RGPD pour les boutiques en ligne : ce que vous devez faire (et ce que vous pouvez ignorer)

Relu en juin 2026. Le RGPD s'applique depuis mai 2018 ; les obligations décrites ici reflètent le règlement tel qu'il existe à cette date. Il s'agit de conseils pratiques pour les marchands PrestaShop, et non d'un avis juridique — pour votre situation précise, consultez un conseiller en protection des données.

Le RGPD s'applique depuis mai 2018, et pourtant la plupart des propriétaires de boutique se rangent encore dans l'un de ces deux camps : soit c'est un champ de mines juridique terrifiant, soit c'est quelque chose qu'une "petite" boutique peut discrètement ignorer. Ces deux lectures sont fausses, et les deux vous coûtent cher. Le règlement est réellement sérieux — les amendes existent et les réclamations sont faciles à déposer — mais pour une boutique PrestaShop classique qui vend des produits de consommation courants, les obligations réelles sont limitées, pour la plupart ponctuelles, et plusieurs sont déjà intégrées au logiciel que vous utilisez. L'enjeu est de savoir quelles exigences sont non négociables, lesquelles sont largement mal comprises, et quelles obligations à l'intitulé impressionnant (un délégué à la protection des données, une analyse d'impact, supprimer chaque octet à la demande) ne s'appliquent presque certainement pas à vous. Ce guide trace cette ligne, spécifiquement pour un marchand PrestaShop.

Une précision de périmètre dès le départ, parce qu'elle change tout : le RGPD suit le client, pas l'adresse de votre entreprise. Si vous vendez à des personnes dans l'UE, le RGPD s'applique à ces commandes, même si votre entreprise est aux États-Unis, au Royaume-Uni ou ailleurs. Il n'existe aucun seuil de chiffre d'affaires ni aucune exemption du type "nous sommes trop petits". La question n'est donc jamais "est-ce que cela s'applique à moi" — mais "qu'est-ce que cela exige réellement, et de quoi puis-je arrêter de m'inquiéter".

La liste de ce qu'il faut faire et de ce qu'on peut ignorer — en un coup d'œil

Avant d'entrer dans le détail, voici tout l'article résumé dans un seul tableau. Tout ce qui suit développe ces lignes ; l'intérêt du tableau est de montrer que les obligations inquiétantes à droite sont celles qu'une boutique typique peut mettre de côté.

Ce que vous devez faire

1. Une politique de confidentialité qu'un humain peut lire

C'est l'obligation sur laquelle il n'y a aucune marge de manœuvre. Vous avez besoin d'une politique de confidentialité rédigée en langage clair, qui explique aux clients quelles données vous collectez (noms, adresses électroniques, adresses postales, informations de paiement, données de navigation et adresses IP), pourquoi vous collectez chaque type de donnée, combien de temps vous les conservez, avec qui vous les partagez et comment ils peuvent exercer leurs droits. La partie "avec qui vous les partagez" compte plus qu'on ne le croit : toute boutique PrestaShop transmet discrètement des données à des tiers — votre passerelle de paiement, votre transporteur, votre outil de mesure d'audience, votre service d'envoi de courriels. Vous êtes censé nommer ces destinataires, ou au moins identifier des catégories claires de destinataires/sous-traitants — et conserver des contrats de sous-traitance (DPA) avec chacun d'eux.

Dans PrestaShop, créez-la sous forme de page CMS (Design → Pages dans 1.7/8/9, auparavant Préférences → CMS dans 1.6) et ajoutez un lien dans le pied de page afin qu'elle soit accessible depuis chaque page. PrestaShop installe des pages CMS génériques "Mentions légales" / "Conditions générales" sur une installation neuve — considérez-les comme des modèles vides, pas comme une politique terminée. Qu'est-ce que cela vous apporte ? Une page unique, honnête, liée depuis le pied de page, est le premier document qu'une autorité de protection des données vous demandera, et c'est l'élément de conformité le moins coûteux que vous produirez. Vous n'avez pas forcément besoin d'un avocat pour la rédiger, même si une relecture est un bon investissement ; elle doit en revanche refléter fidèlement le fonctionnement réel de votre boutique.

