RGPD et e-commerce : les points de conformité d'une boutique en ligne

Comptes clients et minimisation

La création de compte doit se limiter aux données nécessaires à la commande et à la livraison. Multiplier les champs obligatoires « pour mieux connaître le client » va à l'encontre du principe de minimisation. Proposer une commande en tant qu'invité, sans création de compte imposée, est une bonne pratique.

Paiement et sécurité

Les données de paiement sont particulièrement sensibles. En pratique, elles doivent transiter par un prestataire de paiement conforme (standard PCI-DSS) plutôt que d'être stockées par la boutique. Le site doit être en HTTPS de bout en bout, et l'obligation de sécurité de l'article 32 s'applique pleinement.

Prospection et newsletters

L'envoi de newsletters et d'offres suppose en principe le consentement du destinataire. Une exception encadre le « client existant » : vous pouvez le solliciter pour des produits analogues, à condition qu'il ait pu s'y opposer facilement au moment de la collecte et dans chaque message. Les cases pré-cochées d'inscription à la newsletter ne sont pas valables.

Cookies, pixels et reciblage

L'e-commerce est un gros consommateur de traceurs : mesure d'audience, pixels publicitaires, reciblage, A/B testing. Tous ces traceurs non essentiels exigent un consentement préalable, et aucun ne doit se charger avant le choix du visiteur. C'est le point le plus souvent défaillant sur les boutiques en ligne.

L'analyse automatisée est particulièrement utile ici : elle révèle en quelques secondes les pixels et scripts déclenchés avant consentement, ainsi que les transferts hors UE associés.

Les documents et durées à ne pas oublier

• Une politique de confidentialité reflétant les traitements réels (compte, paiement, marketing, cookies).
• Des mentions légales complètes et des CGV.
• L'information sur chaque formulaire (finalité + lien vers la politique).
• Des durées de conservation définies (compte inactif, prospects, historiques).
• Des contrats de sous-traitance avec l'hébergeur, le prestataire de paiement, l'outil d'e-mailing.