Votre site collecte des e-mails, trace la navigation, envoie des données à HubSpot ou Google — mais personne n'a jamais vraiment vérifié si tout cela est légal. Résultat : bannière cookies cosmétique, formulaires sans base légale, registre inexistant. Un site qui ne respecte pas le RGPD expose votre entreprise à des amendes, à la perte de confiance B2B et à l'impossibilité d'exploiter vos données marketing.
Ce n'est pas réservé aux multinationales. En 2026, la CNIL contrôle régulièrement des PME lilloises, des e-commerces de la MEL et des sites de génération de leads en Hauts-de-France. La bonne nouvelle : la conformité se corrige par étapes, avec un diagnostic clair et des priorités réalistes.
Chez Apresta, nous auditons des stacks marketing chaque trimestre. Voici comment reconnaître les signes de non-conformité, comprendre les causes, corriger sans paralyser votre acquisition — et éviter que le problème revienne.
Symptômes : comment savoir que votre site n'est pas conforme RGPD
Un site non conforme ne s'annonce pas avec une alerte rouge. Il laisse des indices concrets : bannière cookies avec bouton « Accepter » proéminent et refus caché ou absent, Google Analytics, Meta Pixel ou Hotjar actifs avant tout consentement, formulaire contact sans mention de finalité ni lien vers la politique de confidentialité, newsletter avec case précochée ou inscription automatique après achat, politique de confidentialité générique datant de 2019, pas de registre des traitements ni de procédure pour les demandes d'effacement, CRM alimenté sans preuve horodatée du consentement, sous-traitants (Mailchimp, Salesforce, Stripe) sans DPA signé, client B2B ou partenaire qui demande votre documentation RGPD — et vous n'avez rien à fournir.
Si votre équipe marketing dit « on a mis Axeptio, c'est bon » sans audit des scripts réels, vous êtes probablement à mi-chemin — pas au bout.
Ordre de gravité : scripts marketing avant consentement et absence de base légale documentée sont les deux risques les plus fréquents chez les PME que nous accompagnons à Lille.
Causes : pourquoi tant de sites restent non conformes
La non-conformité RGPD sur un site web vient rarement d'une mauvaise intention. L'empilement d'outils en est une cause majeure : chaque campagne ajoute un pixel, un chat, un A/B test — sans mise à jour du registre. La CMP mal configurée installe une bannière, mais les scripts se chargent quand même via Google Tag Manager. La confusion des rôles laisse l'agence web livrer le site, le marketing brancher les outils, et personne n'est « responsable RGPD ». Les modèles obsolètes (bannière « continuer = accepter », analytics sans consent mode) persistent. Beaucoup sous-estiment les données : l'adresse IP, l'identifiant de session ou le comportement de navigation peuvent être des données personnelles. La pression acquisition crée une peur de perdre du tracking si on demande vraiment le consentement. Enfin, le juridique déconnecté du technique produit des politiques rédigées par un avocat, jamais alignées sur la stack réelle.
Une PME de services à Roubaix avait cinq traceurs actifs après arrêt de toutes les campagnes publicitaires. Collecte silencieuse, ralentissement mobile, risque CNIL — le tout corrigé en une journée une fois cartographié.
Diagnostic : audit RGPD en 7 points (urgent / important / plus tard)
Avant de tout refaire, classez vos écarts. À traiter sous 30 jours : scripts marketing ou analytics non bloqués avant consentement, absence de politique de confidentialité à jour et accessible, formulaires sans information sur la finalité et les droits, bases e-mail importées ou reprises sans consentement prouvable.
Sous 90 jours : registre des traitements complet et à jour, DPA signés avec tous les sous-traitants techniques, procédure interne pour répondre aux demandes (accès, effacement) sous 30 jours, CMP avec journal des consentements exportable, revue des durées de conservation CRM et newsletter.
Amélioration continue : formation équipes marketing et commerciales, revue trimestrielle à chaque nouvel outil, analytics first-party ou consent mode v2 optimisé, audit externe annuel si secteur sensible (santé, finance, RH).
Méthode en cinq étapes : scannez les cookies et scripts avec votre CMP ou un outil dédié (CookieMetrix, DevTools réseau). Croisez avec votre registre : chaque traitement a-t-il une base légale (consentement, contrat, intérêt légitime encadré) ? Vérifiez la cohérence bannière ↔ politique cookies ↔ politique confidentialité. Testez le parcours utilisateur : refuser les cookies — les scripts marketing s'arrêtent-ils vraiment ? Documentez les preuves : captures, exports consentement, versions datées des politiques.
Pour le volet cookies en détail, voir notre guide RGPD et cookies en 2026.
Corrections prioritaires : par où commencer concrètement
Bandeau cookies et CMP
Choisissez ou reconfigurez une CMP qui bloque réellement les scripts (Axeptio, Didomi, Cookiebot…). Définissez des catégories granulaires : nécessaires / statistiques / marketing / personnalisation. Le refus doit être aussi simple que l'acceptation — pas de dark pattern. Ajoutez un lien persistant « Gérer mes cookies » en footer. Renouvelez le consentement tous les 6 mois si recommandé par votre CMP.
Budget CMP PME France 2026 : 0 à 50 €/mois (petit site) à 200–500 €/mois (e-commerce multi-pays).
