WooCommerce et RGPD : régler données et extensions

WooCommerce permet de régler la conservation et de traiter certaines demandes relatives aux données. La difficulté se situe dans les connexions de la boutique : une extension de livraison, un outil d’emailing ou une sauvegarde peuvent conserver une copie absente de l’écran client. Commencez par suivre une commande fictive depuis le formulaire jusqu’à son archivage.

Ce qu’il faut retenir

• Recensez WordPress, WooCommerce, les extensions et les services extérieurs avant de définir une procédure d’effacement.
• Vérifiez les réglages de conservation : une valeur vide peut laisser les données sans échéance automatique.
• Préservez les pièces comptables nécessaires dans une archive à accès restreint avant toute opération destructive.
• Contrôlez les traceurs effectivement chargés, puis les effets du refus et du retrait du consentement.

Cartographier une commande plutôt que compter les extensions

Créez un tableau avec une ligne par destination : base WordPress, extension de facturation, paiement, expédition, relation client, emailing, sauvegarde et assistance. Inscrivez les champs transmis, l’usage, les personnes habilitées, la durée et le responsable de la suppression. Vérifiez aussi les fichiers CSV téléchargés par l’équipe commerciale.

Le marchand détermine normalement les finalités de gestion de sa clientèle. L’hébergeur ou le mainteneur peut traiter des données pour son compte ; un prestataire de paiement peut exercer des missions relevant de ses propres obligations. L’éditeur d’une extension exécutée localement, sans accès ni transmission de données, n’est pas automatiquement un sous-traitant. La qualification dépend du traitement réel, selon les articles 4(7), 4(8) et 28(1) du RGPD. Notre guide du sous-traitant RGPD aide à rédiger la bonne fiche fournisseur.

Exigez du mainteneur un document précisant qui corrige les vulnérabilités, renouvelle les accès, restaure les sauvegardes et alerte en cas d’incident. Un hébergement administré répartit des tâches ; il ne dispense pas le commerçant de vérifier qu’elles sont effectivement couvertes.

Régler « Comptes et confidentialité » avec le service comptable

La documentation WooCommerce décrit les options de création de compte, d’effacement et de conservation dans Réglages → Comptes et confidentialité. Les échéances peuvent concerner notamment les comptes inactifs et différents états de commande. Une durée laissée vide signifie une conservation indéfinie pour le réglage concerné. L’outil WordPress d’export est enrichi de certaines données WooCommerce. Ces fonctionnalités constituent un périmètre technique, à confronter aux extensions installées. Documentation officielle des réglages.

Établissez votre règle avant de saisir une durée : quel événement la déclenche, quel usage subsiste et où doit aller l’archive ? Un panier abandonné, une commande payée et une facture ne répondent pas au même besoin. Un client peut aussi acheter de nouveau sans que cette nouvelle commande justifie de réactiver toutes ses anciennes données de prospection.

Les documents comptables et pièces justificatives sont conservés dix ans en application de l’article L123-22 du Code de commerce. Cette obligation ne justifie pas dix années de conservation de chaque information du profil marketing. Organisez une séparation entre la base utilisée chaque jour et les archives nécessaires, avec les durées de conservation des données propres à chaque finalité.

Effacer sans rendre une facture inexploitable

WooCommerce propose des opérations de suppression de données personnelles des commandes, dont une action groupée. Sa documentation décrit le remplacement de champs de facturation et le maintien de certaines données statistiques. Ne déduisez pas de ce fonctionnement que votre facture conserve automatiquement toutes ses mentions obligatoires. Documentation de suppression des données de commande.

Avant d’activer une purge, travaillez sur une copie de recette contenant des données fictives. Vérifiez le PDF de facture, l’avoir, les références de paiement, les exports comptables et le lien avec une garantie en cours. Faites valider le résultat par la personne chargée de la comptabilité. Documentez les données conservées au titre d’une obligation légale ou d’un litige : l’article 17(3)(b) et (e) du RGPD prévoit ces exceptions au droit à l’effacement, sans autoriser le maintien de tout le compte actif.

Une demande doit recevoir une réponse sans retard injustifié et, en principe, dans un mois. Une vérification supplémentaire d’identité suppose des doutes raisonnables ; la copie d’une pièce d’identité n’est pas un passage obligé. Les articles 12(3) et 12(6) encadrent ces deux points. Transmettez ensuite l’instruction aux prestataires concernés et conservez une preuve limitée de son exécution. Le guide sur l’effacement client et les pièces comptables détaille cet arbitrage.

Vérifier le panier, les pixels et les formulaires

Un traceur strictement nécessaire au panier peut être exempté de consentement. Un pixel publicitaire ne devient pas nécessaire parce qu’il accompagne une extension de vente. Le refus doit empêcher les traceurs qui nécessitent un accord préalable. CNIL : mise en conformité des cookies.

Faites examiner quatre parcours : première visite sans choix, refus, acceptation limitée puis retrait. Recommencez après l’ajout d’un module publicitaire ou d’un nouveau thème. Un bandeau visible ne prouve pas que le code chargé par une extension attend correctement le choix du visiteur.

Dans le paiement, recueillez uniquement les informations nécessaires à la commande. Séparez l’acceptation des CGV et l’inscription volontaire à une newsletter. Une case obligatoire « j’accepte le traitement de mes données » brouille la base contractuelle : les données nécessaires à l’exécution relèvent de l’article 6(1)(b), tandis que d’autres usages demandent leur propre analyse. Consultez les règles de prospection des clients pour des produits analogues avant d’automatiser une campagne après achat.

Le dossier à conserver après intervention

Demandez une liste datée des extensions et des services, les réglages de conservation retenus, les résultats du parcours de suppression et les corrections apportées aux traceurs. Ajoutez les contrats applicables et la liste des accès administrateurs. Cette documentation permet de retrouver une décision après le départ d’un prestataire.

Pour la sécurité, priorisez les mises à jour suivies, les habilitations individuelles, la protection des accès administratifs et une restauration vérifiée. L’article 32(1) du RGPD impose des mesures adaptées au risque, y compris la capacité à rétablir l’accès et une évaluation régulière de leur efficacité. Une extension dite de sécurité ne couvre pas seule ces obligations.

Questions fréquentes

L’export WordPress suffit-il pour répondre à un client ?

Il constitue un point de départ. Recherchez aussi les données dans les extensions, les outils extérieurs et les dossiers du service client. L’accès porte sur les données concernées par la demande, pas seulement sur celles intégrées à un export automatique.

Faut-il imposer la création d’un compte pour commander ?

Évaluez si le compte est nécessaire à votre service et quelles données supplémentaires il entraîne. Un achat ponctuel et un abonnement avec espace de gestion ne présentent pas les mêmes besoins. Expliquez votre choix et limitez les champs collectés.

Peut-on effacer toutes les commandes anciennes en une fois ?

Seulement après avoir vérifié les obligations de conservation et le résultat sur les pièces, les garanties et les litiges. Préparez une sauvegarde maîtrisée et un essai sur données fictives avant toute suppression en production.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.