Un site WordPress conforme au RGPD, c'est un site qui informe clairement ses visiteurs sur l'usage de leurs données, recueille un consentement valide (cookies, formulaires), permet l'exercice des droits (accès, effacement, opposition) et sécurise les traitements. WordPress ne le fait pas automatiquement : la conformité dépend de votre hébergement, de vos plugins, de votre politique de confidentialité et de votre gestion des cookies.
Qu'il s'agisse d'un blog, d'un site vitrine ou d'un e-commerce, WordPress a rendu la création de sites accessible à tous. Il équipe aujourd'hui plus de 40 % des sites web dans le monde. Son succès s'explique par sa simplicité, sa facilité d'administration et son écosystème d'extensions. Créateur de contenu, entreprise ou e-commerçant : chacun peut concevoir et gérer son site sans compétences techniques poussées.
WordPress est devenu une référence des systèmes de gestion de contenu (CMS, pour Content Management System). Un véritable pionnier du no-code : il permet de créer des pages, d'y intégrer du texte, des images et d'autres médias, d'éditer des articles, sans maîtriser les langages web (HTML, CSS, JavaScript, PHP).
En tant que créateur d'un site WordPress, pour votre propre compte ou pour celui de clients, vous devez vous poser la question de sa conformité avec le RGPD (Règlement général sur la protection des données), applicable depuis le 25 mai 2018. Ce règlement a modifié la façon dont les propriétaires de sites doivent traiter les informations de leurs utilisateurs, y compris les sites construits avec WordPress.
Pas d'inquiétude : Leto vous explique, étape par étape, comment mettre votre site WordPress en conformité avec le RGPD.
Étape n°1 : comprendre les enjeux du RGPD
Qu'est-ce que le RGPD ?
Le Règlement général sur la protection des données (RGPD), entré en application le 25 mai 2018, a pour objectif de renforcer les droits des individus sur leurs données personnelles et de responsabiliser les acteurs qui traitent ces données.
L'idée : encourager tous les organismes, privés ou publics, à respecter la vie privée de leurs utilisateurs, clients et prospects, et éviter les abus dans l'utilisation faite de leurs données personnelles.
Qu'est-ce qu'une donnée personnelle ?
Le RGPD ne protège pas toutes les données, seulement les données personnelles. Il s'agit de toute information se rapportant à une personne physique identifiée ou identifiable, de manière directe ou indirecte (article 4 du RGPD).
La définition d'une donnée personnelle est volontairement large, afin d'englober toute donnée qui pourrait, même très indirectement, permettre d'identifier une personne physique. Elle inclut ainsi des éléments d'information très indirectement nominatifs (par exemple une adresse IP, dès lors que, par recoupement, elle permet d'identifier une personne).
Qui doit se conformer au RGPD ?
Il est essentiel de maîtriser la notion de donnée personnelle : dès lors que votre organisme traite de telles données, il doit les protéger au titre du RGPD. Or les données collectées varient considérablement selon le type de site WordPress et les services installés.
Tous les organismes sont concernés, quels que soient leur taille ou leur secteur, dès lors que les données personnelles sont utilisées dans le cadre d'une activité professionnelle. Micro-entreprises, auto-entrepreneurs et TPE-PME sont concernés au même titre que les grands groupes. Sont également visées aussi bien les entreprises immatriculées en Europe que celles établies hors UE mais qui traitent des données personnelles de résidents européens.
Quels sont les risques de ne pas se conformer au RGPD ?
Le RGPD a nettement renforcé les sanctions pécuniaires prononcées par les autorités de contrôle, afin de les rendre réellement dissuasives. Les amendes peuvent atteindre :
- jusqu'à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, pour des manquements portant notamment sur le privacy by design, le privacy by default ou l'analyse d'impact (AIPD) ;
- jusqu'à 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial, pour des manquements portant notamment sur les droits des personnes (accès, rectification, opposition, effacement, droit à l'oubli) et les transferts de données vers des pays tiers.
Au-delà du coût financier de l'amende prononcée par la Commission nationale de l'informatique et des libertés (CNIL), le coût réputationnel pour l'organisme visé peut être considérable et son image de marque durablement affectée.
En tout état de cause, le sujet RGPD doit être pris en main le plus tôt possible.
Étape n°2 : bien choisir son hébergement
WordPress existe en deux versions : hébergée par WordPress.com ou auto-hébergée (open source, depuis WordPress.org). Le choix entre les deux a des conséquences directes sur votre conformité au RGPD.
