Votre site ne doit pas seulement convertir.
Il doit prouver qu'il respecte les données qu'il collecte.
Sommaire
- 1. Chiffres clés
- 2. Introduction
- 3. Symptômes : quand un site collecte sans gouverner
- 4. Acteurs : CNIL, DPO, agence web, CMP, CRM, régies publicitaires, hébergeur
- 5. Définition : ce qu'est un audit RGPD de site marketing
- 6. Pourquoi le sujet devient prioritaire en 2026
- 7. Formulaires, cookies, CRM : les trois zones à risque
- 8. Méthode recommandée : 9 blocs pour vérifier sans se disperser
- 9. Conseils Logiks : commencer par les preuves visibles
- 10. Grille de décision : votre site est-il défendable ?
- 11. Erreurs fréquentes : six confusions qui exposent une PME
- 12. Plan d'action 30 / 60 / 90 jours
- 13. FAQ : RGPD et site marketing
- 14. Conclusion : la conformité devient une preuve de sérieux
- 15. Sources principales
1. Chiffres clés
2. Introduction
Au premier regard, un site d'acquisition paraît léger : quelques pages, un formulaire de contact, une newsletter, des cookies, un outil d'audience, parfois un pixel publicitaire, un CRM, un chat, un téléchargement de livre blanc. Pourtant, cette apparente simplicité cache une chaîne de traitements. Une adresse e-mail entre dans un formulaire, circule vers un outil, déclenche une notification, rejoint un CRM, alimente une audience, dort parfois plus longtemps que prévu.
Nous défendons une position simple : le RGPD ne freine pas le marketing. Il impose une discipline de clarté. Il oblige à dire ce que l'on collecte, pourquoi, combien de temps, avec qui, sur quelle base, avec quelle sécurité et quels droits pour la personne.
Pour une PME, le sujet ne consiste pas à jouer au juriste. Il consiste à rendre le dispositif défendable.
Pas de preuve, pas de confiance.
3. Symptômes : quand un site collecte sans gouverner
On reconnaît vite un dispositif fragile : bannière cookies installée mais jamais auditée, formulaire sans mention claire, CRM branché sans durée de conservation, pixels publicitaires actifs avant consentement, politique de confidentialité copiée, sous-traitants non listés, exports de leads dans des tableurs, accès partagés entre agence et client :
La collecte existe, mais la gouvernance manque.
La friction apparaît au premier incident. Qui sait quels scripts chargent sur le site ? Qui peut prouver le consentement ? Qui supprime un contact à sa demande ? Qui connaît les outils où la donnée transite ? Qui prévient le prestataire en cas de fuite ? Qui documente la base légale d'une campagne ?
Sans registre, la maîtrise reste théorique.
Sans consentement vérifiable, la sérénité disparaît.
Sans sécurité, la conformité ne tient pas.
Une page de conversion n'a pas besoin de se transformer en dossier administratif. Sa collecte doit demeurer lisible.
4. Acteurs : CNIL, DPO, agence web, CMP, CRM, régies publicitaires, hébergeur
Un audit RGPD de site marketing doit nommer les acteurs. Sinon, les responsabilités se perdent dans le brouillard.
Là où la CNIL donne le cadre, le DPO traduit le risque. Là où l'agence installe, le marketing active. Là où le CRM conserve, la sécurité doit protéger.
La page ne travaille jamais seule. Elle vit dans une chaîne.
5. Définition : ce qu'est un audit RGPD de site marketing
Un audit RGPD de site marketing est une revue structurée des formulaires, cookies, traceurs, outils CRM, scripts tiers, mentions d'information, bases légales, durées de conservation, sous-traitants et mesures de sécurité liés à la collecte de données.
Cette définition compte. L'audit dépasse la relecture d'une politique de confidentialité en fin de projet. Il doit regarder ce qui se passe vraiment dans le navigateur, dans le CMS, dans les tags, dans le CRM et dans les procédures.
Une page peut paraître conforme. Le flux de données, lui, peut contredire cette apparence.
