RGPD et e-commerce : les points de conformité d'une boutique en ligne

Comptes clients et minimisation

La création de compte doit se limiter aux données nécessaires à la commande et à la livraison. Multiplier les champs obligatoires « pour mieux connaître le client » va à l'encontre du principe de minimisation. Proposer une commande en tant qu'invité, sans création de compte imposée, est une bonne pratique.

Paiement et sécurité

Les données de paiement sont particulièrement sensibles. En pratique, elles doivent transiter par un prestataire de paiement conforme (standard PCI-DSS) plutôt que d'être stockées par la boutique. Le site doit être en HTTPS de bout en bout, et l'obligation de sécurité de l'article 32 s'applique pleinement.

Beaucoup de prestataires de paiement proposent une « tokenisation » : le numéro de carte est remplacé par un jeton technique pour les paiements futurs, ce qui évite à la boutique de stocker elle-même une donnée sensible tout en conservant un paiement en un clic pour le client.

Prospection et newsletters

L'envoi de newsletters et d'offres suppose en principe le consentement du destinataire. Une exception encadre le « client existant » : vous pouvez le solliciter pour des produits analogues, à condition qu'il ait pu s'y opposer facilement au moment de la collecte et dans chaque message. Les cases pré-cochées d'inscription à la newsletter ne sont pas valables.

Un cas fréquent sur les boutiques en ligne : une case newsletter pré-cochée au moment du paiement, ou une inscription automatique dès la création de compte. Dans les deux cas, le consentement n'est pas valablement recueilli — la case doit être décochée par défaut, et la création de compte ne doit jamais entraîner une inscription implicite à la newsletter.

Cookies, pixels et reciblage

L'e-commerce est un gros consommateur de traceurs : mesure d'audience, pixels publicitaires, reciblage, A/B testing. Tous ces traceurs non essentiels exigent un consentement préalable, et aucun ne doit se charger avant le choix du visiteur. C'est le point le plus souvent défaillant sur les boutiques en ligne.

L'analyse automatisée est particulièrement utile ici : elle révèle en quelques secondes les pixels et scripts déclenchés avant consentement, ainsi que les transferts hors UE associés.

Les documents et durées à ne pas oublier

• Une politique de confidentialité reflétant les traitements réels (compte, paiement, marketing, cookies).
• Des mentions légales complètes et des CGV.
• L'information sur chaque formulaire (finalité + lien vers la politique).
• Des durées de conservation définies (compte inactif, prospects, historiques).
• Des contrats de sous-traitance avec l'hébergeur, le prestataire de paiement, l'outil d'e-mailing.

Livraison et avis clients : deux points souvent oubliés

La livraison implique le partage de l'adresse et parfois du téléphone avec un transporteur : c'est un sous-traitant supplémentaire, à intégrer au registre et couvert par un contrat conforme à l'article 28, comme n'importe quel autre prestataire.

La collecte d'avis clients pose sa propre question de transparence : informer que l'avis pourra être publié (avec ou sans le nom complet), et prévoir la possibilité de le faire retirer sur demande.

Cas pratique : la relance de panier abandonné

La relance d'un panier abandonné est l'un des e-mails automatiques les plus utilisés en e-commerce — et l'un des plus souvent mal encadrés. Techniquement, elle suppose de connaître l'adresse e-mail d'un visiteur avant même qu'il n'ait finalisé sa commande, généralement saisie dès l'étape d'identification ou de livraison.

Pour rester conforme, cet usage doit être annoncé au moment où l'adresse est collectée — une simple phrase suffit (« nous pourrons vous recontacter si votre commande reste incomplète ») — et l'e-mail de relance doit permettre de s'y opposer facilement, par un lien dédié à ce type de message, distinct de la newsletter.

• Informer dès la première étape que l'adresse peut servir à une relance.
• Proposer un moyen simple de refuser ce type de message, séparé du consentement newsletter.
• Fixer une durée de conservation courte pour les paniers non convertis (quelques semaines, pas indéfiniment).

Avis clients : transparence RGPD et réglementation spécifique

Au-delà du RGPD, la collecte d'avis clients est encadrée par une réglementation propre à l'information des consommateurs, qui impose d'indiquer si les avis publiés sont vérifiés et selon quelle méthode (achat confirmé, modération, délai de publication). Ce sujet est distinct de la protection des données mais s'y recoupe : la personne qui laisse un avis reste titulaire de ses droits sur les données associées (nom affiché, contenu, date).

Concrètement : informez le client, au moment de la sollicitation, que son avis pourra être publié et sous quelle forme (nom complet, initiale, anonyme) ; prévoyez une procédure simple pour qu'il puisse demander le retrait de son avis ; et ne réutilisez pas les coordonnées collectées pour l'avis à une autre fin marketing sans base légale distincte.