Cas n°1 : hébergement géré par WordPress.com
Dans cette version, WordPress.com maintient votre site pour vous. C'est une solution clé en main proposée par les créateurs de WordPress (l'entreprise Automattic).
Or Automattic est une entreprise américaine. Même si les données étaient hébergées sur des serveurs situés en Europe, un transfert de données vers un pays tiers reste possible, pour une raison simple : le droit américain autorise les autorités de renseignement à accéder aux données des entreprises américaines, y compris lorsque ces données sont hébergées en dehors du sol américain.
Cette situation est problématique, car le droit américain n'offre pas un niveau de protection équivalent à celui du RGPD. La CNIL a d'ailleurs eu l'occasion de sanctionner plusieurs acteurs en raison de leur utilisation d'outils américains.
Si vous avez retenu ce type d'hébergement, il convient d'anticiper le risque lié au transfert de données hors UE, par exemple en mettant en place des mesures complémentaires comme le chiffrement des données avant leur export (avec conservation de la clé hors de portée de l'hébergeur).
Pour aller plus loin, consultez nos guides sur le transfert de données hors UE et notre livre blanc dédié.
Cas n°2 : hébergement auto-géré (open source)
Dans ce second cas, vous choisissez librement l'entreprise qui hébergera votre WordPress. Pour un niveau de conformité maximal sur cet aspect, il est recommandé de vous tourner vers des hébergeurs français ou européens.
Quelques hébergeurs français, réputés respectueux du RGPD :
- OVHcloud ;
- o2switch ;
- Infomaniak (suisse, avec un niveau de protection reconnu adéquat par la Commission européenne).
Vous pouvez naturellement retenir d'autres hébergeurs européens. Il vous faudra alors vérifier qu'ils proposent des mesures de sécurité adaptées aux exigences du RGPD et un hébergement des données dans l'UE.
Étape n°3 : paramétrer votre version de WordPress
Paramétrer WordPress est sans doute la méthode la plus simple pour renforcer la conformité de votre site au RGPD. Assurez-vous d'utiliser les fonctionnalités natives de confidentialité, notamment :
- les cookies de commentaires en opt-in : ils permettent à l'utilisateur de choisir si le navigateur doit enregistrer ses informations lorsqu'il soumet un commentaire ;
- l'export et l'effacement des données : ces outils vous permettent de répondre aux demandes des utilisateurs souhaitant exporter ou supprimer leurs données personnelles ;
- le générateur de politique de confidentialité : WordPress génère un modèle de base pour une page de confidentialité, dont la présence est l'une des exigences pour un site conforme au RGPD.
Le sujet de la politique de confidentialité mérite une attention particulière.
Étape n°4 : définir une page de politique de confidentialité
Comment définir le contenu d'une politique de confidentialité ?
La fonctionnalité WordPress qui génère une politique de confidentialité produit un texte très générique : il mérite d'être personnalisé pour correspondre à votre organisation et aux attentes du RGPD.
Une fois que vous maîtrisez le stockage et le traitement de vos données, décrivez-les dans votre page de politique de confidentialité. Cette page doit contenir des informations détaillées sur la manière dont votre site collecte, stocke, traite et utilise les données personnelles de ses visiteurs.
Généralement accessible depuis le pied de page, elle doit expliquer concrètement ce que vous faites des données de vos visiteurs et utilisateurs. Elle est fondamentale, car c'est par elle que vous informez les personnes des pratiques du responsable de traitement en matière de collecte, d'utilisation et de transfert des données.
Vous devez donc y faire apparaître :
- les coordonnées de votre organisme et celles de votre délégué à la protection des données (DPO), si vous en avez un ;
- la liste de vos sous-traitants, destinataires des données, en précisant si des transferts hors Union européenne sont opérés ;
- le type de données personnelles collectées selon les services proposés : nom, prénom, e-mail, téléphone, adresse postale, adresse IP, etc. ;
- la durée de conservation des données collectées ;
- les finalités de la collecte (envoi d'une newsletter, facturation, suivi du comportement sur le site, etc.) ;
- les mesures de sécurité mises en place pour protéger ces données ;
- les droits des personnes concernées (accès, opposition, rectification, portabilité, etc.) et la manière de les exercer. Ce point est essentiel : nous y revenons à l'étape suivante.
Nous avons justement rédigé un guide pour vous aider dans la rédaction d'une politique de confidentialité.
