Ce que le RGPD demande, en trois phrases
RGPD : « Règlement général sur la protection des données », le texte européen en vigueur depuis 2018. Il ne vous interdit pas de collecter un nom, un courriel ou une adresse de livraison. Il vous demande de savoir pourquoi vous les avez, combien de temps vous les gardez, et de pouvoir les rendre ou les supprimer si la personne le demande.
Tout le reste, bandeau, registre, mentions, n'est que la mise en pratique de ces trois questions. Une TPE qui vend en ligne y répond en une demi-journée de travail bien menée, pas en trois mois de conseil.
Le bandeau de cookies : la moitié des sites en affichent un pour rien
Le bandeau n'est pas obligatoire par principe. Il l'est si vous déposez des traceurs qui ne sont pas strictement nécessaires au service : publicité, reciblage, mesure d'audience non exemptée. Si votre site n'a qu'un panier et un formulaire de contact, vous n'avez peut-être rien à demander, et un bandeau inutile ne fait que faire fuir des visiteurs.
Quand il est nécessaire, une règle simple : refuser doit être aussi facile qu'accepter. Un bandeau avec un gros « J'accepte » et un lien gris « paramétrer » ne recueille pas un consentement valable, donc il ne vous protège pas.
Le bon réflexe n'est pas « quel bandeau installer ? » mais « de quels traceurs ai-je réellement besoin ? ». Souvent, la réponse fait disparaître le problème.
Les newsletters : le point le plus souvent en faute
Quatre erreurs reviennent presque toujours sur les boutiques que j'ai auditées.
La case cochée d'avance au moment de la commande. Un consentement pré-coché n'est pas un consentement.
Le consentement mélangé à l'achat. Accepter les CGV et s'inscrire à la newsletter doivent être deux gestes distincts.
Le désabonnement introuvable. Il doit tenir en un clic depuis chaque message, sans reconnexion ni formulaire.
La liste jamais nettoyée. Des adresses collectées il y a six ans, sans trace de qui a consenti à quoi, ni quand. Une liste dont on ne peut pas prouver l'origine est un risque, pas un actif, et elle plombe la délivrabilité de vos envois.
La bonne mécanique : consentement séparé, confirmation par courriel (double opt-in), date et origine enregistrées, désabonnement en un clic, et purge des inactifs. Vous perdez des adresses au passage ; vous gagnez un taux d'ouverture qui veut dire quelque chose.
La délivrabilité : votre newsletter est-elle lue, ou classée en indésirables ?
C'est le point aveugle de presque toutes les boutiques que j'ai auditées. Une liste propre et un beau message ne servent à rien si les messageries les écartent avant qu'un humain les voie. Et le motif est presque toujours le même : le domaine d'envoi n'est pas authentifié.
Quand vous envoyez depuis contact@votre-domaine.fr via une plateforme d'envoi ou votre boutique, la messagerie du destinataire se demande si cet expéditeur a le droit d'utiliser votre nom de domaine. Trois enregistrements, posés dans la zone DNS de votre domaine, répondent à cette question.
SPF liste les serveurs autorisés à envoyer en votre nom. DKIM signe chaque message avec une clé cryptographique, ce qui prouve qu'il n'a pas été falsifié en route. DMARC dit aux messageries ce qu'elles doivent faire si l'un des deux échoue, et vous envoie des rapports sur les envois faits en votre nom, légitimes ou non.
Sans ces trois enregistrements, ce ne sont pas seulement vos newsletters qui partent en indésirables : ce sont aussi vos confirmations de commande, vos factures et vos réponses aux clients.
Les symptômes sont reconnaissables : un client qui affirme n'avoir « jamais reçu » sa confirmation, un taux d'ouverture qui s'effondre sans raison, des messages qui passent chez un fournisseur de messagerie et pas chez un autre. Ce n'est pas de la malchance, c'est une configuration absente.
Le reste tient à l'hygiène d'envoi : une adresse d'expéditeur qui existe vraiment et à laquelle on peut répondre, pas de noreply anonyme, un lien de désabonnement fonctionnel, et une liste purgée de ses adresses mortes, car les rebonds répétés abîment votre réputation d'expéditeur pour tous les envois suivants.
Bonne nouvelle : la correction est rapide. Trois enregistrements DNS, un test sur les principales messageries, et un suivi des rapports DMARC les semaines suivantes.
Rétractation : le bouton devenu obligatoire en 2026
La rétractation, c'est le délai de quatorze jours pendant lequel un consommateur peut revenir sur un achat à distance, sans motif. Le principe est posé par l'article L. 221-18 du Code de la consommation, et les obligations d'information par l'article L. 221-21.
