E-commerce et RGPD : obligations, sanctions et conformité pour votre boutique en ligne
Si vous avez une boutique en ligne ou vendez sur internet, le Règlement général sur la protection des données (RGPD) vous oblige à traiter les données personnelles de vos clients avec transparence, base légale et sécurité. Le non-respect peut entraîner des sanctions importantes de la part de l’Agence espagnole de protection des données (AEPD) et des autorités européennes. Cet article rappelle les obligations clés du RGPD en e-commerce : bases légales et consentement, politique de confidentialité, cookies et registre des activités de traitement, ainsi que les risques et erreurs qui conduisent souvent à des amendes.
En résumé
- Vous devez informer les utilisateurs de manière claire (politique de confidentialité) et avoir une base légale pour chaque traitement (contrat, consentement, intérêt légitime).
- Le consentement doit être libre, spécifique, informé et non équivoque ; les cases précochées ne sont pas valables.
- Les cookies non essentiels nécessitent un consentement préalable ; la bannière doit permettre d’accepter ou refuser par catégorie.
- Les sanctions peuvent aller jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial annuel.
- Vous devez tenir un registre des activités de traitement et mettre en œuvre des mesures techniques et organisationnelles appropriées.
Bases légales et consentement en e-commerce
Dans une boutique en ligne vous traitez des données personnelles pour les commandes, livraisons, facturation, service client et souvent le marketing (newsletters, remarketing). Chaque traitement doit reposer sur une base légale du RGPD : exécution du contrat (commande, livraison), obligation légale (facturation, conservation fiscale) ou consentement (newsletter, cookies non essentiels, profilage). Le consentement doit être libre, spécifique, informé et non équivoque. Les cases précochées, les textes illisibles ou le consentement « global » sans distinguer les finalités ne sont pas valables et peuvent être sanctionnés.
Bonne pratique : Séparez le consentement pour l’achat (nécessaire au contrat) du consentement pour les communications commerciales. Proposez des cases décochées par défaut et des liens clairs vers la politique de confidentialité avant de recueillir le consentement.
Information aux utilisateurs : politique de confidentialité (art. 13 et 14 RGPD)
Vous devez informer les personnes concernées de manière claire et accessible sur : le responsable du traitement, les données collectées, les finalités, la base légale, la durée de conservation, les droits (accès, rectification, effacement, limitation, portabilité, opposition et à ne pas faire l’objet d’une décision automatisée), les transferts internationaux et le droit de réclamation. Ces informations figurent généralement dans la politique de confidentialité, qui doit être disponible avant que l’utilisateur ne fournisse des données. Un accompagnement RGPD vous aide à la rédiger et à aligner registres et processus.
Sanctions : que se passe-t-il en cas de non-conformité
Important : Les manquements au RGPD peuvent être sanctionnés jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel (le plus élevé). L’AEPD et les autres autorités européennes infligent des amendes pour : information insuffisante, consentement invalide (cases précochées, consentement unique), cookies déposés sans consentement préalable, absence ou insuffisance du registre, violations de sécurité ou non-respect des délais pour exercer les droits. Faire auditer votre boutique au regard du RGPD réduit le risque de contrôles et de sanctions.
Cookies et tracking sur votre boutique
Les cookies d’analyse, de préférence ou publicitaires (et technologies similaires) constituent un traitement de données personnelles. Ceux qui ne sont pas strictement nécessaires au service demandé nécessitent un consentement préalable avant dépôt. Vous devez indiquer dans une politique de cookies quels cookies vous utilisez, pour quelles finalités et durées, et proposer une bannière permettant d’accepter ou refuser par catégorie (pas seulement « Tout accepter »). Une bannière sans refus possible ou sans lien vers une politique de cookies claire est l’une des causes les plus fréquentes de plaintes et d’amendes. Voir aussi notre article sur les textes légaux web et cookies.
Registre des activités et mesures de sécurité
Le RGPD exige que vous teniez un registre des activités de traitement (sauf exceptions pour entreprises de moins de 250 salariés dans certains cas) avec les finalités, catégories de données et de personnes concernées, destinataires, durées de conservation et mesures de sécurité. Vous devez aussi mettre en œuvre des mesures techniques et organisationnelles adaptées au risque (pseudonymisation, chiffrement, contrôle d’accès, formation). En e-commerce, les données de cartes sont souvent traitées par la passerelle de paiement ; vous restez responsable des données que vous traitez directement (clients, commandes, e-mails) et de la conclusion de contrats de sous-traitance avec les prestataires qui accèdent aux données personnelles.
Checklist : E-commerce et RGPD
- Politique de confidentialité à jour, claire et accessible avant collecte des données.
- Base légale définie pour chaque traitement (contrat, consentement, intérêt légitime).
- Consentement libre et non équivoque ; cases décochées par défaut pour marketing et cookies non essentiels.
- Politique de cookies et bannière avec refus ou acceptation par catégorie.
- Procédure pour exercer les droits d’accès, rectification, effacement, limitation, portabilité et opposition (délais et contact).
- Registre des activités de traitement tenu à jour.
- Désignation d’un DPO (délégué à la protection des données) si obligatoire (traitements à grande échelle, données sensibles, etc.).
Services connexes
Vous voulez mettre votre e-commerce en conformité RGPD ?
Chez Satya Legal nous vous accompagnons pour la politique de confidentialité, le registre des traitements, le consentement et les cookies afin que votre boutique soit conforme au RGPD et limite le risque de sanctions.
Contacter Satya Legal
