Un logiciel RGPD pour le e-commerce doit vous aider à vérifier ce que devient une donnée, depuis l’arrivée sur la boutique jusqu’à sa suppression ou son archivage justifié. Une plateforme de gestion du consentement, ou CMP, peut piloter les traceurs. Un registre décrit les traitements et leurs responsables. Un outil de suivi coordonne les demandes des clients. Ces fonctions peuvent être réparties entre plusieurs outils ou réunies dans une solution : aucun nombre d’abonnements n’est imposé par la loi.
Le choix dépend des parcours réels : vente sans compte, marketplace, fidélité, livraison par un tiers, campagnes commerciales et service après-vente. Ce guide propose une méthode d’achat et de vérification. Pour établir auparavant le périmètre juridique de la boutique, consultez les obligations RGPD du e-commerce.
Ce qu’un logiciel RGPD e-commerce doit couvrir
Commencez par suivre une commande fictive. Identifiez les données enregistrées dans la boutique, le paiement, la logistique, le support et la comptabilité. Demandez qui peut les consulter et dans quels pays. Une même adresse peut servir à livrer un produit et à envoyer une publicité : ce sont deux finalités à qualifier séparément, même si elles partagent une base de données.
L’article 6 du RGPD, reproduit par la CNIL, ne rend pas le consentement obligatoire pour chaque opération. L’exécution du contrat peut couvrir les données objectivement nécessaires à la commande lorsque la personne concernée est partie au contrat. Elle ne justifie pas automatiquement un profil publicitaire. La facturation peut répondre à une obligation légale ; une mesure antifraude doit être évaluée selon ses caractéristiques et sa base juridique.
Le logiciel devrait rendre ces distinctions visibles. Une case unique « client consentant » ne dit ni à quoi la personne a consenti, ni ce qui demeure nécessaire après son retrait. Pour un cadeau livré à un tiers, l’adresse du destinataire mérite également une analyse : ce destinataire n’est pas nécessairement partie au contrat conclu par l’acheteur. Les champs libres peuvent contenir des informations excessives ; mieux vaut limiter leur usage que les copier dans chaque outil.
Le critère décisif : une CMP réellement vérifiée
En France, l’article 82 de la loi Informatique et Libertés encadre les opérations de lecture et d’écriture dans le terminal. Les explications de la CNIL sur les traceurs distinguent les opérations soumises au consentement de celles exclusivement destinées à permettre la communication électronique ou strictement nécessaires au service expressément demandé. Le stockage d’un panier peut relever d’une exemption ; la publicité personnalisée ne devient pas nécessaire parce qu’elle finance la boutique.
Certains dispositifs de mesure d’audience peuvent bénéficier d’une exemption sous conditions. Il faut vérifier leur finalité, leur configuration et les réutilisations, pas seulement le nom du prestataire. Une fonctionnalité appelée « analytique » peut transmettre des identifiants à des partenaires publicitaires. Le guide de recette d’un bandeau cookies aide à traduire ces distinctions en observations techniques.
Demandez une démonstration avec un navigateur neuf, puis après refus, acceptation partielle et retrait. Contrôlez les requêtes réseau ainsi que les cookies et stockages locaux. Un bandeau peut afficher correctement les choix tout en laissant partir un pixel avant la décision. Recommencez sur une fiche produit, une page de paiement et une page ouverte depuis une publicité : les scripts ne sont pas toujours identiques.
La CNIL demande que refuser soit aussi facile qu’accepter. Une configuration avec deux actions immédiatement accessibles est une manière de respecter cette exigence ; l’examen porte également sur la présentation et les étapes. Le retrait doit être aussi simple que l’accord initial. La preuve devrait relier le choix à sa date, aux finalités, aux destinataires pertinents et à la version de l’information présentée, sans accumuler inutilement des identifiants.
Une CMP ne certifie donc pas la conformité de toutes les extensions installées. Le contrat doit préciser qui contrôle les nouvelles balises après une évolution du thème ou une campagne. Notre comparatif des CMP de gestion du consentement permet de préparer les questions de sélection ; exigez ensuite des preuves sur votre environnement.
Prospection : conserver la bonne autorisation pour le bon canal
Pour la prospection électronique auprès de particuliers, le principe est le consentement préalable. L’article L.34-5 du CPCE prévoit une exception lorsque les coordonnées ont été recueillies auprès de la personne à l’occasion d’une vente ou d’une prestation, que les messages concernent des produits ou services analogues fournis par la même personne physique ou morale, et qu’une opposition simple et sans frais est proposée à la collecte puis dans chaque message. Ces conditions sont cumulatives.
