RGPD sur un site WordPress : cookies, formulaires et réglages
Dès que ton site collecte une adresse e-mail, dépose un cookie de mesure ou affiche une vidéo intégrée, le RGPD (Règlement général sur la protection des données) s’applique. Bonne nouvelle : WordPress fournit déjà des outils, et quelques réglages couvrent l’essentiel pour un petit site. Ce qui suit est une information générale, pas un conseil juridique : pour ta situation précise, la référence reste le site de la CNIL.
Le bandeau de consentement
En France, la CNIL applique les règles sur les cookies et traceurs à travers ses lignes directrices et sa recommandation. Les principes à retenir :
- pas de traceur non essentiel avant le consentement : publicité, réseaux sociaux, la plupart des outils de mesure et de marketing attendent l’accord du visiteur ;
- refuser doit être aussi simple qu’accepter : un bouton « Tout refuser » au même niveau et aussi visible que « Tout accepter » ;
- une information claire sur les finalités et les partenaires ;
- un retrait du consentement possible à tout moment, par exemple via un lien permanent en pied de page ;
- la conservation du choix pendant une durée limitée, pour ne pas reposer la question à chaque page.
Les cookies strictement nécessaires (panier, session de connexion, mémorisation du choix de consentement lui-même) n’ont pas besoin d’accord.
Les extensions de consentement
Il existe de nombreuses extensions pour afficher le bandeau et bloquer les scripts tant que le visiteur n’a pas choisi :
| Extension | Points forts |
|---|---|
| Complianz | Assistant de configuration, détection des cookies, génération de politiques, version gratuite et version premium |
| CookieYes | Interface simple, analyse des cookies, fonctionne avec un compte en ligne |
| Tarteaucitron | Solution libre d’origine française, appréciée pour sa sobriété, intégrée via extension ou script |
Quel que soit ton choix, l’essentiel est le réglage : vérifie qu’aucun traceur ne se charge avant l’accord. Ouvre ton site en navigation privée, puis regarde dans les outils de développement de ton navigateur (onglet Stockage ou Application) quels cookies apparaissent avant tout clic. Les fonctions évoluent d’une version à l’autre : consulte la documentation officielle de l’extension retenue.
Les formulaires
Chaque formulaire collecte des données personnelles. Trois réflexes :
- la minimisation : ne demande que ce qui sert vraiment. Pour une demande de contact, un nom, une adresse e-mail et un message suffisent souvent ; le téléphone peut être facultatif ;
- l’information : une phrase sous le formulaire qui dit à quoi servent les données et renvoie à ta politique de confidentialité ;
- la durée de conservation : beaucoup d’extensions enregistrent les messages dans la base en plus de les envoyer par e-mail. Si tu n’en as pas besoin, désactive cet enregistrement ou programme une suppression automatique.
Une case à cocher n’est nécessaire que si tu demandes un consentement distinct, par exemple pour l’inscription à une lettre d’information : elle ne doit jamais être pré-cochée. Notre comparatif des extensions de formulaire précise lesquelles gèrent la conservation.
L’outil de confidentialité intégré à WordPress
WordPress propose plusieurs outils natifs, souvent ignorés :
- Réglages > Confidentialité : choisis ou crée la page de politique de confidentialité. WordPress fournit un modèle et un guide qui rassemble les suggestions de texte du cœur et de certaines extensions. C’est une base à compléter, pas un texte prêt à publier ;
- Outils > Exporter les données personnelles : génère, à la demande d’une personne, un fichier de ce que le site détient sur elle (commentaires, compte, commandes avec WooCommerce, données déclarées par les extensions compatibles) ;
- Outils > Effacer les données personnelles : traite une demande de suppression, après confirmation par e-mail de la personne concernée.
Les commentaires
Les commentaires enregistrent un nom, une adresse e-mail et l’adresse IP de l’auteur. WordPress affiche une case pour mémoriser ces informations dans un cookie, non cochée par défaut. Si tu utilises un service d’avatars (Gravatar) ou un filtre anti-spam externe, mentionne-le dans ta politique de confidentialité. Et si les commentaires ne te servent pas, désactive-les dans Réglages > Discussion.
Google Fonts et autres ressources externes
Beaucoup de thèmes chargent leurs polices directement depuis les serveurs de Google, ce qui transmet l’adresse IP du visiteur à un tiers. Une décision de justice allemande de 2022 a rendu ce point sensible en Europe. La solution la plus simple consiste à héberger les polices sur ton propre serveur : de nombreux thèmes le proposent dans leurs réglages, et des extensions savent rapatrier les polices automatiquement. Le même raisonnement vaut pour les vidéos intégrées (préfère un mode sans cookies ou un chargement au clic) et les cartes.
La mesure d’audience exemptée
La CNIL admet que certains outils de mesure d’audience fonctionnent sans consentement, sous conditions : finalité strictement limitée à la mesure, données non recoupées avec d’autres traitements, durée de vie des traceurs limitée, données non transmises à des tiers à d’autres fins, et une information des visiteurs avec la possibilité de s’opposer. La CNIL publie une liste d’outils pouvant être configurés de cette façon ; le réglage reste de ta responsabilité. Google Analytics, dans sa configuration habituelle, ne relève pas de cette exemption et passe par le bandeau.
La liste de contrôle
- politique de confidentialité à jour et liée en pied de page ;
- mentions légales complètes ;
- bandeau avec bouton de refus, aucun traceur avant consentement ;
- formulaires minimalistes et durée de conservation définie ;
- polices hébergées localement ;
- sauvegardes et sécurité en ordre : protéger les données fait aussi partie de tes obligations.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.