2. Un consentement explicite au marketing — et une base légale pour tout le reste

Vous ne pouvez pas inscrire les clients sur une liste marketing par défaut. L'inscription à la lettre d'information doit être un acte volontaire et affirmatif : une case non cochée que le client coche lui-même, ou un formulaire d'inscription distinct. Une case "s'inscrire à notre lettre d'information" précochée pendant le tunnel de commande est le défaut RGPD le plus courant que nous voyons sur les boutiques PrestaShop, et il est clairement non conforme. Le bloc d'inscription à la lettre d'information natif de PrestaShop (ps_emailsubscription) et le formulaire d'inscription exposent tous deux ces cases — votre rôle est de vérifier qu'aucune n'est livrée précochée, et que le libellé du consentement est spécifique ("Je souhaite recevoir des offres" plutôt qu'une formule vague et globale mêlée à l'acceptation de la politique de confidentialité).

Les courriels liés à la commande (transactionnels) — confirmations, avis d'expédition, factures — ne nécessitent pas de consentement séparé ; ils sont nécessaires à l'exécution du contrat. Et dans la plupart des pays de l'UE, le "soft opt-in" prévu par ePrivacy vous permet d'envoyer des courriels à des clients existants au sujet de produits ou services similaires, mais uniquement si vous avez obtenu leur adresse électronique lors d'une vente, si vous proposez une désinscription au moment de la collecte et dans chaque message, et si vous la respectez — les conditions exactes varient selon la transposition nationale, vérifiez donc les règles locales. Et alors ? Vous n'avez pas à couper tout marketing par courriel pour être conforme — vous devez être honnête sur la manière dont une personne s'est retrouvée sur la liste et rendre son départ simple.

3. Les droits des personnes concernées — et le module PrestaShop qui en gère la plupart

Les clients ont le droit d'accéder à leurs données, de les corriger, de les faire effacer ("droit à l'oubli") et de les recevoir dans un format portable et lisible par machine. C'est l'obligation que les marchands redoutent sur le plan opérationnel — "vais-je devoir assembler des tableurs à la main chaque fois que quelqu'un m'écrit ?" — et c'est précisément là que PrestaShop fait une grande partie du travail pour vous.

Installez le module Official GDPR Compliance (nom technique psgdpr, gratuit chez PrestaShop). Il fait deux choses concrètes. Côté client, il ajoute un bloc "RGPD - Données personnelles" au compte du client connecté, où celui-ci peut télécharger ses propres données en PDF et en CSV sans jamais vous contacter — cette seule fonctionnalité satisfait les droits d'accès et de portabilité pour la plupart des demandes. De votre côté, la page de configuration du module (Modules → Gestionnaire de modules → configurer psgdpr) est l'endroit où vous traitez les demandes de suppression et d'anonymisation, personnalisez le texte des cases de consentement et choisissez quels formulaires et modules affichent un bloc de consentement. Les modules correctement développés s'enregistrent auprès de psgdpr (via les hooks registerGDPRConsent, actionExportGDPRData et actionDeleteGDPRCustomer) afin que les données qu'ils stockent soient incluses dans l'export et effacées lors d'une demande de suppression — c'est précisément le rôle de l'intégration "rendre votre module conforme au RGPD" de la plateforme, et il vaut la peine de vérifier que les modules tiers dont vous dépendez le font réellement.

Qu'est-ce que cela signifie en pratique ? La plupart des demandes d'accès se règlent toutes seules — le client se sert lui-même depuis son compte. Celles qui arrivent jusqu'à vous sont les demandes de suppression et d'anonymisation, et le module vous donne une méthode maîtrisée pour les traiter, au lieu d'exécuter du SQL brut sur les tables customer, address et orders en espérant avoir bien géré les clés étrangères.

