Comment mettre son site WordPress en conformité RGPD ?
Mettre un site WordPress en conformité RGPD consiste à cartographier les données personnelles collectées (formulaires, commentaires, cookies), informer les visiteurs via une politique de confidentialité claire, recueillir leur consentement avant tout cookie non essentiel, et sécuriser ces données. Aucun plugin ne suffit seul : la conformité repose d’abord sur une démarche documentée, pas sur une simple extension installée.
Mettre un site WordPress en conformité RGPD, c’est cartographier les données collectées, informer les visiteurs, recueillir leur consentement pour les cookies non essentiels, sécuriser les données et prévoir la procédure pour répondre à leurs demandes.
RGPD et site WordPress : de quoi parle-t-on exactement ?
Le Règlement général sur la protection des données encadre toute collecte de données personnelles concernant un résident européen, quelle que soit la taille du site ou de l’entreprise qui l’édite. Un site vitrine WordPress avec un simple formulaire de contact est déjà concerné dès qu’il enregistre un nom, un e-mail ou une adresse IP.
Toute information qui permet d’identifier une personne, directement ou non (nom, e-mail, IP, cookie).
Toute opération sur cette donnée : collecte, stockage, envoi à un outil tiers, suppression.
L’entreprise ou l’indépendant qui édite le site — c’est elle qui répond des obligations, pas son prestataire technique.
La CNIL rappelle que le RGPD s’applique dès la première donnée collectée, sans seuil de taille d’entreprise ni de trafic minimal.
Quelles obligations RGPD s’appliquent concrètement à un site WordPress ?
Cinq obligations reviennent systématiquement, quel que soit le secteur d’activité du site :
- Informer les visiteurs sur les données collectées, leur finalité et leur durée de conservation, via une politique de confidentialité accessible depuis chaque page.
- Recueillir un consentement explicite avant tout dépôt de cookie ou traceur non strictement nécessaire au fonctionnement du site.
- Limiter la collecte aux données réellement utiles à la finalité annoncée (principe de minimisation).
- Sécuriser les données contre l’accès non autorisé, la perte ou la fuite.
- Permettre l’exercice des droits des personnes : accès, rectification, suppression et opposition à leurs données.
Ces obligations s’ajoutent aux mentions légales classiques déjà exigées pour tout site professionnel en France (identité de l’éditeur, hébergeur, directeur de publication).
Une sixième obligation, souvent oubliée, concerne le registre des traitements : un document interne, pas forcément publié sur le site, qui liste chaque traitement de données (formulaire, newsletter, analytics), sa finalité et sa durée de conservation. Pour une TPE ou un indépendant, un tableau d’une page suffit généralement — l’essentiel est qu’il existe et reste à jour au fil des évolutions du site.
Quelles données WordPress collecte-t-il par défaut ?
Avant d’écrire la moindre ligne de politique de confidentialité, il faut savoir précisément ce que le site collecte réellement — un audit que beaucoup de sites sautent, en copiant une politique générique trouvée ailleurs. Un même site WordPress cumule souvent plusieurs sources de collecte sans que son éditeur en ait une vue d’ensemble : le thème, chaque plugin actif et les intégrations tierces (paiement, chat, réseaux sociaux) peuvent chacun déposer leurs propres cookies ou envoyer des données à un serveur externe.
| Source | Données concernées | Action requise |
|---|---|---|
| Commentaires | Nom, e-mail, IP, avatar (via Gravatar, qui transmet le hash de l’e-mail) | Case à cocher pour la conservation, mention dans la politique |
| Formulaires de contact | Nom, e-mail, téléphone, message | Finalité précisée, durée de conservation définie |
| Outils d’analyse (Google Analytics, Matomo) | Adresse IP, comportement de navigation, identifiants | Consentement préalable sauf configuration exemptée |
| Newsletter | E-mail, parfois prénom | Consentement explicite, lien de désinscription visible |
| Cookies de connexion admin | Identifiant de session | Exemptés de consentement (strictement nécessaires) |
Comment mettre son site en conformité, étape par étape ?
- 1. Auditer les données réellement collectéesLister chaque formulaire, plugin de commentaires, outil d’analyse et intégration tierce (paiement, newsletter, chat) et la donnée qu’il enregistre.
