RGPD et WordPress : êtes-vous vraiment concerné ?
Oui, si votre site WordPress collecte des données personnelles de résidents européens — ce qui est le cas dès lors que vous avez un formulaire de contact, Google Analytics, des commentaires ou une boutique WooCommerce. Le RGPD (Règlement Général sur la Protection des Données) est en vigueur depuis mai 2018 et les sanctions peuvent aller jusqu'à 4% du chiffre d'affaires mondial annuel.
Ce que vous devez mettre en place
1. Politique de confidentialité
Obligatoire. Doit expliquer clairement : quelles données vous collectez, pourquoi, combien de temps vous les conservez, qui y a accès, et comment les utilisateurs peuvent exercer leurs droits. WordPress inclut un générateur basique (Réglages → Confidentialité), mais il doit être personnalisé selon vos usages réels.
2. Bandeau cookies conforme
Requis avant tout dépôt de cookie non strictement nécessaire (analytics, publicité, réseaux sociaux). Le consentement doit être :
- Libre : refuser doit être aussi simple qu'accepter
- Éclairé : l'utilisateur doit savoir à quoi il consent
- Non pré-coché
- Révocable à tout moment
Plugins recommandés : Complianz, CookieYes ou Axeptio (solution française). Les solutions gratuites type "Cookie Notice" sans granularité par catégorie ne sont pas conformes selon la CNIL.
3. Formulaires de contact conformes
Tout formulaire collectant des données personnelles doit inclure :
- Une case à cocher (non pré-cochée) pour le consentement à l'utilisation des données
- Un lien vers votre politique de confidentialité
- La durée de conservation des données
Contact Form 7, WPForms et Gravity Forms supportent ces ajouts nativement ou via module.
4. Durée de conservation des données
Vous ne pouvez pas conserver les données personnelles indéfiniment. Définissez et appliquez des durées :
- Prospects (formulaire contact) : 3 ans maximum après le dernier contact
- Clients WooCommerce : durée légale de conservation des données comptables (10 ans)
- Commentaires de blog : définir une politique de modération et suppression
5. Sous-traitants et registre des traitements
Vous devez tenir un registre des traitements de données. Listez : Google Analytics, votre hébergeur, votre outil d'emailing (Mailchimp, Brevo...), votre passerelle de paiement. Vérifiez que chacun propose un DPA (Data Processing Agreement) signé.
Google Analytics et RGPD : le cas spécifique
L'utilisation de Google Analytics 4 (GA4) avec les paramètres par défaut envoie des données vers des serveurs aux États-Unis. La CNIL a émis des recommandations pour rendre GA4 compatible RGPD :
- Activer l'anonymisation des IP (désormais par défaut dans GA4)
- Désactiver le partage de données avec Google pour la publicité
- Utiliser la fonctionnalité de consentement conditionnel (Consent Mode v2)
- Alternative : Matomo hébergé en France (conforme RGPD par défaut)
WooCommerce : obligations spécifiques
- Permettre aux clients de télécharger et supprimer leurs données (WooCommerce → Réglages → Avancé → Confidentialité)
- Ne pas stocker les numéros de carte bancaire sur votre serveur
- Chiffrer les données de commande sensibles
- Traitement des remboursements et suppression de compte client conforme
Notre service de mise en conformité
La mise en conformité RGPD d'un site WordPress est un processus continu. Notre équipe peut auditer votre site, identifier les non-conformités et mettre en place les mesures correctives. Nous travaillons avec des juristes spécialisés pour les situations complexes.