6. Pourquoi le sujet devient prioritaire en 2026
20 150 plaintes reçues par la CNIL en 2025 : la protection des données sort du cercle des spécialistes (CNIL, rapport annuel 2025). Elle touche le travail, le commerce, l'immobilier, les réseaux sociaux, les violations de données, les pratiques marketing et les relations clients.
Le dispositif marketing se trouve au croisement de ces enjeux. Il collecte l'identité, les coordonnées, les préférences, parfois les besoins, le comportement, les téléchargements, les pages consultées. Avec les outils publicitaires et analytics, il peut aussi déclencher des traitements invisibles pour le visiteur.
Dans son guide de sécurité des données personnelles, la CNIL vise à aider les organismes à mettre en place des mesures de protection adaptées. Ses règles cookies rappellent aussi que l'utilisation des traceurs est particulièrement encadrée par la loi Informatique et Libertés.
La bonne question dépasse donc : "avons-nous une bannière ?"
La bonne question est : "pouvons-nous expliquer et prouver ce que nous faisons ?"
7. Formulaires, cookies, CRM : les trois zones à risque
Une landing page expose rarement un risque unique. Elle concentre trois zones qui doivent être vérifiées ensemble.
Traiter seulement la bannière cookies revient à repeindre la porte d'entrée sans regarder les pièces derrière.
Le RGPD se joue dans le flux.
8. Méthode recommandée : 9 blocs pour vérifier sans se disperser
La méthode recommandée ci-dessous ne constitue pas une méthode propriétaire Logiks. Elle s'appuie sur les exigences RGPD, les recommandations de la CNIL, les bonnes pratiques de sécurité et l'audit opérationnel d'un site marketing.
En atelier, on avance comme en cuisine professionnelle : inventaire, mise en place, contrôle des températures, service. Pas de théâtre. Des preuves.
8.1. Cartographier les points de collecte
Listez tous les endroits où le site collecte ou transmet une donnée : formulaire contact, devis, newsletter, livre blanc, compte client, chat, prise de rendez-vous, analytics, pixels, cartes, vidéos intégrées, outils A/B test.
Sans inventaire, la conformité tient de l'opinion.
8.2. Identifier les finalités
Chaque collecte doit avoir une finalité claire : répondre à une demande, envoyer une newsletter, mesurer l'audience, personnaliser une publicité, suivre une conversion, sécuriser le site. Une finalité vague rend tout le reste fragile.
Le "au cas où" ne constitue pas une stratégie de conformité.
8.3. Vérifier les bases légales
Consentement, contrat, intérêt légitime, obligation légale : le choix dépend du traitement. Les cookies publicitaires exigent une attention particulière. Les demandes entrantes n'ont pas la même logique qu'une audience de remarketing.
La base légale doit se documenter, pas s'improviser.
8.4. Auditer les cookies et scripts
Scannez les scripts réellement chargés. Vérifiez ce qui part avant consentement, ce qui reste après refus, les catégories affichées, les partenaires listés et la capacité à retirer son choix. L'autorité française rappelle que la simple poursuite de navigation ne suffit pas à exprimer un consentement valide.
Une bannière conforme en apparence peut masquer un déclenchement trop précoce.
8.5. Relire les formulaires
Chaque formulaire doit expliquer la finalité, les destinataires, les droits et les informations nécessaires. Réduisez les champs. Un formulaire de contact n'a pas toujours besoin d'un téléphone, d'un budget, d'une taille d'entreprise et d'un message obligatoire.
La minimisation ne relève pas d'une contrainte abstraite. Elle relève d'une élégance.
8.6. Contrôler le CRM
Le CRM doit avoir des règles de conservation, de qualification, de désinscription, d'accès, d'export et de suppression. Les leads anciens ne doivent pas dormir indéfiniment dans une base.
Une donnée marketing périmée se transforme en dette.
