Pourquoi l'e-commerce est le métier le plus exposé
Vendre en ligne, c'est traiter des données personnelles à chaque étape du parcours : création de compte, commande et livraison (adresses), paiement, service client, avis produits, emailing, cookies et mesure d'audience, publicités ciblées. C'est aussi le secteur le plus surveillé : la CNIL reçoit chaque année des milliers de plaintes liées à la prospection et aux cookies — et un e-commerçant est visible par nature.
La contrepartie positive : un e-commerce conforme peut l'afficher — et la confiance est un argument de conversion. Politique de confidentialité claire, bandeau cookies honnête, désabonnement qui fonctionne : vos clients le voient.
Les traitements types d'une boutique en ligne
| Traitement | Données | Base légale | Durée indicative |
|---|---|---|---|
| Comptes clients & commandes | Identité, adresses, historique | Contrat | 3 ans après le dernier achat ; factures 10 ans |
| Paiement | Transaction (via PSP) | Contrat / obligation légale | 13 mois (médiation bancaire) |
| Newsletter & relance panier | Email, comportement d'achat | Consentement | 3 ans après le dernier contact |
| Cookies & mesure d'audience | Identifiants, navigation | Consentement (sauf exemptés) | 13 mois (cookies) / 25 mois (données) |
| Service client & avis | Identité, échanges, avis publiés | Contrat / intérêt légitime | Durée de la relation + prescriptions |
Vos 5 obligations prioritaires
- Tenir votre registre (article 30) — la cartographie ci-dessus en est l'ossature.
- Encadrer votre stack : CMS, hébergeur, PSP, emailing, logistique — chaque brique est un sous-traitant (DPA, localisation des données, transferts hors UE).
- Mettre le bandeau cookies au niveau : refus aussi simple que l'acceptation, pas de cookies marketing déposés avant consentement.
- Séparer achat et prospection : la relance de clients sur des produits analogues est permise, mais l'inscription newsletter doit rester un choix (consentement).
- Savoir répondre aux demandes : accès, suppression de compte, portabilité — un mois pour répondre (droits des personnes).
À quoi ressemble le registre d'un e-commerce, concrètement
Fiche « Comptes clients & commandes » : QUI — le gérant, le service client, le prestataire logistique (destinataire) ; QUOI — identité, adresses de livraison et de facturation, historique d'achats — pas de données de carte (elles restent chez le PSP) ; POURQUOI — exécuter la commande (contrat) ; OÙ — le CMS (hébergé UE), le PSP, l'outil logistique ; JUSQU'À QUAND — compte supprimé après 3 ans d'inactivité, factures archivées 10 ans à accès restreint.
Suivent « Newsletter », « Cookies », « Service client », « Personnel » si vous avez une équipe — et le registre est complet.
Les erreurs qu'on voit le plus souvent
- Le bandeau cookies où « Tout refuser » demande trois clics de plus que « Tout accepter ».
- La case newsletter pré-cochée au checkout.
- Des comptes clients de 2018 jamais purgés, avec adresses et téléphones.
- Un pixel publicitaire qui se déclenche avant tout consentement.
- La politique de confidentialité recopiée d'un autre site — qui décrit des traitements que vous n'avez pas, et pas ceux que vous avez.
Faites-le en 30 minutes
Le modèle « e-commerce » de la plateforme déroule ces traitements dans un parcours guidé : à chaque réponse, votre score évolue, et chaque manque devient une action datée dans votre plan. Au bout : un rapport PDF officiel à montrer à vos partenaires — ou à la CNIL.