4. Le consentement aux cookies non essentiels

Si votre boutique charge autre chose que des cookies strictement nécessaires — mesure d'audience, pixels publicitaires, reciblage — vous avez besoin d'un consentement avant le déclenchement de ces scripts, avec une véritable option de refus aussi facile à cliquer que l'acceptation. C'est un sujet dense, avec ses propres détails de mise en œuvre dans PrestaShop (comportement de la bannière, blocage des scripts jusqu'au consentement, différence entre cookies de session et cookies de suivi), et il mérite un traitement dédié plutôt qu'un paragraphe expédié ici. Nous couvrons précisément ce que la loi exige et comment l'implémenter sans casser votre boutique dans le consentement aux cookies pour PrestaShop, ainsi que la vision plus large cookies-et-suivi dans la conformité RGPD et cookies pour PrestaShop. Pour la checklist des obligations ci-dessous, considérez "bannière cookies conforme en place" comme une ligne à traiter et suivez ces guides pour la mise en œuvre.

5. Une sécurité raisonnable — pas une sécurité d'entreprise

Le RGPD impose des "mesures techniques et organisationnelles appropriées", et le mot clé est appropriées, proportionnées aux données que vous détenez. Pour une boutique qui traite des noms, des adresses et des commandes, cela signifie HTTPS sur tout le site, un cœur PrestaShop et des modules à jour, des mots de passe d'administration solides avec des accès limités, un traitement sécurisé des cartes (que votre passerelle conforme PCI fournit déjà — votre boutique ne doit jamais toucher les numéros de carte bruts) et des sauvegardes conservées dans un endroit sûr. Vous n'avez pas besoin d'un centre opérationnel de sécurité. Les détails sur le durcissement d'une installation PrestaShop — profils de permissions des employés, journaux des Paramètres avancés, protection contre la force brute — se trouvent dans la sécurité des paiements dans PrestaShop pour la couche paiement, et dans les bonnes pratiques générales de sécurité de la boutique pour le reste.

Ce que vous pouvez presque certainement ignorer

C'est la moitié du sujet que personne n'explique aux propriétaires de boutique, et c'est là que la plupart de l'anxiété disparaît. Les obligations suivantes existent, mais elles sont écrites pour des organisations dont l'activité principale consiste à traiter des données personnelles à grande échelle — pas pour une boutique qui vend des produits et conserve au passage des dossiers clients.

Vous n'avez probablement pas besoin d'un délégué à la protection des données

Un DPO n'est obligatoire que si vos activités principales impliquent un suivi régulier et à grande échelle des personnes, ou un traitement à grande échelle de données relevant de catégories particulières (santé, religion, biométrie, etc.). Une boutique qui vend des biens de consommation ne fait rien de tout cela. Vous devriez avoir quelqu'un qui est responsable de la protection des données — généralement vous, ou la personne qui gère les opérations — mais ce n'est pas un rôle formel de DPO enregistré, et vous n'avez pas besoin de publier les coordonnées d'un DPO.

Vous n'avez probablement pas besoin d'une analyse d'impact relative à la protection des données

Une DPIA est déclenchée par des traitements à haut risque : profilage systématique à grande échelle, surveillance d'espaces publics, ou traitement de données sensibles à grande échelle. Prendre des commandes et envoyer des courriels marketing n'est pas un traitement à haut risque. Si vous ajoutez plus tard quelque chose de réellement intrusif — connexion biométrique, profilage comportemental à grande échelle, vérification de l'âge pour des produits réglementés — réexaminez la question. Pour un catalogue standard, vous pouvez l'ignorer.

Vous n'avez pas besoin d'une case pour chaque cookie individuel

Un mythe tenace affirme que chaque cookie doit avoir son propre consentement. En pratique, regrouper les cookies par finalité — strictement nécessaires, mesure d'audience, marketing — et recueillir le consentement par catégorie correspond à ce que les autorités de protection des données attendent. Un interrupteur par catégorie, pas par cookie.