8.7. Vérifier les sous-traitants
Listez les outils : CMS, hébergeur, analytics, CRM, emailing, publicité, chat, formulaires, prise de rendez-vous, stockage. Pour chacun, identifiez le rôle, le contrat, la localisation, la sécurité, les accès.
Le prestataire invisible surgit comme risque visible le jour du contrôle.
8.8. Sécuriser les accès
Le guide CNIL 2024 et les bonnes pratiques ANSSI rappellent l'importance des mesures techniques et organisationnelles adaptées. MFA, droits limités, comptes nominatifs, suppression des accès agence, sauvegardes, journalisation : la présence marketing doit entrer dans le socle cyber.
Une conformité sans sécurité ressemble à une façade.
8.9. Documenter les preuves
Conservez la cartographie, les captures de CMP, les mentions de formulaires, la liste des sous-traitants, les règles CRM, les procédures de droits, les durées de conservation et la date de vérification.
Le sujet ne se résume pas à ce que l'on affirme. Il tient à ce que l'on peut montrer.
9. Conseils Logiks : commencer par les preuves visibles
Nous ne recommandons pas de démarrer par un grand chantier documentaire si le site n'a jamais été vérifié. Le premier levier consiste à regarder ce que voit l'utilisateur et ce que charge le navigateur.
Premier conseil : auditez les formulaires et les cookies avant de réécrire la politique de confidentialité. Si la collecte réelle échappe à l'équipe, le texte juridique gardera une fonction décorative.
Deuxième conseil : impliquez marketing, agence et DPO ensemble. Le marketing connaît les campagnes. L'agence connaît les scripts. Le DPO connaît les bases légales. Séparer ces trois regards produit des angles morts.
Troisième conseil : réduisez avant d'optimiser. Moins de champs, moins de tags, moins d'exports, moins d'accès permanents. La conformité se simplifie souvent quand la collecte gagne en sobriété.
Enfin, nous recommandons un tableau de pilotage très concret :
- formulaire ;
- donnée collectée ;
- finalité ;
- outil destinataire ;
- base légale ;
- durée ;
- preuve ;
- responsable.
Ce registre n'a rien d'une paperasse. Il pose une architecture de confiance.
10. Grille de décision : votre site est-il défendable ?
Si les cookies et les formulaires sont en "Fragile", commencez là. Le reste suivra avec plus de clarté.
11. Erreurs fréquentes : six confusions qui exposent une PME
Premier piège : croire qu'une bannière règle tout. La CMP ne vaut que si les scripts sont correctement catégorisés et déclenchés.
Deuxième dérive : copier une politique de confidentialité. Un texte générique ne prouve rien si les outils, durées, finalités et sous-traitants ne correspondent pas au site réel.
Troisième faiblesse : collecter trop de champs. Plus la donnée collectée est large, plus le risque augmente. La sobriété est souvent le meilleur allié du marketing.
Quatrième écueil : oublier les outils publicitaires. Un pixel, une conversion enrichie, une audience ou un tag mal configuré peut créer un traitement non maîtrisé.
Cinquième risque : laisser les accès agence ouverts. Un ancien prestataire avec un accès CMS, Tag Manager ou CRM crée un angle mort.
Dernier point : séparer RGPD et cybersécurité. La CNIL rappelle que la sécurité des données fait partie du sujet. Un dispositif conforme en texte mais fragile en accès reste exposé.
12. Plan d'action 30 / 60 / 90 jours
12.1. Dans les 30 jours
- lister tous les formulaires ;
- scanner les cookies et scripts ;
- vérifier la CMP ;
- relire les mentions proches des formulaires ;
- identifier les outils destinataires ;
- supprimer les tags inutiles ;
- activer la MFA sur CMS, CRM et Tag Manager.
On ne cherche pas encore l'exhaustivité juridique. On ferme les angles morts visibles.
12.2. Dans les 60 jours
- documenter les finalités et bases légales ;
- clarifier les durées de conservation ;
- mettre à jour la politique de confidentialité ;
- vérifier les contrats de sous-traitance ;
- créer une procédure de réponse aux droits ;
- définir une règle de purge CRM ;
- former les personnes qui manipulent les leads.