Comment créer une page de politique de confidentialité sur WordPress ?
Pour créer une politique de confidentialité sur WordPress, deux possibilités :
- reprendre le modèle proposé par défaut par WordPress et le modifier à votre guise ;
- ou repartir de zéro, en vous rendant dans le back-office puis dans Réglages > Confidentialité, en cliquant sur « Créer » pour rédiger une page personnalisée, puis en publiant la page une fois terminée.
Pensez à inclure un lien vers cette page dans le pied de page de votre site.
Besoin d'aide pour votre politique de confidentialité ? On peut en discuter.
Étape n°5 : permettre à vos utilisateurs d'exercer leurs droits
Le RGPD donne des droits aux personnes sur leurs données personnelles : c'est même l'élément structurant de la réglementation. En tant qu'organisme qui collecte des données via son site, vous devez garantir l'effectivité de ces droits, y compris le retrait du consentement.
Quels droits ont vos utilisateurs ?
Chaque visiteur de votre site doit pouvoir exercer les droits suivants :
- le droit d'accès, qui permet de savoir où en est le traitement de ses données ;
- le droit de rectification, qui permet la modification et la correction des données ;
- le droit d'opposition, qui permet de s'opposer à l'utilisation de ses données pour une finalité précise ;
- le droit à l'effacement, qui permet d'obtenir la suppression de ses données ;
- le droit à la limitation, qui permet d'arrêter temporairement l'utilisation des données ;
- le droit à la portabilité, qui permet de récupérer une partie de ses données dans un format lisible, pour un usage personnel ou pour les transmettre à un autre organisme ;
- le droit à l'intervention humaine face à une décision automatisée ou à un profilage.
Comment les mettre en oeuvre ?
Vous devez mettre en place une procédure simple permettant à vos utilisateurs de :
- retirer leur consentement ;
- accéder à leurs données ;
- les modifier ;
- demander leur effacement ;
- demander leur transfert vers un tiers.
Vous pouvez créer une page dédiée à cette procédure, avec un formulaire de demande précis, mais votre formulaire de contact peut parfaitement suffire.
En cas de demande d'effacement, rendez-vous dans le back-office de votre site WordPress, dans l'onglet Outils > Effacer les données personnelles. Vous pouvez alors effacer manuellement les données de l'utilisateur concerné en saisissant son adresse e-mail.
Pour disposer d'un processus entièrement conforme et automatisé, Leto propose une brique d'exercice des droits compatible avec WordPress.
Pour rappel, le responsable de traitement (votre organisme) doit répondre dans les meilleurs délais, et au plus tard dans un délai d'un mois. Pour les données de santé transmises à la personne, ce délai peut être plus court : renseignez-vous selon votre contexte.
Étape n°6 : mettre en conformité vos formulaires de contact avec le RGPD
Mettre en place un formulaire RGPD friendly
Pour générer de nouveaux prospects, il est courant de mettre en place des formulaires : téléchargement de documentation, inscription à une newsletter, prise de rendez-vous, etc. Ces formulaires sont un point de contact clé, mais gardez à l'esprit qu'à cette occasion vous collectez des données personnelles (nom, prénom, e-mail, etc.).
Les créateurs de sites WordPress gèrent généralement ces formulaires dits « d'opt-in » via des plugins. La collecte en opt-in suppose un refus par défaut : l'internaute doit donner son consentement par un acte positif d'inscription. Le consentement est en effet placé au cœur du RGPD, et la personne doit garder le contrôle sur le devenir de ses données. Veillez à utiliser un langage clair et direct dans les champs de votre formulaire : l'utilisateur doit comprendre pourquoi vous collectez ses données.
N'oubliez pas que les utilisateurs doivent pouvoir refuser certains traitements. Une case pré-cochée pour une newsletter, par exemple, est strictement interdite. Il n'est toutefois pas indispensable d'ajouter une case à cocher lorsqu'il n'y a qu'une seule finalité de collecte, évidente pour l'utilisateur (recevoir une newsletter à laquelle il s'inscrit explicitement).
En revanche, si vous prévoyez de partager ces données avec des partenaires ou de faire de la prospection, l'utilisateur doit consentir à chacun de ces usages. Aux termes de l'article 5 du RGPD, les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités (principe de minimisation).
