RGPD et suivi d’audience : ce que doit faire un site de PME en 2026

Les règles sur les cookies et le suivi d’audience inquiètent beaucoup de dirigeants de PME, souvent à cause d’informations contradictoires. Pourtant, les obligations d’un site d’entreprise sont assez claires et se mettent en place sans difficulté. Cet article les résume de façon pratique, à partir des recommandations de la CNIL.

Ce qui est concerné

Les règles s’appliquent à tous les traceurs : cookies, mais aussi identifiants stockés dans le navigateur, pixels et techniques similaires. Ils se classent en deux familles :

Certains outils de mesure d’audience peuvent être exemptés de consentement s’ils respectent des conditions strictes ; les options techniques sont détaillées dans notre article sur GA4 et la mesure sans cookies.

Les règles du consentement

Un consentement valable doit être :

• préalable : aucun traceur non nécessaire avant le choix du visiteur ;
• libre : refuser doit être aussi simple qu’accepter ;
• éclairé : le visiteur sait à quoi servent les traceurs et qui les utilise ;
• réversible : il peut changer d’avis facilement, à tout moment.

En pratique, cela donne un bandeau avec « Tout accepter » et « Tout refuser » au même niveau, un lien vers le détail par finalité, et un moyen permanent de modifier son choix (souvent un lien en pied de page).

Les durées à respecter

• Le choix du visiteur est conservé pendant une durée limitée avant de lui reposer la question ; la CNIL recommande une durée de l’ordre de six mois.
• Les traceurs ont eux aussi une durée de vie limitée.
• Les données collectées ne sont conservées que le temps nécessaire à leur finalité.

L’information des visiteurs

La politique de confidentialité doit décrire les traitements réels du site, pas un modèle générique :

• quelles données sont collectées (formulaires, mesure d’audience) ;
• à quelles fins ;
• quels prestataires y ont accès ;
• combien de temps elles sont conservées ;
• comment exercer ses droits.

Le guide de la CNIL sur le RGPD rappelle les principes généraux.

Les pièges des intégrations tierces

Beaucoup de traceurs arrivent sans que le propriétaire du site le sache :

• une vidéo intégrée qui charge les services de la plateforme ;
• une carte interactive ;
• un widget de chat ;
• des boutons de partage ;
• des pixels publicitaires installés pour une ancienne campagne.

Une bonne pratique consiste à charger ces éléments uniquement après consentement, ou à proposer une version qui ne charge rien tant que le visiteur ne clique pas.

Les formulaires aussi

Les données saisies dans un formulaire de contact sont des données personnelles. Il faut :

• ne demander que ce qui est nécessaire ;
• informer de l’usage, à proximité du formulaire ;
• sécuriser la transmission et le stockage ;
• définir une durée de conservation des messages.

La checklist de conformité

• ☐Inventaire des traceurs présents sur le site.
• ☐Aucun traceur non nécessaire avant le choix du visiteur.
• ☐Bandeau avec refus aussi simple que l’acceptation.
• ☐Possibilité de modifier son choix à tout moment.
• ☐Politique de confidentialité qui décrit les traitements réels.
• ☐Intégrations tierces chargées après consentement.
• ☐Formulaires limités au nécessaire, avec information.
• ☐Revue annuelle de la configuration.

Sans panique

Ces obligations ne demandent pas de renoncer à la mesure : elles demandent de la faire proprement. Un site bien configuré mesure l’essentiel tout en respectant ses visiteurs, ce qui renforce aussi la confiance. Nos sites sont livrés avec une gestion du consentement conforme ; pour en savoir plus, consultez notre offre développement web ou notre article sur le budget marketing digital.

FAQ

Le refus doit-il être aussi simple que l’acceptation ?

Oui. La CNIL considère que refuser les traceurs doit être aussi facile qu’accepter, par exemple avec un bouton « Tout refuser » au même niveau que « Tout accepter ».

Combien de temps conserver le choix du visiteur ?

La CNIL recommande de conserver le choix, qu’il soit d’accepter ou de refuser, pendant une durée limitée (de l’ordre de six mois) avant de redemander. Les traceurs eux-mêmes ont aussi une durée de vie limitée.

Un petit site vitrine est-il vraiment concerné ?

Oui, dès qu’il dépose des traceurs non indispensables (mesure d’audience classique, vidéos intégrées, boutons de réseaux sociaux, pixels publicitaires). La taille de l’entreprise ne change pas les obligations.