Le dispositif commence à devenir défendable.
12.3. Dans les 90 jours
- intégrer le contrôle RGPD dans chaque nouvelle landing page ;
- créer une revue trimestrielle des tags ;
- documenter les preuves de consentement ;
- auditer les accès prestataires ;
- relier les incidents de données au plan cyber ;
- tenir une fiche de vérification dans le CMS.
À ce stade, le sujet cesse d'être une correction ponctuelle. Il prend la forme d'une méthode.
13. FAQ : RGPD et site marketing
13.1. Un site vitrine est-il concerné par le RGPD ?
Oui, dès qu'il collecte ou traite des données personnelles : formulaire, newsletter, cookies, analytics, pixel publicitaire, chat, prise de rendez-vous. Un site purement informatif, sans traceur ni formulaire, se rencontre moins souvent qu'on ne le pense.
13.2. Une bannière cookies suffit-elle ?
Non. La bannière doit être correctement configurée, mais il faut aussi vérifier les scripts, les finalités, les partenaires, le refus, le retrait du consentement et les preuves. L'autorité rappelle que la simple poursuite de navigation ne vaut pas consentement.
13.3. Peut-on utiliser Google Analytics sur un site PME ?
Oui, mais l'usage doit être configuré et documenté. Il faut vérifier le consentement ou l'exemption éventuelle selon l'outil, la configuration, les finalités, les durées et les transferts. La décision doit être prise avec une lecture juridique et technique.
13.4. Combien de temps garder les leads ?
La durée dépend de la finalité, du cycle commercial et de la relation avec la personne. L'important est de définir une règle, de la documenter, de la respecter et de purger les données qui n'ont plus de justification.
13.5. Qui doit porter le sujet : marketing, DPO ou agence ?
Les trois doivent coopérer. Le marketing connaît les objectifs, l'agence connaît l'implémentation, le DPO ou conseil RGPD sécurise l'interprétation. Sans cette coordination, le dispositif produit des zones grises.
14. Conclusion : la conformité devient une preuve de sérieux
Un site marketing conforme ne se transforme pas en site bridé. Il devient un dispositif qui collecte avec mesure, explique avec clarté, sécurise avec méthode et documente avec sérieux.
Cette exigence ne remplace pas la performance. Elle la rend plus durable. Elle protège la relation avec le visiteur, la qualité de la base CRM, la crédibilité de la marque et la capacité de l'équipe à expliquer ses choix.
Pour Logiks, le bon réflexe consiste à commencer par le réel : formulaires, cookies, scripts, CRM, accès, preuves. Le texte vient ensuite.
Ce n'est plus seulement une contrainte juridique.
La conformité devient une preuve de maîtrise : collecter, expliquer, protéger.
15. Sources principales
- CNIL - Rapport annuel 2025 - publié en mai 2026 - https://www.cnil.fr/fr/rapport-annuel-2025
- CNIL - Rapport annuel 2024 - publié en 2025 - https://www.cnil.fr/fr/rapport-annuel-2024
- CNIL - Guide de la sécurité des données personnelles : nouvelle édition 2024 - 26 mars 2024 - https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles-nouvelle-edition-2024
- CNIL - Guide de la sécurité des données personnelles - consulté le 17 juin 2026 - https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles
- CNIL - Cookies et autres traceurs : recommandations finales sur le consentement multi-terminaux - publié en 2026 - https://www.cnil.fr/fr/cookies-et-autres-traceurs-recommandations-finales-sur-le-consentement-multi-terminaux
- CNIL - Questions-réponses sur les lignes directrices cookies et autres traceurs - consulté le 17 juin 2026 - https://cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ
- CNIL - Cookies et autres traceurs - consulté le 17 juin 2026 - https://www.cnil.fr/fr/cookies-et-autres-traceurs
- ANSSI - Guide d'hygiène informatique - consulté le 17 juin 2026 - https://messervices.cyber.gouv.fr/guides/guide-dhygiene-informatique