’un simple tableau d’une page.
C’est la collecte la plus courante et la plus souvent négligée. Trois réglages suffisent à la rendre propre.
Nom, email, message. Le téléphone si vous rappelez vraiment vos prospects. Chaque champ en plus fait baisser le taux de conversion et alourdit votre responsabilité. Un formulaire court convertit mieux et se justifie plus facilement.
Sous le formulaire, une phrase suffit : « En remplissant ce formulaire, vous consentez à ce que [votre entreprise], en sa qualité de responsable de traitement, collecte vos données pour répondre à votre message. Pour faire valoir votre droit d’accès ou d’effacement, consultez notre politique de confidentialité. » Le lien vers la politique de confidentialité doit être cliquable.
La plupart des extensions de formulaire enregistrent les entrées en base de données, souvent sans que le propriétaire du site le sache. Activez l’expiration automatique des entrées, trente jours suffisent dans la majorité des cas, et supprimez les messages de votre boîte mail au bout de trois ans. Pensez aussi à cocher l’option anti-spam native plutôt que d’ajouter un service externe qui crée une nouvelle collecte.
C’est le sujet qui génère le plus de confusion, et le plus de bannières inutiles.
Seulement si votre site dépose des traceurs non essentiels : mesure d’audience non exemptée, publicité, vidéos externes, cartes interactives. Un site vitrine sans mesure d’audience ni contenu embarqué n’a besoin d’aucune bannière. Mieux vaut réduire le nombre de traceurs que d’empiler une fenêtre de consentement sur un site qui n’en dépose aucun.
Une mesure d’audience peut être exemptée de consentement si elle sert uniquement à produire des statistiques anonymes, sans recoupement avec d’autres traitements et sans suivi entre sites. C’est le cas de certaines solutions configurées strictement. Dès que vous sortez de ce cadre, le consentement préalable devient obligatoire, et le traceur ne doit se déclencher qu’après acceptation.
Une carte, une vidéo ou une police de caractères chargée depuis un serveur tiers transmet l’adresse IP du visiteur à ce service, avant même qu’il ait cliqué sur quoi que ce soit. Deux solutions : bloquer ces contenus tant que le consentement n’est pas donné, ou héberger localement ce qui peut l’être. Les polices sont le cas le plus simple à régler, elles s’hébergent sur votre propre serveur en quelques minutes.
Je livre chaque site vitrine avec sa partie légale en place : formulaires, traceurs, mentions légales, politique de confidentialité. Rien d’inutile, juste ce que votre activité impose.
Le formulaire et les cookies traités, il reste trois collectes fréquentes sur un site vitrine.
Règle simple : chaque fois que vous ajoutez une extension qui demande une information au visiteur, vous créez un traitement. Posez-vous la question avant de l’installer, pas six mois plus tard.
Le RGPD ne parle pas que de formulaires. Il demande aussi de protéger les données que vous détenez, et de savoir où elles se trouvent.
Un hébergeur situé en France ou dans l’Union européenne évite d’avoir à documenter un transfert hors UE. C’est le choix que je fais systématiquement pour mes clients, autant pour la conformité que pour les performances. Le certificat HTTPS, les mises à jour régulières et des comptes utilisateurs aux droits justes relèvent de la même obligation : la sécurisation des traitements.
Le point le plus souvent oublié reste la sauvegarde. Une donnée effacée du site reste présente dans les archives tant que celles-ci sont conservées. Ce n’est pas un problème en soi, à condition de l’avoir écrit : indiquez la durée de rétention de vos sauvegardes dans votre politique de confidentialité, et prévenez la personne que l’effacement complet prendra ce délai. C’est le genre de détail qu’un contrat de maintenance WordPress prend en charge, avec les mises à jour et la surveillance.