La CNIL précise dans sa fiche du 10 juin 2026 que créer un compte sur une boutique sans effectuer d’achat ne suffit pas à établir cette exception. Une relance de panier à un prospect ne doit donc pas être envoyée automatiquement au seul motif qu’une adresse a été saisie. Il faut distinguer une communication nécessaire au service demandé d’un message promotionnel ; ajouter une offre à un message transactionnel peut modifier sa qualification.
Faites afficher en démonstration l’origine de l’autorisation, le texte accepté, le canal et le périmètre commercial. Une autorisation de recevoir les offres du marchand ne vaut pas automatiquement accord pour les offres de partenaires. Une ancienne liste importée doit conserver sa provenance et les limites de son utilisation. Le guide email, SMS et RGPD détaille ce cadrage, notamment les différences avec la prospection professionnelle.
Le refus de cookies publicitaires et le désabonnement à une newsletter portent sur des opérations différentes. L’outil doit respecter chacun, sans déduire du premier un retrait général ni du second une permission de reciblage. Vérifiez la propagation des oppositions vers les listes exportées, les audiences publicitaires et les campagnes programmées. Une liste d’exclusion limitée peut empêcher une réinscription involontaire ; elle ne doit pas devenir une nouvelle base de prospection.
Le registre doit décrire la boutique réelle
Le registre de l’article 30 porte sur les activités de traitement, et non sur chaque commande. Séparez suffisamment les commandes, la prospection, la fidélité et la gestion des litiges pour expliquer leurs finalités, destinataires et durées. Évitez aussi de créer une fiche par logiciel si plusieurs logiciels servent la même activité. Le modèle de registre des traitements fournit le cadre documentaire.
L’exemption pour les organismes de moins de 250 salariés est limitée et s’apprécie au regard des activités concernées. Elle ne couvre notamment pas les traitements non occasionnels, ceux susceptibles de présenter un risque pour les droits et libertés, ni ceux portant sur les catégories de l’article 9 ou les données pénales de l’article 10. La gestion habituelle des clients constitue un traitement non occasionnel : la petite taille du marchand n’écarte pas ce registre.
Un outil utile relie chaque activité à un interlocuteur métier, à ses applications et aux documents pertinents. La base légale n’est pas un champ expressément énuméré dans le minimum de l’article 30, mais la documenter aide à vérifier la licéité et l’information donnée aux clients. Les clauses RGPD des CGV peuvent accompagner le parcours contractuel ; elles ne remplacent ni l’inventaire interne ni une information correctement présentée au moment de la collecte.
La conservation mérite une démonstration spécifique. Pour une catégorie de données, indiquez le point de départ, la durée ou le critère retenu, le traitement en fin de période et les éventuelles exceptions justifiées. L’archivage de factures soumises à une obligation légale ne permet pas de conserver indéfiniment le profil marketing associé. Le guide des durées de conservation aide à construire cette distinction avant de paramétrer l’outil.
Les demandes de droits doivent traverser les applications
Une demande peut arriver au support, par courrier ou sur un canal habituellement utilisé par la boutique. Un formulaire dédié facilite le suivi, mais ne doit pas rendre invisibles les demandes reçues autrement. L’article 12 impose de fournir les informations sur les mesures prises sans retard excessif et, en tout état de cause, dans un mois à compter de la réception. Une prolongation de deux mois est possible si nécessaire compte tenu de la complexité et du nombre de demandes ; il faut informer la personne de cette prolongation et de ses motifs dans le premier mois.
Le refus d’agir n’arrête pas le processus. Les raisons doivent être communiquées sans tarder et au plus tard dans un mois, avec les possibilités de réclamation et de recours juridictionnel. Une alerte logicielle n’effectue aucune de ces obligations à votre place. Vérifiez que le dossier conserve la réception initiale, les recherches, la décision et la réponse réellement transmise.
Testez une demande d’effacement concernant un client avec une commande récente et un litige ouvert. Certaines données peuvent devoir être supprimées, tandis que d’autres restent nécessaires pour une obligation légale ou la défense d’un droit en justice. L’outil doit permettre cette décision par catégorie, limiter les usages des données conservées et suivre les instructions aux prestataires. Supprimer uniquement le compte visible sans traiter les autres copies ne démontre pas l’effacement pertinent.
Pour l’accès, examinez la recherche dans les tickets du support et les outils logistiques, puis la remise sécurisée du résultat. Il faut protéger les droits d’autres personnes présentes dans les échanges, sans transformer cette difficulté en refus automatique. Une vérification d’identité complémentaire doit répondre à des doutes raisonnables et rester proportionnée. Exiger systématiquement une copie de pièce d’identité augmente la collecte sans nécessairement améliorer la sécurité.
