Vous lancez un site, une boutique en ligne ou un simple blog, et quelqu’un vous dit qu’il faut « le déclarer à la CNIL ». Ce conseil date d’une autre époque.
Le formulaire de déclaration propre aux sites internet a disparu il y a longtemps. Et depuis le 25 mai 2018, le RGPD a supprimé presque toutes les déclarations préalables. Vous n’avez plus rien à envoyer. Mais vous avez davantage à prouver.
Ce qui suit vous explique ce qui a changé, ce qui reste obligatoire pour un site et les erreurs qui coûtent cher.
Avant 2018 : un site, une déclaration (ou presque)
Sous l’empire de la loi Informatique et libertés du 6 janvier 1978, tout fichier contenant des données personnelles devait en principe être signalé à la CNIL avant sa mise en service. Pour les sites, la Commission avait même créé une télédéclaration spécifique, supprimée ensuite au profit des formulaires classiques.
Le système reposait sur plusieurs niveaux :
- la déclaration simplifiée, pour les traitements courants comme le fichier clients et prospects d’un site marchand,
- la déclaration normale, pour les cas qui ne rentraient dans aucune norme simplifiée,
- la demande d’autorisation, réservée aux traitements sensibles,
- des dispenses, par exemple pour certains sites d’associations ou les blogs personnels.
Ce mécanisme est détaillé dans notre article sur l’ancienne déclaration à la CNIL et son fonctionnement. Retenez surtout qu’il a pris fin.
Ce que le RGPD a changé pour les sites internet
Le règlement européen sur la protection des données a inversé la logique. On ne demande plus la permission en amont. Vous devez être en règle en permanence et pouvoir le démontrer à tout moment, ce que les juristes appellent le principe de responsabilité (l’« accountability » des textes anglais).
Concrètement, la CNIL ne reçoit plus de déclaration pour votre formulaire de contact ou votre newsletter. Elle peut en revanche contrôler votre site, sur place ou en ligne, et vous demander vos justificatifs.
Quelques formalités subsistent pour des traitements particuliers, notamment certains traitements de données de santé. Un site vitrine ou un blog n’est pas concerné.
Le correspondant Informatique et libertés, créé en 2004, a lui aussi disparu. Le délégué à la protection des données (DPO) l’a remplacé, avec un rôle plus large. Sa désignation est obligatoire pour les organismes publics et pour les structures dont l’activité principale implique un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles.
Vos obligations concrètes quand vous éditez un site
Dès que votre site collecte une adresse e-mail, un nom ou une adresse IP, il traite des données à caractère personnel. C’est le cas de presque tous les sites, y compris un blog avec un espace commentaires.
Tenir un registre des traitements
Le registre remplace en pratique la déclaration. C’est un document interne qui liste chaque traitement : finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité.
Les petites structures bénéficient en théorie d’un allègement. Il joue rarement, car un fichier clients ou une newsletter constitue un traitement régulier. Mon conseil : tenez ce registre de toute façon. La CNIL met un modèle gratuit à votre disposition.
Informer les visiteurs
Une politique de confidentialité claire indique qui collecte, pourquoi, sur quelle base légale, pendant combien de temps et comment exercer ses droits. Elle complète les mentions légales obligatoires d’un site internet imposées par la loi pour la confiance dans l’économie numérique (LCEN) de 2004.
Gérer les cookies
Les traceurs publicitaires et les outils de mesure d’audience non exemptés exigent le consentement préalable de l’internaute. Refuser doit être aussi simple qu’accepter.
C’est l’un des premiers points que la CNIL vérifie lors de ses contrôles en ligne.
Répondre aux demandes des personnes
Accès, effacement, opposition ou droit de rectification : vous devez traiter ces demandes en principe dans un délai d’un mois. Prévoyez une adresse dédiée et une procédure simple, même si vous ne recevez qu’une demande par an.
Quelles règles selon le type de site ?
| Type de site | Avant le RGPD | Aujourd’hui |
|---|---|---|
| Blog personnel | Dispense dans la plupart des cas | Aucune formalité, mais information des visiteurs et règles sur les cookies |
| Site d’association avec fichier de membres | Dispense sous conditions | Registre conseillé, politique de confidentialité |
| Site marchand avec fichier clients | Déclaration simplifiée | Registre, information, cookies, sécurité des comptes clients |
| Traitement de données sensibles | Autorisation fréquente | Analyse d’impact souvent requise, parfois formalité spécifique |
Un site marchand qui envoie des e-mails commerciaux doit aussi respecter les droits des personnes prospectées, avec le consentement préalable des particuliers sauf exceptions pour vos clients existants.
Les risques en cas de manquement
Les amendes administratives prévues par le RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (le montant le plus élevé s’applique). Ces plafonds visent les cas graves.
Pour un petit éditeur, le risque le plus réaliste reste une mise en demeure après une plainte. Et une plainte arrive vite.
Un internaute qui ne parvient pas à se désinscrire d’une newsletter suffit à déclencher un échange avec la CNIL. Depuis 2022, la Commission dispose aussi d’une procédure simplifiée pour les dossiers les moins complexes.
Si vous recevez un courrier de sa part, répondez dans le délai indiqué. Un avocat devient utile quand le dossier dépasse la simple mise en conformité.
Questions fréquentes sur la déclaration CNIL d’un site
Faut-il encore déclarer son site internet à la CNIL ?
Non. La déclaration propre aux sites a disparu, et le RGPD a supprimé depuis le 25 mai 2018 la quasi-totalité des formalités préalables. Vous devez en revanche respecter les règles en continu et pouvoir le prouver.
Un blog personnel est-il soumis au RGPD ?
Dès qu’il collecte des données (commentaires, newsletter, statistiques avec cookies), il entre dans le champ du règlement. Les obligations restent proportionnées : informer les visiteurs, gérer les cookies et répondre aux demandes.
Le registre des traitements doit-il être envoyé à la CNIL ?
Non, il reste un document interne. Vous devez simplement pouvoir le présenter si la CNIL le demande lors d’un contrôle.
Le numéro de déclaration CNIL doit-il figurer sur le site ?
Ce numéro venait des anciennes déclarations et n’a plus de raison d’être. Les mentions légales et la politique de confidentialité ont pris le relais.