Vous n'avez pas à tout supprimer à l'instant où quelqu'un le demande

Le droit à l'effacement prévoit des exceptions intégrées, et c'est celle qui vous protège, vous. Vous pouvez — et dans la plupart des cas devez — conserver les données nécessaires pour finaliser une commande ouverte, respecter des obligations légales (documents fiscaux et comptables, généralement conservés plusieurs années selon le pays), ou établir et défendre des droits en justice. Donc lorsqu'un client demande à être oublié, vous supprimez son profil marketing et ses données de connexion au compte, mais vous conservez les commandes et les factures exigées par l'administration fiscale. C'est exactement pour cela que l'anonymisation existe à côté de la suppression : le module psgdpr et la plupart des outils RGPD tiers vous permettent d'anonymiser un client (remplacer son nom et ses coordonnées par des valeurs aléatoires) tout en préservant l'historique des commandes et la piste comptable sous-jacente. Et alors ? Vous respectez à la fois la demande du client et vos obligations comptables — elles ne sont pas incompatibles.

Les idées reçues à démonter

"Le RGPD ne s'applique qu'aux entreprises de l'UE." Il s'applique à toute personne qui traite les données de personnes situées dans l'UE, où que se trouve l'entreprise. Vendez dans l'UE, et il s'applique à vous.

"Les petites boutiques sont exemptées." Il n'existe aucune exemption liée à la taille. Quelques obligations sont allégées pour les petites organisations — le registre formel des activités de traitement (ROPA) peut être simplifié — mais les obligations centrales (base légale, transparence, sécurité, droits des personnes concernées) s'appliquent quelle que soit l'échelle.

"Les adresses IP ne sont pas des données personnelles." La Cour de justice de l'UE a tranché : les adresses IP dynamiques sont des données personnelles. Cela compte dans PrestaShop, car la plateforme journalise les IP dans la table connections (liée à la table guest) et dans le log des employés de l'administration — la journalisation des IP est donc un traitement de données personnelles, et votre politique de confidentialité doit le dire.

"Nous avons besoin du consentement avant le chargement de toute page." Non. Les cookies strictement nécessaires — session, panier, jetons de sécurité — se chargent sans consentement ; votre boutique fonctionne avant qu'un visiteur fasse un choix concernant les cookies. Ce qui doit attendre le consentement, ce sont les scripts de mesure d'audience et de marketing.

La checklist RGPD pour PrestaShop

Faites-le une fois, et vous aurez traité l'exposition RGPD d'une boutique typique. Rien de tout cela ne nécessite un développeur au-delà de l'installation d'un module gratuit.

• Rédigez une véritable politique de confidentialité sous forme de page CMS dans Design → Pages, ajoutez un lien dans le pied de page, et assurez-vous qu'elle nomme vos sous-traitants réels (paiement, transporteur, mesure d'audience, envoi de courriels).
• Auditez chaque case de consentement : le bloc d'inscription à la lettre d'information et le tunnel de commande (ps_emailsubscription) doivent être livrés non cochés, avec un libellé spécifique.
• Installez et configurez le module psgdpr afin que les clients puissent exporter eux-mêmes leurs données et que vous puissiez traiter proprement les suppressions/anonymisations.
• Mettez en place une bannière cookies conforme — suivez le guide sur le consentement aux cookies pour l'implémentation.
• Vérifiez que le HTTPS est actif partout et que le cœur, le thème et les modules sont à jour.
• Définissez volontairement des durées de conservation — ne gardez pas les données indéfiniment "au cas où". Appuyez-vous sur l'anonymisation pour concilier les demandes d'effacement avec la conservation des documents fiscaux.
• Rédigez un court registre des activités de traitement (ce que vous collectez, pourquoi, où cela va, combien de temps vous le conservez) — pour la plupart des boutiques, un document d'une page, pas un projet.
• Assurez-vous que vos conditions générales renvoient à la politique de confidentialité, et que vos obligations e-commerce plus larges dans l'UE (information des consommateurs, droit de rétractation, prix) sont respectées en parallèle de la protection des données.

Cette liste couvre l'immense majorité de ce dont une boutique PrestaShop petite ou moyenne a besoin. Si vous traitez des données inhabituelles, vendez des produits soumis à une limite d'âge ou opérez dans un secteur réglementé comme la santé ou la finance, vous entrez dans une zone où une DPIA ou un avis juridique spécialisé vaut réellement son coût — mais si c'est votre cas, vous le savez.