Prestataires, sécurité et incidents : vérifier les responsabilités
L’hébergeur, le prestataire de paiement, le transporteur et la marketplace n’ont pas nécessairement tous le même rôle. Qualifiez le traitement réalisé : un service peut agir comme sous-traitant pour certaines opérations et comme responsable distinct pour d’autres. Pour la sous-traitance RGPD, l’article 28 exige un contrat ou un autre acte juridique contraignant prévu par le droit de l’Union ou d’un État membre, établi par écrit, y compris électroniquement. Dans la relation commerciale ordinaire, examinez donc l’accord contractuel et ses annexes effectives.
Demandez qui intervient ensuite, quels accès sont possibles depuis l’étranger et comment les changements sont annoncés. Une localisation européenne du serveur ne répond pas à elle seule à toutes les questions de transfert ou de support. Le guide de gestion des sous-traitants RGPD propose des critères pour suivre ces relations et leurs preuves sans confondre signature et vérification opérationnelle.
Le logiciel de conformité contient lui-même des informations sensibles sur l’organisation, parfois des pièces de demandes de droits. Évaluez les habilitations, l’authentification, la journalisation et les conditions de restauration. Faites distinguer l’accès du support technique de celui des équipes du marchand. Une interface agréable ne compense pas des droits excessifs sur les exports ou une absence de procédure en cas de départ d’un administrateur.
En cas de violation de données personnelles, l’article 33 impose la notification à l’autorité sans retard excessif et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les droits et libertés. Un retard doit être motivé ; les informations peuvent être complétées progressivement sans nouveau retard excessif. Toutes les violations de données doivent être documentées, même non notifiées. L’information des personnes en cas de risque élevé relève d’une décision distincte au titre de l’article 34.
Acheter sur des résultats observables
Comparez les offres sur un même scénario : une boutique, ses applications réelles, plusieurs profils d’utilisateurs et un dossier d’effacement partiel. Pour chaque résultat attendu, distinguez la fonction incluse, le paramétrage, l’intégration à développer et l’action humaine. Un connecteur annoncé peut seulement importer un inventaire ; il ne faut pas supposer qu’il supprime aussi les données dans l’application concernée.
Chiffrez l’abonnement, les volumes facturés, la mise en place, les connecteurs, la formation, les changements de périmètre et la sortie. Le nombre de commandes ne constitue pas un seuil légal rendant un tableur interdit. Une petite organisation peut maintenir une documentation correcte avec un outil simple ; des processus dispersés peuvent justifier un logiciel plus structuré même avec peu de commandes. Le guide de choix des logiciels RGPD complète cette comparaison fonctionnelle.
Prévoyez enfin une reprise des données et une recette de sortie. Exportez des fiches avec leurs pièces, les décisions et les dates, puis vérifiez leur compréhension hors du logiciel. Attribuez un responsable aux mises à jour après chaque nouveau prestataire ou dispositif marketing. L’achat devient utile lorsque les équipes savent qui corrige une anomalie découverte et comment vérifier sa résolution.
Ce qu’un cas de sanction enseigne réellement
La décision SAN-2020-013 concernant Amazon Europe Core (Conseil d’État, décision du 27 juin 2022), adoptée le 7 décembre 2020, a prononcé une amende de 35 millions d’euros pour des manquements relatifs aux cookies et à l’information. Elle illustre l’importance du comportement effectif du site et de ses différents parcours d’entrée. Elle ne démontre ni qu’une catégorie de logiciel élimine un pourcentage déterminé du risque, ni qu’un marchand de petite taille encourt mécaniquement le même montant.
FAQ
Faut-il acheter trois logiciels distincts ?
Non. Distinguez les fonctions à couvrir, puis choisissez leur organisation selon vos applications, vos équipes et les preuves attendues. Une solution unique comme plusieurs outils peuvent convenir si les décisions et les opérations restent cohérentes.
Une CMP suffit-elle pour le RGPD ?
Non. Elle peut aider à appliquer et démontrer les choix relatifs aux traceurs. Elle ne remplace pas le registre, la sécurité, les obligations envers les prestataires ou le traitement des demandes de droits. Sa propre configuration doit être contrôlée.
Une adresse collectée lors d’un panier autorise-t-elle les relances ?
Pas automatiquement. Vérifiez la nature du message et l’existence d’un consentement valable ou d’une exception applicable. Un compte créé sans achat ne suffit pas, à lui seul, à utiliser l’exception concernant les clients existants.