La réponse courte
Oui, la RGPD s'applique à votre nouveau site web ou à votre nouvelle boutique en ligne dès que des données à caractère personnel y transitent. Cela se produit plus rapidement que beaucoup d'entrepreneurs ne le pensent : un formulaire de contact, une commande contenant un nom et une adresse, une banneau de consentement pour l'analyse du trafic, ou une fenêtre de discussion demandant une adresse électronique — ce sont autant de traitements de données à caractère personnel. La taille de votre entreprise ou le nombre de visiteurs n'y change rien.
Ce qui diffère en revanche, c'est l'ampleur de ce qui vous est demandé. Un site informatif contenant uniquement une adresse et un numéro de téléphone demande peu de mesures. Une boutique en ligne proposant des comptes clients, des données de paiement, des adresses de livraison et une infolettre en demande davantage : plusieurs tiers y sont impliqués qui traitent les données en votre nom, et cela suppose des contrats.
Quand cela vous affecte-t-il concrètement
La RGPD devient pertinente au moment où votre site web ou votre boutique en ligne fait quelque chose avec des données identifiant une personne. Pensez à un formulaire de contact qui enregistre un nom et une adresse électronique, un outil d'analyse du trafic qui suit le comportement des visiteurs, un pixel publicitaire d'un tiers, un compte de connexion pour les clients, ou un processus de commande où l'adresse et les données de paiement sont enregistrées et transmises à un transporteur ou un prestataire de paiement.
Chacun de ces éléments signifie qu'il existe une partie qui traite les données en votre nom : votre prestataire d'hébergement, votre plateforme de boutique en ligne, votre fournisseur d'analyse du trafic, votre outil de marketing par courriel. Pour ces parties, il est généralement nécessaire qu'existe un contrat de traitement des données. La manière dont vous évaluez ce contrat et ce à quoi vous devez faire attention est expliquée en détail dans la base de connaissances avec explications pour chaque situation.
Quand cela vous affecte-t-il moins
Un site purement informatif dépourvu de formulaires, sans cookies de suivi et sans tiers qui regardent par-dessus l'épaule, traite peu ou pas de données à caractère personnel. Dans ce cas, l'impact de la RGPD est limité. Mais dans la pratique, cela est rare : la plupart des sites ont au moins un formulaire de contact ou un script d'analyse du trafic, et tous deux comptent déjà comme un traitement.
Il ne s'agit donc pas de savoir si cela vous concerne ou non, mais de déterminer dans quelle mesure. Un simple site web de brochure suppose une brève politique de confidentialité et un examen des outils utilisés. Une boutique en ligne proposant des comptes clients et plusieurs fournisseurs suppose une vision plus complète : quel outil traite quoi, qui est prestataire de traitement des données, et où les données sont-elles conservées.
Ce que cela signifie en pratique
Lorsque vous construisez un nouveau site web ou une nouvelle boutique en ligne, trois questions se posent généralement en même temps. Premièrement : quels outils et fournisseurs traiteront par la suite les données en votre nom, et avez-vous conclu un contrat de traitement des données avec chacun d'eux ? Deuxièmement : y a-t-il une politique de confidentialité sur le site expliquant ce que vous faites et pourquoi ? Troisièmement : ce nouveau traitement figure-t-il dans votre registre des activités de traitement, afin que vous puissiez montrer à tout moment ce qui se passe ?
Ces trois questions ne doivent pas être traitées séparément. Une plateforme de boutique en ligne, un prestataire de paiement et un partenaire de livraison sont souvent tous trois des prestataires de traitement des données, et chacun d'eux doit avoir une place dans le registre. Si quelque chose s'en va de travers en cours de route — par exemple parce qu'un fournisseur transmet les données sans sécurité — c'est un moment où vous devez pouvoir évaluer rapidement ce qui s'est passé et si cela est soumis à une obligation de notification. Une première indication à ce sujet vous est fournie avec quelques questions qui orientent immédiatement.
Comment cela se rapporte-t-il aux obligations existantes
Un nouveau site web ou une nouvelle boutique en ligne n'est généralement pas une obligation RGPD distincte, mais une extension de ce qui s'appliquait déjà. Si votre entreprise traite déjà des données de personnel ou enregistre déjà des données clients, le site web s'y ajoute : nouveaux responsables du traitement, nouveaux flux de données, et donc un complément au registre et aux contrats de traitement de données existants. Le RGPD lui-même et les lignes directrices de l'EDPB et de l'Autorité de protection des données forment la base ; la manière dont cette information est structurée sur cette plateforme et où se trouve la source de chaque élément, vous pouvez le lire à l'explication sur la façon dont l'information est structurée.
Si votre site web ou boutique en ligne spécifique est entièrement conforme au RGPD est quelque chose que vous pouvez mieux examiner avec un juriste ou, en cas de doute sur un traitement particulier, avec l'Autorité de protection des données. Cet article donne des explications, pas des conseils juridiques.
Vérifier vous-même où vous en êtes
Voulez-vous rapidement voir quels éléments se rapportent à votre nouveau site web ou boutique en ligne — quels outils, quels responsables du traitement, quels documents ? Effectuez l'analyse rapide gratuite ou parcourez les sujets dans la base de connaissances. Voulez-vous suivre cela de façon structurelle une fois que le registre et la surveillance s'y ajoutent, alors vous pouvez créer un compte professionnel et continuer à partir de là où vous êtes maintenant.