RGPD e-commerce : organiser les données de la boutique
Commandes, paiement, prospection, cookies, archives et droits clients : les décisions RGPD à documenter pour une boutique en ligne française.
- Ce qu’il faut retenir
- 1. Construire un registre par finalité
- 2. Séparer les bases légales
- 3. Distinguer messages de service et prospection
- 4. Limiter les données de paiement
- 5. Fixer les échéances et organiser les archives
- 6. Encadrer les fournisseurs et les demandes de droits
- 7. Préparer les incidents et les usages à risque
- Questions fréquentes
Pour mettre une boutique en ligne en conformité avec le RGPD, suivez les données du premier contact jusqu’à leur suppression. Les commandes, les publicités et les archives comptables n’ont ni la même finalité, ni nécessairement la même base légale ou la même durée. Le travail consiste à organiser ces différences dans les outils et dans les procédures de l’équipe.
Ce qu’il faut retenir
- Un compte client ne constitue pas un consentement général au marketing.
- Une durée unique pour toutes les données de la boutique conduit à conserver trop ou à supprimer des pièces utiles.
- Les prestataires doivent être qualifiés selon leurs traitements réels ; ils ne sont pas tous sous-traitants.
- Le délai de réponse aux droits est en principe d’un mois. Une violation doit être évaluée pour décider des notifications.
1. Construire un registre par finalité
Distinguez la vente et la livraison, le compte client, les obligations comptables, la prospection, les avis, la sécurité et les éventuels dispositifs antifraude. Une boutique peut utiliser le même logiciel pour plusieurs traitements. À l’inverse, une commande peut traverser plusieurs logiciels.
Le registre du responsable de traitement contient les éléments de l’article 30(1) du RGPD, notamment finalités, catégories de personnes et de données, destinataires, transferts, échéances d’effacement et description générale des mesures de sécurité lorsque possible. Ajoutez les bases légales et les coordonnées des responsables opérationnels pour en faire un outil de travail.
La dérogation pour les organismes de moins de 250 salariés est limitée par l’article 30(5), notamment pour les traitements non occasionnels. La gestion habituelle des clients d’une boutique n’est pas occasionnelle. La fiche CNIL sur le registre précise ce périmètre.
2. Séparer les bases légales
| Traitement | Base à examiner | Décision pratique |
|---|---|---|
| Exécuter une commande | Art. 6(1)(b) | Ne collecter que ce qui est nécessaire au contrat |
| Conserver une pièce comptable imposée par la loi | Art. 6(1)(c) | Identifier le texte, la pièce et sa durée |
| Sécuriser les comptes ou prévenir une fraude | Art. 6(1)(f), selon le dispositif, ou obligation précisément identifiée | Documenter nécessité, proportionnalité et garanties |
| Prospection et personnalisation | Base adaptée à l’usage, avec les règles spéciales applicables | Distinguer consentement, opposition et conditions d’une éventuelle exception |
La lutte contre la fraude n’est pas automatiquement une obligation légale du marchand. Des statistiques réellement anonymes sortent du champ des données personnelles ; leur production à partir de données identifiantes demeure un traitement à examiner. Les critères de licéité et de minimisation figurent aux articles 5(1)(c) et 6(1) du RGPD.
Ne demandez pas au client de « consentir au RGPD » pour pouvoir commander. Expliquez les traitements nécessaires, puis proposez séparément les choix facultatifs. Pour l’information, prévoyez un texte bref au point de collecte et une notice détaillée couvrant les articles 13(1)–(2), ou 14 lorsque les données proviennent d’un tiers.
3. Distinguer messages de service et prospection
La confirmation de commande ou une information nécessaire sur une livraison peut relever du service demandé. L’ajout d’une promotion peut changer l’analyse. Pour la prospection électronique vers des particuliers, l’accord préalable est le principe ; l’exception client concerne, sous conditions, des produits ou services analogues fournis par la même entreprise, avec une opposition possible à la collecte et à chaque envoi. CNIL, communications électroniques, 10 juin 2026.
Conservez la preuve correspondant à la règle utilisée : texte du choix, date, finalité et canal, ou éléments établissant l’exception et l’information fournie. Vérifiez la propagation d’un désabonnement vers les campagnes déjà programmées. Le guide sur la prospection de produits analogues auprès des clients permet de délimiter cette exception.