Pour être conformes au RGPD, vos formulaires de contact doivent donc :
- indiquer qui est le responsable de traitement ;
- préciser la finalité de la collecte (par exemple : « saisissez votre adresse e-mail pour recevoir notre newsletter ») ;
- indiquer comment accéder à ses données, les rectifier, les effacer et se désabonner ;
- renvoyer vers la politique de confidentialité pour davantage de précisions.
Notre conseil : si vous cherchez un plugin de formulaire respectueux du RGPD, Ninja Forms et Contact Form 7 comptent parmi les plus utilisés. Ne demandez jamais de données sans rapport avec l'objet de l'inscription : pour une newsletter, inutile de réclamer le sexe ou l'âge de l'utilisateur.
Quid des commentaires ?
Les commentaires sont importants, notamment pour les blogs, mais ils collectent des données via le formulaire dédié : noms, adresses e-mail et parfois adresses IP stockées dans un cookie du navigateur.
Le formulaire de commentaire des versions récentes de WordPress inclut déjà une case à cocher de consentement. Vous pouvez également désactiver la collecte de l'adresse IP et d'autres traitements lorsqu'un utilisateur laisse un commentaire.
Étape n°7 : vérifier la conformité RGPD de vos API et plugins
Le problème des API tierces avec le RGPD
Une API (Application Programming Interface, ou interface de programmation d'applications) est un ensemble de règles et de protocoles permettant à des applications de communiquer entre elles. Elle sert d'interface entre différents logiciels pour faciliter leurs échanges : une application peut ainsi demander des services ou des données à un autre logiciel.
Les API sont essentielles au développement, car elles permettent de réutiliser des fonctionnalités existantes plutôt que de les recréer. Votre site WordPress peut en utiliser un certain nombre selon ses besoins.
Or beaucoup d'API tierces collectent des données auprès des utilisateurs, ce qui vous oblige à examiner chacune d'elles. Plusieurs API de Google, comme Google Maps ou Google Fonts, collectent des données personnelles et peuvent poser des difficultés au regard du RGPD. Assurez-vous que chaque API tierce est conforme avant de l'intégrer à votre site.
La conformité RGPD des plugins WordPress
Les extensions, ou « plugins », permettent d'ajouter ou de modifier des fonctionnalités sur votre site. WordPress en compte plusieurs dizaines de milliers, et il n'est pas simple de s'y repérer. Le sujet est important, car ces plugins peuvent collecter un grand nombre de données personnelles, par exemple :
- les plugins de formulaires, de commentaires ou de retargeting, qui recueillent le consentement et des données personnelles ;
- les plugins de personnalisation de contenu, de suivi du comportement (analytics), de newsletter ou de marketing automatisé.
Nos conseils :
- avant d'installer un nouveau plugin, auditez cet outil sur son volet « vie privée » ;
- configurez ensuite l'outil conformément à la protection des données. Par exemple, HubSpot peut être paramétré de manière à respecter le RGPD ;
- si vous identifiez un risque, remplacez l'outil par une alternative plus conforme. Google Analytics, par exemple, a été jugé à plusieurs reprises non conforme au RGPD par la CNIL : un outil comme Matomo constitue une alternative respectueuse de la vie privée.
Pour approfondir la conformité de vos outils, vous pouvez aussi consulter notre chaîne YouTube.
Quelques extensions WordPress européennes utiles et respectueuses du RGPD :
- Yoast SEO : l'extension de référencement naturel la plus populaire, éditée par une entreprise située aux Pays-Bas ;
- WP Rocket : un plugin de cache, développé par une équipe aux fondateurs français, qui accélère le chargement des pages ;
- Imagify : un plugin français qui compresse automatiquement les images ajoutées au back-office ;
- Polylang : un plugin de traduction développé par WP Syntex, entreprise française ;
- Brevo (ex-Sendinblue) : acteur français de référence de l'e-mailing, avec un bon niveau de conformité ;
- Contact Form 7 : un plugin qui permet de créer facilement des formulaires.
Étape n°8 : intégrer un gestionnaire de cookies conforme
Les cookies sont un peu la partie émergée de l'iceberg de la conformité RGPD. Si l'intégration de votre bannière ne respecte pas les exigences du RGPD et de la CNIL, il est vraisemblable que le reste de votre site les respecte encore moins.
Une bannière conforme est donc importante, aussi bien pour votre conformité que pour rassurer les parties prenantes qui utilisent votre site : visiteurs, clients, fournisseurs, etc.
