Le RGPD ne date pas d’hier. Pourtant la moitié des sites WordPress que nous auditons cache une faille de conformité qui expose leur propriétaire à une sanction. Un simple formulaire de contact peut suffire à faire basculer un site dans l’illégalité, s’il stocke des données sans base légale claire. Voici ce qui sépare un site conforme d’un site qui croit l’être. À tort.
Ce que le RGPD exige d’un site WordPress
Le règlement ne cible pas les grandes entreprises. Il s’applique à tout site qui collecte des données de résidents européens, qu’il vende des produits ou publie un blog personnel. Un simple formulaire de contact engage déjà votre responsabilité légale, dès qu’il touche une donnée personnelle.
Le consentement aux cookies ne se limite pas à une bannière
Beaucoup de propriétaires de sites pensent avoir réglé le sujet en installant un plugin de bannière cookies. Ce plugin ne couvre pas tout à lui seul. Le RGPD exige un consentement libre, éclairé et révocable à tout moment, avant tout dépôt de cookie non essentiel. Un bandeau qui bloque la navigation tant que l’utilisateur n’a pas cliqué viole le principe même de consentement libre.
En clair, aucun cookie Google Analytics ou Facebook Pixel ne doit se déclencher avant le clic sur le bandeau. Le bouton refuser doit rester aussi visible que le bouton accepter. Beaucoup de sites soignent le premier point et oublient le second.
L’hébergement et les sous-traitants comptent aussi
Un site WordPress dépend d’un hébergeur, souvent d’un service d’emailing, parfois d’une passerelle de paiement. Chacun de ces prestataires traite vos données pour votre compte. Le RGPD vous demande de vérifier qu’ils offrent des garanties suffisantes, en particulier s’ils hébergent des données hors Union européenne.
Un hébergeur basé en France ou dans l’Union ne garantit pas la conformité à lui seul. La vraie question porte sur vos sauvegardes. Où sont-elles stockées, et qui y a accès ? Beaucoup de sites WordPress s’appuient sur des services américains pour l’emailing ou les statistiques, sans clause de transfert de données en règle.
Les failles RGPD les plus fréquentes sur WordPress
Nous auditons des dizaines de sites WordPress chaque année. Les mêmes erreurs reviennent, presque toujours dans le même ordre.
Formulaires de contact qui collectent trop
Un formulaire de contact ne devrait demander que le strict nécessaire pour répondre à la demande. Beaucoup en demandent trop, un numéro de téléphone jamais utilisé ou une case société ajoutée pour le marketing sans consentement séparé. Chaque champ superflu est une donnée que vous devez justifier si la CNIL contrôle votre site.
Le stockage compte aussi. Les messages reçus via un formulaire atterrissent dans une base de données WordPress standard, sans chiffrement particulier. Un plugin mal configuré garde ces messages sans limite de durée, bien après que la demande a été traitée.
Plugins tiers qui font fuiter des données sans le savoir
Chaque plugin installé sur votre site est un sous-traitant potentiel. Un plugin de statistiques envoie l’adresse IP de vos visiteurs vers un serveur externe. Un plugin de chat en direct stocke les conversations sur un cloud tiers, parfois hors Europe. Peu de propriétaires de sites savent lister les plugins qui envoient des données, ni où ces données atterrissent.
La solution commence par un inventaire simple. Listez chaque plugin actif, cherchez sa politique de confidentialité, notez où ses serveurs sont situés. Ce travail prend une heure. Il vous évite une découverte désagréable en cas de contrôle. Notre article sur la sécurité WordPress détaille comment passer vos extensions au crible.
Mettre votre site aux normes, étape par étape
La mise en conformité suit une méthode simple, appliquée dans le bon ordre.
Bandeau de consentement et registre des traitements
Un plugin comme Axeptio, Tarteaucitron ou Complianz gère le bandeau de consentement et bloque les scripts tiers tant que le visiteur n’a pas répondu. Configurez-le pour qu’il scanne les cookies déposés par votre thème et vos plugins. Ce scan révèle souvent des surprises.
Le registre des traitements complète le dispositif. Ce document liste chaque catégorie de données collectée et sa finalité. La CNIL peut l’exiger lors d’un contrôle, et son absence constitue déjà une infraction.
Droit d’accès, rectification, suppression : ce que vous devez garantir
Un visiteur ou un client peut vous demander l’accès à ses données, leur correction, ou leur suppression complète. Vous disposez d’un mois pour répondre. Sur WordPress, l’outil natif « Exporter les données personnelles » et « Effacer les données personnelles », dans Outils, couvre une bonne partie de cette obligation pour les comptes utilisateurs et les commentaires.
Ces outils ne couvrent pas tout. Un abonné à votre newsletter stocké chez Mailchimp ou Brevo doit être supprimé aussi de cette plateforme, pas seulement de WordPress. Pensez à documenter la procédure pour ne pas avoir à la réinventer à chaque demande.
Rester conforme dans la durée
La conformité RGPD demande un suivi continu, une vérification chaque fois que vous ajoutez un plugin ou changez de prestataire.
Revoir la politique de confidentialité à chaque nouveau plugin
Chaque nouveau plugin qui collecte ou transmet des données doit apparaître dans votre politique de confidentialité. Un plugin de newsletter ajouté sans mise à jour de cette page crée un décalage entre ce que vous annoncez et ce que le site fait.
Un audit annuel suffit pour la plupart des sites vitrine. Les sites e-commerce ou ceux qui traitent des données sensibles gagnent à vérifier ça tous les six mois. Notre audit de sécurité WordPress couvre ce volet, en plus des aspects techniques classiques.
Que faire en cas de fuite de données
Une fuite de données, qu’elle vienne d’un piratage ou d’une erreur de configuration, déclenche une obligation de notification à la CNIL sous 72 heures si le risque pour les personnes concernées est établi. Ce délai court dès que vous avez connaissance de l’incident, pas dès que vous l’avez confirmé.
Un plugin de sécurité comme SecuPress détecte les tentatives d’intrusion et vous alerte avant qu’une fuite ne se produise. Si votre site a déjà été compromis, notre service de dépannage WordPress identifie l’étendue de la fuite et referme la faille en urgence.
Traiter le RGPD sérieusement une fois vous évite un contrôle CNIL ou une plainte utilisateur plus tard. Le sujet demande un après-midi de travail. Il vous protège pendant des années.