Ce qui a changé : l'ordonnance n° 2026-2 du 5 janvier 2026 et son décret d'application n° 2026-3, applicables depuis le 19 juin 2026, imposent une fonctionnalité de rétractation en ligne à tout professionnel qui conclut des contrats à distance par une interface numérique : boutique, application, place de marché, espace client, module d'achat intégré à un réseau social. L'ordonnance transpose la directive européenne 2023/2673 et modifie l'article L. 221-21.
Le décret ne se contente pas d'un principe : il fixe un cahier des charges, détaillé à l'article D. 221-5. Le dispositif doit être un lien ou un bouton lisible, portant la mention « renoncer au contrat ici » ou une formule équivalente sans ambiguïté. Autrement dit, plus question de le cacher derrière « nous contacter » ou « signaler un problème ». Il faut aussi un accusé de réception sur support durable, et des CGV mises à jour pour décrire l'existence, les modalités et l'emplacement de la fonctionnalité.
Concrètement, quatre chantiers : le bouton sur l'interface de vente, l'accusé de réception, les CGV actualisées, et l'information précontractuelle qui annonce le dispositif. C'est une demi-journée à une journée sur une boutique bien construite.
La renonciation expresse, à ne pas confondre
Le même mot désigne deux choses différentes, et c'est là que beaucoup se perdent. Le bouton porte la mention « renoncer au contrat ». Mais la renonciation expresse au droit de rétractation est autre chose : c'est le cas prévu à l'article L. 221-28, où un client demande qu'un service commence immédiatement, ou télécharge un contenu numérique tout de suite, et renonce en connaissance de cause à ses quatorze jours.
Deux conditions, et elles sont strictes : l'accord préalable exprès du client, et sa renonciation recueillie dans les formes. Une case pré-cochée ne vaut rien. Sans ces deux gestes, vous vendez un service que le client peut annuler après l'avoir consommé.
Troisième point : les exceptions de l'article L. 221-28, produit personnalisé, denrée périssable, enregistrement descellé, prestation entièrement exécutée avec accord exprès. Elles existent, mais elles s'interprètent strictement : en cas de doute, la règle penche du côté du consommateur. Une exception invoquée après coup, absente des CGV, ne tient pas. Et le bouton peut être présent sans s'appliquer à toutes les commandes, ce qui doit être expliqué plutôt que subi.
Sur les manquements, la DGCCRF a intensifié ses contrôles, y compris chez les TPE et les indépendants : injonction de mise en conformité, amende administrative, et au civil l'annulation possible du contrat en cas de défaut d'information substantiel.
Les textes : arrêtez de les copier ailleurs
Un point qui surprend souvent : ça ne concerne pas que les boutiques. Un site vitrine avec un seul formulaire de contact collecte déjà un nom, un courriel et un message, donc des données personnelles. Il lui faut une politique de confidentialité, au même titre qu'à une boutique. Beaucoup de sites vitrines n'en ont aucune, ou affichent une page vide reprise d'un modèle.
Ce que cette politique doit dire, en clair : quelles données vous recueillez, par quel formulaire, pourquoi, qui d'autre y a accès (votre hébergeur, votre plateforme d'envoi, votre outil de mesure), combien de temps vous les gardez, et comment demander leur suppression. Une page honnête d'une demi-page vaut mieux que six pages de copier-coller juridique.
Pour le reste, mentions légales, CGV : recopier celles d'un concurrent est le plus mauvais calcul possible. Elles décrivent son activité, ses délais, ses transporteurs, ses exceptions, pas les vôtres. Et en cas de litige, c'est votre texte qui vous engage.
Ce qu'il faut y trouver : qui vend, comment on commande, quels délais, quels frais, comment on paie, comment on retourne, quelles données sont collectées, combien de temps, et qui contacter. En français lisible, pas en copier-coller juridique.
Dans quel ordre s'y prendre
1. L'inventaire. Ce que le site collecte réellement, sur quels formulaires, et où partent ces données : extension d'avis, outil de mesure, plateforme d'envoi, transporteur.
2. Le nettoyage. Supprimer les traceurs dont vous n'avez pas besoin. C'est l'étape qui simplifie tout le reste, et qui accélère le site au passage.
3. Les mécaniques. Consentement, newsletter, rétractation et renonciation dans le tunnel d'achat.
4. Les textes. Écrits pour votre activité, avec vos délais et vos exceptions.
5. La trace. Un document simple qui dit quelles données vous détenez, pourquoi et pour combien de temps. C'est ce qu'on vous demandera en premier en cas de contrôle ou de réclamation.
Votre boutique en est restée à 2018 ? Envoyez-moi son adresse : je vous dis en une page ce qui manque et dans quel ordre le reprendre. Voir aussi E-commerce PrestaShop et Maintenance & support.