Pour les cookies, classez chaque traceur selon sa finalité. Ne transformez pas la recommandation d’une durée propre à certains dispositifs en une règle générale de treize mois pour tous les cookies. Contrôlez le comportement avant choix, après refus et après retrait ; les règles sur les cookies détaillent ce contrôle.
4. Limiter les données de paiement
Faites préciser par le prestataire ce que votre boutique reçoit : numéro complet, jeton, quatre derniers chiffres ou simple statut. Limitez les accès et les journaux. La présence d’un prestataire spécialisé ne justifie pas une copie supplémentaire de la carte dans un ticket d’assistance.
La CNIL rappelle que le cryptogramme ne doit pas être conservé après la première transaction. La mémorisation destinée à faciliter des achats ultérieurs repose en principe sur un consentement distinct. Elle prévoit un cas particulier pour certains abonnements facilitant les achats, avec information, opposition et garanties ; un simple compte ou programme de fidélité ne suffit pas. Les conservations nécessaires au paiement ou à la preuve répondent à des finalités distinctes. CNIL, paiement à distance par carte bancaire.
5. Fixer les échéances et organiser les archives
L’affirmation « cinq ans pour les obligations comptables » est incorrecte : les documents comptables et pièces justificatives se conservent dix ans selon l’article L123-22 du Code de commerce. Cette durée n’est pas celle de l’intégralité d’un compte client. De même, une recommandation de prospection ne devient pas automatiquement la durée de tous les comptes.
Pour chaque catégorie, inscrivez la finalité, le point de départ, l’échéance, les exceptions et le lieu d’archivage. Une commande soumise à une garantie, une réclamation ouverte et un panier abandonné doivent pouvoir suivre des règles différentes. Limitez les archives aux pièces utiles et aux personnes habilitées. Le guide sur l’effacement client et les pièces comptables aide à préserver les justificatifs sans maintenir inutilement le profil commercial.
6. Encadrer les fournisseurs et les demandes de droits
Vérifiez le rôle du prestataire de paiement, du transporteur, des outils publicitaires et de la plateforme. Une même société peut agir pour votre compte sur un traitement et poursuivre ses propres finalités sur un autre. Lorsqu’il existe une sous-traitance, appliquez l’article 28(3) du RGPD. Pour les transferts, examinez les articles 44 à 49 en tenant compte des accès effectifs, pas uniquement de l’adresse de l’hébergeur.
Organisez une adresse de réception des demandes, un responsable et une procédure de recherche dans les systèmes. Le délai de principe est un mois, avec les conditions de prolongation de l’article 12(3). Une pièce d’identité n’est pas exigible automatiquement : des informations complémentaires peuvent être demandées en cas de doutes raisonnables, selon l’article 12(6). Les droits ont des conditions propres ; l’effacement peut notamment rencontrer les exceptions de l’article 17(3).
7. Préparer les incidents et les usages à risque
Attribuez les mises à jour, les accès administratifs, les sauvegardes et les restaurations. La sécurité doit être adaptée au risque selon l’article 32(1). Documentez toute violation de données ; notifiez l’autorité sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque. Informez les personnes en cas de risque élevé, sous réserve des conditions et exceptions de l’article 34. RGPD, articles 33(1), 33(5) et 34.
Un profilage ou un refus automatisé de commande appelle une analyse supplémentaire. L’article 22(1) vise une décision exclusivement automatisée produisant des effets juridiques ou similaires significatifs ; il ne couvre pas indistinctement toute recommandation de produits. L’AIPD relève de l’article 35 lorsque le traitement est susceptible d’engendrer un risque élevé. Documentez la décision avant l’activation, avec le guide des décisions automatisées.
Questions fréquentes
Faut-il désigner un DPO pour chaque boutique ?
Non. Examinez les critères de l’article 37(1), notamment le suivi régulier et systématique à grande échelle au titre des activités de base, ou le traitement à grande échelle de catégories particulières ou de données pénales. Le seul fait de vendre en ligne ne suffit pas.
Une demande d’effacement impose-t-elle de supprimer une facture ?
Pas lorsqu’une obligation légale impose sa conservation. Expliquez les données archivées, leur finalité et leur échéance, tout en supprimant les autres données lorsque la demande est fondée.
Les avis clients ont-ils une durée légale universelle ?
Non. Définissez et annoncez une durée adaptée, en tenant compte des règles de transparence applicables aux avis et du RGPD. La loi n’impose pas une durée générale dite « raisonnable » autorisant toute conservation.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.