Questions fréquentes

L'installation du module psgdpr rend-elle ma boutique conforme au RGPD ?

Non — et aucun module ne le peut. psgdpr est un outil technique pour certains droits des personnes concernées (export, suppression, journalisation des consentements de formulaire). La conformité repose aussi sur votre politique de confidentialité, vos bases légales, vos durées de conservation, vos contrats de sous-traitance et votre gestion des cookies — tout cela relève de votre responsabilité en tant que responsable du traitement. Considérez le module comme un outil qui accomplit correctement quelques tâches précises, pas comme un interrupteur qui rendrait votre boutique conforme.

Un client m'a demandé de supprimer toutes ses données, mais j'ai ses factures. Que dois-je faire ?

Vous n'avez pas à choisir entre les deux. Le droit à l'effacement comporte des exceptions, et la conservation des documents fiscaux et comptables que vous êtes légalement tenu de garder en fait partie. La réponse habituelle consiste à anonymiser plutôt qu'à supprimer définitivement : psgdpr remplace le nom et les coordonnées du client par des valeurs aléatoires, tandis que les commandes et factures sous-jacentes restent intactes pour votre comptabilité. Vous honorez la demande et vous conservez la piste exigée par l'administration fiscale.

Ai-je vraiment besoin d'un délégué à la protection des données pour une boutique normale ?

Presque certainement pas. Un DPO formel n'est obligatoire que pour le suivi régulier à grande échelle des personnes ou le traitement à grande échelle de données relevant de catégories particulières (santé, biométrie, etc.). Une boutique qui vend des biens de consommation ne fait ni l'un ni l'autre. Vous devriez avoir quelqu'un qui est responsable de la protection des données — généralement vous — mais ce n'est pas le rôle formel et publié de DPO, et vous n'avez pas besoin d'en enregistrer un.

Mon entreprise est située hors de l'UE. Le RGPD s'applique-t-il quand même à moi ?

Si vous vendez à des personnes dans l'UE, oui, pour ces clients — le RGPD suit le client, pas l'adresse de votre entreprise. Il n'existe aucun seuil de chiffre d'affaires ni aucune exemption du type "nous sommes trop petits". Une boutique américaine ou britannique qui expédie à des acheteurs de l'UE traite les données de résidents de l'UE et entre dans le champ d'application pour ces commandes.

Une case de lettre d'information précochée au tunnel de commande est-elle vraiment un problème ?

Oui — c'est le défaut RGPD le plus courant que nous voyons sur les boutiques PrestaShop. Le consentement marketing doit être un acte affirmatif, donc la case doit être livrée non cochée et le libellé doit être spécifique au marketing, pas intégré à "J'accepte la politique de confidentialité". Vérifiez à la fois le bloc ps_emailsubscription et le formulaire d'inscription ; aucun ne doit arriver précoché.

Le résumé honnête est le suivant : l'application du RGPD se renforce, et le règlement ne va pas disparaître, mais pour une boutique PrestaShop normale, il s'agit d'une configuration limitée, le plus souvent ponctuelle, plutôt que d'une charge permanente. L'essentiel tient à une politique de confidentialité, un consentement honnête, un module gratuit et une bannière cookies. Les grandes obligations intimidantes — DPO, DPIA, effacement total instantané — sont écrites pour quelqu'un d'autre. Traitez les données personnelles comme vous voudriez que les vôtres soient traitées, nommez honnêtement vos sous-traitants et donnez aux clients le contrôle que la loi leur garantit. C'est cela, la conformité, et c'est aussi simplement une boutique bien gérée.

Guides associés

• Conformité RGPD et cookies pour PrestaShop : ce dont vous avez réellement besoin — la cartographie données + cookies propre à PrestaShop.
• Consentement aux cookies pour PrestaShop : ce que la loi exige réellement — la bannière et le détail du blocage préalable.
• Conditions générales de votre boutique : ce qui doit y figurer — les pages juridiques qui renvoient à votre politique de confidentialité.
• Droit de l'e-commerce dans l'UE : les règles les plus importantes — les obligations plus larges dans lesquelles s'inscrit le RGPD.