Formulaires, newsletter et CRM
Limitez les champs au strict nécessaire. Cases opt-in non précochées, séparées par finalité. Mention RGPD avec lien politique au moment de la collecte. Double opt-in recommandé pour l'e-mail marketing. Preuve horodatée du consentement stockée en CRM. Process d'effacement documenté et testé.
Pages légales et gouvernance
Politique de confidentialité couvrant tous les traitements (site, CRM, recrutement, SAV). Politique cookies listant chaque traceur, finalité, durée, destinataire. Registre des activités de traitement tenu à jour. DPA avec hébergeur, CRM, outils marketing. Désignation d'un responsable interne (DPO externe si besoin).
Coût global indicatif mise en conformité PME vitrine + CRM : 1 500 à 4 000 € (juridique + technique). E-commerce avec stack complexe : 5 000 à 12 000 €.
SEO et performance : compatibles avec le RGPD
Conformité et acquisition ne s'opposent pas. Google Analytics 4 avec consent mode v2 modélise le trafic sans cookies. Moins de scripts avant consentement améliore souvent les Core Web Vitals. Search Console reste indépendante du consentement cookies. Le remarketing exige un consentement catégorie marketing explicite.
Notre équipe SEO et acquisition intègre ces contraintes dès la stratégie de mesure.
Prévention : rester conforme après la correction
La conformité RGPD est un processus vivant, pas un projet ponctuel. Appliquez la règle « un outil = une revue » : tout nouveau script, widget ou intégration passe par validation RGPD avant mise en production. Planifiez une revue trimestrielle : scan cookies, mise à jour registre, test refus consentement. Formez marketing et commerciaux : ce qu'on peut et ne peut pas faire avec les leads. Rendez la clause DPA obligatoire dans les contrats prestataires. Archivez les preuves de consentement minimum 5 ans en pratique courante. Suivez la veille CNIL pour adapter la bannière si les modèles évoluent.
Une TPE e-commerce de la métropole lilloise a instauré une checklist « RGPD OK » avant chaque campagne Meta. Zéro incident depuis 18 mois, tracking marketing exploitable et documenté.
Risques si vous ne corrigez pas
Les conséquences d'un site non conforme dépassent l'amende. Sanctions CNIL : ordre de grandeur 5 000 à 90 000 € pour PME selon gravité et récidive. Blocage commercial B2B : donneurs d'ordre exigent DPA, registre, preuves — sans conformité, vous perdez des appels d'offres. Données marketing inutilisables : audiences remarketing, listes lookalike invalides si consentement absent. Atteinte réputationnelle : signalement, bad buzz, perte de confiance clients. Responsabilité dirigeant : le responsable de traitement, c'est vous — pas uniquement l'agence.
Le coût de la correction est presque toujours inférieur au coût d'une sanction ou d'une campagne marketing entière à reconstruire sur des bases illégales.
FAQ
Mon site vitrine avec un formulaire contact est-il vraiment concerné par le RGPD ?
Oui. Dès que vous collectez un nom, un e-mail ou un numéro de téléphone, vous traitez des données personnelles. Le RGPD s'applique — même sans e-commerce ni newsletter. Finalité, information des personnes et sécurité des données sont obligatoires.
Une bannière « J'accepte les cookies » suffit-elle en 2026 ?
Non. Il faut un refus aussi accessible, des catégories détaillées, un blocage réel des scripts non essentiels avant consentement, et des pages légales cohérentes. Les modèles 2020–2022 avec case précochée ou bouton unique sont obsolètes.
Qui est responsable : moi, mon agence ou mon hébergeur ?
Vous êtes responsable de traitement pour les données de vos visiteurs et clients. L'agence et l'hébergeur sont généralement sous-traitants. Vérifiez les contrats et signez des DPA — ne déléguez pas la conformité sans cadre écrit.
Combien de temps pour rendre un site PME conforme ?
Comptez 4 à 12 semaines selon la complexité : audit (1 semaine), correction technique CMP et scripts (2–4 semaines), pages légales et registre (2–4 semaines), gouvernance interne (continu). Un site vitrine simple peut être corrigé en 3 à 4 semaines avec priorités claires.
Le RGPD empêche-t-il d'utiliser Google Analytics et le remarketing ?
Non, mais ces outils exigent un consentement explicite pour les cookies non essentiels. GA4 avec consent mode, remarketing avec catégorie marketing acceptée, documentation à jour — c'est utilisable légalement si bien configuré.
Et maintenant ?
Un site qui ne respecte pas le RGPD n'est pas une fatalité — c'est un état corrigeable avec méthode. Commencez par l'audit urgent (scripts avant consentement, formulaires, pages légales), puis enchaînez registre, DPA et gouvernance. Chaque semaine de retard accumule des données potentiellement inexploitables et un risque croissant.
Si vous êtes une TPE ou PME à Lille ou en Hauts-de-France et que vous voulez un diagnostic cookies + formulaires + plan priorisé sans jargon inutile, nous pouvons auditer votre stack et identifier les corrections à ROI rapide.
Expertise SEO et acquisition · Agence web à Lille · RGPD et cookies : bonnes pratiques 2026 · Remarketing et retargeting · Sécurité web 2026 · Demander un échange