RGPD : Le guide de survie ultime pour les agences web.

Oui, le RGPD s'applique à tous les professionnels qui traitent des données personnelles, y compris les auto-entrepreneurs, et ce dès le premier traitement de données. Que vous collectiez des adresses email pour une newsletter, des noms pour de la facturation, ou des données de navigation via votre site web, vous êtes soumis au RGPD. Il n'existe aucun seuil minimum de chiffre d'affaires, de nombre d'employés ou de volume de données qui exempterait un professionnel. L'auto-entrepreneur doit donc tenir un registre des traitements, informer les personnes concernées, sécuriser les données et être en mesure de répondre aux demandes d'exercice de droits (accès, suppression, portabilité).

Un DPA (Data Processing Agreement), ou accord de traitement des données, est un contrat obligatoire imposé par l'article 28 du RGPD entre le responsable de traitement (celui qui détermine les finalités du traitement) et le sous-traitant (celui qui traite les données pour son compte). Pour une agence web, le DPA formalise les obligations de chaque partie concernant la protection des données personnelles : types de données traitées, mesures de sécurité, sort des données en fin de contrat, notification des violations. Son absence constitue une infraction au RGPD passible de sanctions par la CNIL. En pratique, le DPA prend la forme d'une annexe au contrat de prestation principal et doit être signé par les deux parties avant le début du traitement.

L'article 83 du RGPD prévoit deux niveaux de sanctions administratives. Pour les infractions les plus graves (violation des principes de base du traitement, des droits des personnes concernées ou des règles de transfert hors UE), l'amende peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Pour les infractions moins graves (manquements aux obligations du responsable de traitement ou du sous-traitant), l'amende peut aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. La CNIL a déjà prononcé des amendes significatives en France, notamment à l'encontre de grandes entreprises technologiques, démontrant que ces sanctions ne sont pas théoriques.

L'utilisation de Google Analytics pose de sérieux problèmes de conformité au RGPD en raison du transfert de données personnelles (adresses IP, identifiants de cookies) vers les serveurs de Google aux États-Unis. La CNIL a mis en demeure plusieurs sites français utilisant Google Analytics, estimant que les garanties de protection des données étaient insuffisantes malgré le Data Privacy Framework UE-US. Pour les agences web soucieuses de la conformité, les alternatives européennes comme Matomo (auto-hébergé ou en cloud européen) ou Plausible Analytics offrent des fonctionnalités d'analyse de trafic sans transfert de données hors UE. Si vous maintenez Google Analytics, un consentement explicite de l'utilisateur via un bandeau cookies conforme est indispensable.

Le RGPD impose le principe de limitation de la conservation : les données personnelles ne doivent pas être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées. La CNIL recommande une durée maximale de 3 ans après le dernier contact actif (dernier achat, dernière connexion, dernier clic dans un email) pour les données de prospection commerciale. Pour les données liées à un contrat, elles peuvent être conservées pendant la durée de la relation contractuelle, puis archivées pendant les délais de prescription légaux (5 ans en matière civile, 10 ans en matière comptable). Au-delà de ces durées, les données doivent être supprimées ou anonymisées de manière irréversible.