- 2. Rédiger une politique de confidentialité spécifique au siteFinalités, bases légales, durées de conservation et destinataires réels — jamais un modèle copié tel quel sur un autre site.
- 3. Compléter les mentions légalesIdentité de l’éditeur, hébergeur, directeur de publication, et coordonnées pour exercer ses droits.
- 4. Installer un bandeau de consentement cookies conformeRefus aussi simple que l’acceptation, aucune case pré-cochée, blocage effectif des traceurs avant le clic.
- 5. Sécuriser l’accès et l’hébergement des donnéesCertificat SSL, mots de passe robustes, mises à jour régulières — voir notre guide pour sécuriser son site WordPress.
- 6. Prévoir la procédure de réponse aux demandes des visiteursUn canal de contact identifié et un délai de réponse (un mois maximum) pour toute demande d’accès ou de suppression.
Quels plugins choisir pour la conformité RGPD sur WordPress ?
Un plugin de gestion du consentement (CMP) automatise le blocage des scripts tant que le visiteur n’a pas répondu, et journalise les consentements donnés — une preuve utile en cas de contrôle.
| Plugin | Points forts | Idéal pour |
|---|---|---|
| Axeptio | Interface simple, journal de preuve de consentement intégré | Sites vitrines et TPE sans équipe technique |
| Complianz | Génère aussi la politique de confidentialité et les mentions légales | Sites qui veulent tout centraliser dans un seul outil |
| tarteaucitron.js | Gratuit, open source, très personnalisable techniquement | Équipes avec des compétences en développement |
Un plugin ne dispense jamais d’auditer soi-même les traceurs réellement présents sur le site : un CMP mal configuré peut laisser passer des scripts avant même que le visiteur ait répondu.
Quelles erreurs RGPD éviter sur un site WordPress ?
Bonnes pratiques
- Politique de confidentialité rédigée pour le site, pas copiée ailleurs.
- Formulaires limités aux champs réellement nécessaires.
- Registre simple des traitements tenu à jour.
Erreurs fréquentes
- Case de consentement pré-cochée sur les formulaires.
- Google Analytics activé avant tout consentement.
- Politique de confidentialité générique, jamais relue depuis sa mise en ligne.
Ce que nous observons chez les projets que nous accompagnons
Voici un exemple représentatif de notre pratique, sans donnée client ni chiffre inventé.
La politique de confidentialité copiée-collée est l’erreur la plus fréquente
Chez Amari Agency, quand nous auditons un site WordPress existant, la politique de confidentialité mentionne presque toujours des outils que le site n’utilise pas (ou plus) et omet des traceurs réellement actifs — signe qu’elle a été copiée sur un autre site sans être adaptée. Un audit des scripts réellement chargés en page, avec les outils de développement du navigateur, prend moins d’une heure et évite ce décalage.
Quels contenus lire ensuite ?
Ces ressources complètent ce guide sans cibler la même requête :
Questions fréquentes sur la conformité RGPD WordPress
Le RGPD s’applique-t-il à un petit site vitrine sans boutique en ligne ?
Oui, dès qu’un formulaire de contact ou un système de commentaires enregistre un nom ou un e-mail, le site traite des données personnelles et doit respecter le règlement, quelle que soit sa taille.
Faut-il désigner un délégué à la protection des données (DPO) pour un site WordPress ?
Non, le DPO n’est obligatoire que pour certains organismes publics ou les traitements à grande échelle de données sensibles ; la majorité des sites WordPress d’entreprise n’y sont pas soumis, mais un point de contact identifié reste nécessaire.
Google Analytics est-il compatible avec le RGPD ?
Il peut l’être si le consentement est recueilli avant activation et si la configuration respecte les recommandations de la CNIL ; en mode par défaut sans consentement préalable, son usage n’est pas conforme.
Que risque un site WordPress non conforme au RGPD ?
La CNIL peut prononcer une mise en demeure puis une sanction financière, dont le montant dépend de la gravité et de la taille de la structure ; les petites structures reçoivent le plus souvent d’abord un rappel à la conformité.
Un plugin payant est-il indispensable pour être conforme ?
Non, des solutions gratuites comme tarteaucitron.js couvrent les besoins d’un site simple ; un plugin payant apporte surtout du confort de configuration et une génération automatique de documents.