Sector guide

GDPR for E-commerce: complete guide and free audit 2026

Les sites e-commerce concentrent les obligations RGPD les plus contrôlées par la CNIL : collecte de données de paiement, profilage publicitaire, retargeting via Meta Pixel, cookies analytics, transferts hors UE via Stripe ou Shopify. En 2024, près de 40 % des mises en demeure CNIL concernaient des sites marchands. Les risques portent sur trois axes : la bannière cookies (consentement valable avant tout dépôt non essentiel), la base légale du traitement (consentement vs intérêt légitime pour le retargeting), et la conservation des données clients au-delà du nécessaire. Le RGPD impose aussi une politique de confidentialité spécifique mentionnant chaque sous-traitant (PSP, ESP, CRM, fulfillment), une procédure documentée pour les demandes d'accès et d'effacement, et un registre des traitements même pour les TPE. Les éditeurs Shopify, WooCommerce et PrestaShop nécessitent une configuration manuelle pour bloquer les scripts tiers avant consentement — par défaut, ils sont actifs. La CNIL a publié en 2022 ses lignes directrices spécifiques au e-commerce, et croise désormais ses contrôles avec la DGCCRF sur les dark patterns au checkout.

5 GDPR obligations specific to E-commerce

These points are systematically checked during a DPA audit in your sector.

1

Bloquer Google Analytics, Meta Pixel et TikTok Pixel avant consentement

Aucun cookie analytique ou publicitaire ne doit être déposé tant que l'utilisateur n'a pas cliqué sur Accepter. Le bouton Refuser doit être aussi visible que Accepter (Art. 82 LIL + délibération CNIL 17 sept 2020).

2

Documenter la base légale de chaque traitement marketing

Le retargeting publicitaire et l'enrichissement de profils clients reposent obligatoirement sur le consentement (pas l'intérêt légitime). Les CGV générées par le CMS ne suffisent pas — la politique de confidentialité doit être distincte.

3

Conserver les données de paiement selon les durées CNIL

Données de transaction : 13 mois pour la lutte anti-fraude. Données clients actifs : 3 ans après dernière commande. Comptes inactifs : suppression ou anonymisation après 3 ans (référentiel CNIL 2018 amendé 2023).

4

Lister tous les sous-traitants dans la politique de confidentialité

Stripe, Mailchimp, Shopify, Klaviyo, fournisseurs de logistique : chacun doit apparaître nommément avec son pays d'hébergement, sa finalité et le mécanisme légal de transfert (SCC, DPF, BCR).

5

Implémenter un mécanisme de demande d'accès et de suppression

Toute personne peut demander accès à ses données et leur effacement (Art. 15 et 17 RGPD). Délai de réponse : 1 mois. Procédure documentée obligatoire, traçabilité des demandes pendant 5 ans.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2023
32 M€
Amazon France Logistique

Surveillance des salariés via scanners de productivité sans information ni base légale claire.

CNIL délibération SAN-2023-021
2022
100 000 €
Cdiscount

Cookies déposés avant consentement, bouton refus difficile à localiser sur la bannière.

CNIL délibération SAN-2022-016
2021
60 000 €
eBay France

Non-respect des durées de conservation des données clients inactifs, défaut de purge automatique.

CNIL délibération SAN-2021-001

How to check your GDPR compliance as E-commerce

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Mon Shopify est-il conforme RGPD par défaut ?
Non. Shopify offre une fonctionnalité Customer Privacy à activer manuellement (Paramètres > Confidentialité du client). Sans activation, les apps marketing et analytics déposent cookies avant consentement.
Combien coûte une mise en demeure CNIL pour un e-commerçant ?
La mise en demeure elle-même est gratuite mais publique. Si non respectée dans 30 jours, sanction de 20 000 € à 4 % du CA mondial. Le coût moyen constaté pour PME : 50 000 à 200 000 €.
Puis-je utiliser Google Analytics sur ma boutique en ligne ?
Légalement possible uniquement avec consentement préalable, anonymisation IP, signature du DPA Google et information dans votre politique cookies. Plausible Analytics ou Matomo restent plus sûrs.
Dois-je déclarer un DPO pour ma boutique en ligne ?
Obligatoire si le suivi régulier à grande échelle est l'activité principale (typiquement +10 000 clients actifs/an). Sinon recommandé. Coût externalisé : 200 à 800 €/mois.
Le checkout invité dispense-t-il du consentement ?
Non. Même sans création de compte, les cookies analytics et publicitaires nécessitent consentement préalable. Seuls les cookies strictement nécessaires (panier, session) sont exemptés.
Comment gérer le droit à l'oubli d'un client ayant commandé ?
Anonymiser les données personnelles dans la commande (conserver pour comptabilité et lutte anti-fraude) mais supprimer compte, historique de navigation et données marketing. Délai légal : 1 mois.
Mes avis clients sont-ils soumis au RGPD ?
Oui. Le nom du client (même prénom seul) est une donnée personnelle. Modération obligatoire, droit de rectification, conservation limitée à la durée d'utilité de l'avis.
Que faire si mon prestataire de paiement transfère vers les USA ?
Stripe et PayPal disposent du Data Privacy Framework (DPF) certifié 2023, ce qui sécurise le transfert. À mentionner explicitement dans la politique de confidentialité avec le mécanisme légal.

Audit your site in 60 seconds

Free GDPR scan. No credit card.