RGPD et site web PME : le minimum vital (sans juriste)

Si Google Analytics ou un équivalent dépose des cookies ou utilise des identifiants non strictement nécessaires au service sans consentement préalable, vous devez proposer un choix clair et documenter l'usage. Le chapitre cookies du texte rappelle que la finalité compte autant que l'outil. Un mode sans cookie ou un consentement explicite avant chargement est souvent la voie prudente pour une PME qui veut éviter les discussions avec la CNIL ou des clients vigilants. Le bandeau n'est pas une décoration : il doit permettre de refuser aussi facilement qu'accepter. Sans cette symétrie, le consentement peut être contesté.

Non automatique : tout dépend des garanties contractuelles, clauses types de la Commission et documentation des transferts hors Union. Une PME doit cartographier où vont les données personnelles, pas deviner au feeling. Le simple fait d'utiliser Cloudflare ou un hébergeur américain n'est pas interdit en soi mais doit être expliqué dans la politique de confidentialité. Les audits internes minimaux consistent à lister sous-traitants et pays, puis à vérifier les DPA signés. En cas de doute sur un traitement sensible, faites appel à un juriste plutôt que d'empiler les outils sans lecture des clauses.

Souvent oui pour un site vitrine standard sans données sensibles : mentions, politique de confidentialité honnête, formulaires minimisés et journalisation raisonnable suffisent à démarrer proprement. Le tableau du texte vise ce socle opérationnel, pas la conformité d'un hôpital ou d'une plateforme pour mineurs. Dès que vous traitez la santé, la finance lourde ou des profils vulnérables, le juriste devient indispensable car le minimum vital ne couvre plus le risque. Utilisez le tableau comme point de départ, pas comme certificat absolu. Documentez vos décisions pour prouver une démarche sérieuse en cas de contrôle.

Oui, on voit encore des sous-domaines oubliés, de vieilles landing pages et des formulaires sur HTTP qui transmettent des données en clair. Pourtant le certificat gratuit est largement accessible et les navigateurs affichent des avertissements sévères. Le HTTPS est à la fois sécurité technique et signal de confiance pour les visiteurs qui hésitent à laisser leur email. Faites un inventaire de tous les hôtes, y compris préproduction, pour éviter les fuites par un sous-site négligé. Ce minimum ne dispense pas des autres obligations mais évite une erreur grossière et visible.

Il peut mettre en œuvre la technique : champs de formulaire, durées de conservation dans la base, pages légales structurées et désactivation de logs inutiles. En revanche, le responsable du traitement reste l'entreprise qui définit pourquoi elle collecte les données et combien de temps elle les garde. Le prestataire est souvent sous-traitant et doit signer les clauses requises, mais ne porte pas votre obligation d'information envers les personnes. Sans implication du dirigeant sur les finalités, le site peut être conforme en apparence mais incohérent avec la réalité métier. La collaboration claire évite les zones grises quand un client exige des preuves.