Si le site ne collecte strictement rien, aucun formulaire, aucune mesure d’audience, aucun contenu externe, les obligations sont quasi nulles. Dès qu’un seul de ces éléments existe, le cadre s’applique. Les mentions légales, elles, restent obligatoires dans tous les cas.
Non. La bannière n’est requise que si le site dépose des traceurs non exemptés. Beaucoup de sites vitrines affichent une fenêtre de consentement sans en avoir l’usage, ce qui dégrade l’expérience sans rien apporter.
L’intérêt légitime : la personne vous écrit, vous avez besoin de ses coordonnées pour lui répondre. Le consentement n’est nécessaire que si vous réutilisez ensuite son email pour autre chose, une newsletter par exemple.
Le temps nécessaire à la finalité, puis une durée de prescription raisonnable. En pratique, trois ans après le dernier contact pour un prospect, et une purge automatique des entrées stockées dans le site au bout de trente jours.
Il est attendu même pour une petite structure, avec une version allégée. Un tableau listant chaque collecte, sa finalité, sa base légale, sa durée de conservation et son hébergement suffit largement pour un site vitrine.
Le plugin gère la bannière et le blocage des traceurs, il ne rend pas un site conforme à lui seul. Choisissez-en un qui s’appuie sur le standard de consentement de WordPress, pour que vos autres extensions respectent le choix du visiteur. Le reste du travail, minimisation et durées de conservation, se fait à la main.
Dès qu’il y a une collecte, oui. Elle doit indiquer qui est responsable, ce qui est collecté, pourquoi, pour combien de temps, avec qui les données sont partagées et comment exercer ses droits. Un modèle générique mal adapté vaut à peine mieux que rien.
Répondre sous un mois. Supprimer l’entrée dans le site, le message dans votre boîte mail, et le contact dans votre outil de newsletter si besoin. Prévenez la personne que les sauvegardes conserveront une trace jusqu’à leur rotation.
Non, tant que leur durée de rétention est documentée et raisonnable. L’erreur serait de promettre un effacement immédiat alors que des archives sont conservées un an.
Le responsable de traitement est l’entreprise propriétaire du site. Le prestataire qui héberge ou maintient le site agit comme sous-traitant. Ça n’enlève rien au devoir de conseil, mais la responsabilité finale reste côté client.
Commencez par lister ce que votre site collecte vraiment. Dans neuf cas sur dix, la liste tient en trois lignes : un formulaire de contact, une mesure d’audience, parfois une newsletter. Traitez ces trois points, écrivez une politique de confidentialité qui décrit votre situation réelle, et vous avez fait l’essentiel.
Le reste est une question d’entretien : à chaque nouvelle extension qui demande une information au visiteur, vérifiez ce qu’elle stocke et où. C’est un réflexe à prendre, pas un chantier annuel.
Si vous partez sur un nouveau site, autant intégrer tout ça dès la conception plutôt que de rattraper ensuite. C’est ce que je fais sur chaque création de site internet : la partie légale est posée avant la mise en ligne, pas après. Si vous voulez qu’on regarde ensemble où en est le vôtre, écrivez-moi, vingt minutes suffisent souvent à y voir clair.
Je conçois des sites WordPress pour artisans, indépendants et TPE qui veulent un site à la hauteur de leur activité. Basé à Strasbourg, j’interviens partout en France.
Un site vitrine livré avec sa partie légale en place : formulaires, traceurs, mentions légales et politique de confidentialité.
On fait le point sur vos collectes de données, puis on règle ce qui doit l’être.
Formulaires, traceurs, mentions légales, sauvegardes : je mets tout en place avant la mise en ligne, puis je l’entretiens. Premier échange sans engagement, réponse franche sur ce qu’il vous reste à faire.
Réponse sous 48h. Aucun démarchage ensuite.
Expert WordPress & Webmaster WordPress à Strasbourg et en Alsace : Colmar, Sélestat, Haguenau, Mulhouse
© 2026 Jérémy Billey – Identité visuelle par Rousse Graphisme
