Pourquoi l'e-commerce est le métier le plus exposé
Vendre en ligne, c'est traiter des données personnelles à chaque étape du parcours : création de compte, commande et livraison (adresses), paiement, service client, avis produits, emailing, cookies et mesure d'audience, publicités ciblées. C'est aussi le secteur le plus surveillé : la CNIL reçoit chaque année des milliers de plaintes liées à la prospection et aux cookies. Et un e-commerçant est visible par nature.
La contrepartie positive : un e-commerce conforme peut l'afficher. Et la confiance est un argument de conversion. Politique de confidentialité claire, bandeau cookies honnête, désabonnement qui fonctionne : vos clients le voient.
Les traitements types d'une boutique en ligne
| Traitement | Données | Base légale | Durée indicative |
|---|---|---|---|
| Comptes clients & commandes | Identité, adresses, historique | Contrat | 3 ans après le dernier achat ; factures 10 ans |
| Paiement | Transaction (via PSP) | Contrat / obligation légale | 13 mois (médiation bancaire) |
| Newsletter & relance panier | Email, comportement d'achat | Consentement | 3 ans après le dernier contact |
| Cookies & mesure d'audience | Identifiants, navigation | Consentement (sauf exemptés) | 13 mois (cookies) / 25 mois (données) |
| Service client & avis | Identité, échanges, avis publiés | Contrat / intérêt légitime | Durée de la relation + prescriptions |
Vos 5 obligations prioritaires
- Tenir votre registre (article 30) : la cartographie ci-dessus en est l'ossature.
- Encadrer vos outils : CMS, hébergeur, PSP, emailing, logistique. Chaque brique est un sous-traitant (DPA, localisation des données, transferts hors UE).
- Mettre le bandeau cookies au niveau : refus aussi simple que l'acceptation, pas de cookies marketing déposés avant consentement.
- Séparer achat et prospection : la relance de clients sur des produits analogues est permise, mais l'inscription newsletter doit rester un choix (consentement).
- Savoir répondre aux demandes : accès, suppression de compte, portabilité. Vous avez un mois pour répondre (droits des personnes).
À quoi ressemble le registre d'un e-commerce, concrètement
Fiche « Comptes clients & commandes » : QUI : le gérant, le service client, le prestataire logistique (destinataire) ; QUOI : identité, adresses de livraison et de facturation, historique d'achats, mais pas de données de carte (elles restent chez le PSP) ; POURQUOI : exécuter la commande (contrat) ; OÙ : le CMS (hébergé UE), le PSP, l'outil logistique ; JUSQU'À QUAND : compte supprimé après 3 ans d'inactivité, factures archivées 10 ans à accès restreint.
Suivent « Newsletter », « Cookies », « Service client », « Personnel » si vous avez une équipe, et le registre est complet.
Les erreurs qu'on voit le plus souvent
- Le bandeau cookies où « Tout refuser » demande trois clics de plus que « Tout accepter ».
- La case newsletter pré-cochée au checkout.
- Des comptes clients de 2018 jamais purgés, avec adresses et téléphones.
- Un pixel publicitaire qui se déclenche avant tout consentement.
- La politique de confidentialité recopiée d'un autre site. Elle décrit des traitements que vous n'avez pas, et pas ceux que vous avez.
Faites-le en 30 minutes
Le modèle « e-commerce » de la plateforme déroule ces traitements dans un parcours guidé : à chaque réponse, votre score évolue, et chaque manque devient une action datée dans votre plan. Au bout : un rapport PDF officiel à montrer à vos partenaires, ou à la CNIL.