Nous avons étudié la conformité des outils de gestion des cookies (CMP) dans un guide dédié. Analysez ensuite les plugins WordPress qui répondent réellement à ces exigences : certains se disent conformes alors qu'ils ne le sont pas.
Étape n°9 : rendre votre boutique en ligne WordPress conforme au RGPD
Un site vitrine ou un blog et un site e-commerce ne génèrent pas le même type de données. Il faut donc un point d'attention particulier pour les sites qui utilisent WooCommerce (à titre de comparaison, un outil e-commerce comme Shopify traite des données personnelles spécifiques dans le cadre de la vente en ligne).
Voici quelques spécificités à ne pas négliger dans votre mise en conformité.
Des conditions générales de vente adaptées. Il est obligatoire de les publier sur une page dédiée, accessible depuis le pied de page de votre site.
Exemple avec WooCommerce, l'un des plugins e-commerce leaders sur WordPress. Rendez-vous dans l'onglet « Réglages » du plugin, puis dans « Commande ». Dans la partie « Page de commande », vous trouverez un champ « Conditions générales de vente ». Une fois cette page sélectionnée, une case supplémentaire apparaîtra lorsqu'un utilisateur atteindra la page de commande : il devra la cocher pour attester qu'il a lu et accepté ces conditions. Veillez également à ce que votre politique de confidentialité apparaisse clairement dans les formulaires de commande, via une mention de transparence qui y renvoie.
Étape n°10 : sécuriser les données personnelles de votre site WordPress
Activer le protocole HTTPS
Pour vous prémunir contre certaines attaques où des pirates interceptent le transfert de données entre un site non sécurisé et ses utilisateurs, l'une des mesures les plus courantes et les plus importantes consiste à activer le protocole HTTPS sur votre site WordPress.
Le protocole HTTPS s'appuie sur un certificat TLS (successeur du SSL), qui assure la confidentialité, l'authentification et l'intégrité des communications. Il chiffre le transfert des données entre le navigateur des visiteurs et votre site, et protège l'intégrité des données pendant la transmission.
Mettre en place des mesures techniques et organisationnelles
Le RGPD oblige les organismes à sécuriser les données personnelles qu'ils traitent.
Aux termes de l'article 32 du RGPD, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, parmi lesquelles, selon les besoins :
- la pseudonymisation, l'anonymisation et le chiffrement des données à caractère personnel ;
- des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services de traitement ;
- des moyens permettant de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique.
En cas de violation de données, vous devez en principe en informer la CNIL dans un délai de 72 heures. Si la violation est susceptible d'engendrer un risque élevé pour les personnes concernées, vous devez également les en informer.
Vous êtes par ailleurs tenu de tenir un registre des traitements, dans lequel vous listez l'ensemble de vos traitements, leur finalité, les données concernées et les responsables, et que vous devez maintenir à jour en continu.
Aux termes de l'article 30 du RGPD, chaque responsable de traitement tient un registre des activités de traitement effectuées sous sa responsabilité. Ce registre comporte notamment :
- le nom et les coordonnées du responsable du traitement ;
- les finalités du traitement ;
- une description des catégories de personnes concernées et des catégories de données personnelles ;
- la liste des outils utilisés pour la réalisation du traitement ;
- les catégories de données collectées dans le cadre de ce traitement ;
- la base légale qui vous autorise à les collecter ;
- la durée de conservation des données ;
- une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre.
Étape bonus : appréhender la conformité au-delà de votre site WordPress
Mettre son WordPress en conformité ne signifie pas que votre activité, au sens large, est conforme au RGPD. Le règlement s'applique à une entité (entreprise, association), pas à un simple outil ou à un site web. La démarche de conformité doit donc être appréhendée globalement, avec une réflexion sur des questions comme :
- quelles données personnelles je collecte dans l'ensemble de mon organisation (salariés, clients, prestataires, etc.) ?
- quels traitements j'effectue sur ces données ?
- ces traitements sont-ils documentés, et cette documentation est-elle à jour ?
- est-ce que je respecte réellement les droits des personnes concernées ?
D'autres sujets sont à creuser dans notre livre blanc : 10 étapes pour se mettre en conformité au RGPD.
Le logiciel RGPD Leto vous accompagne à chaque étape et se synchronise avec WordPress, pour piloter la conformité de votre site comme celle de votre organisation. Pour en discuter concrètement, vous pouvez demander une démo.
Questions fréquemment posées
WordPress est-il conforme au RGPD par défaut ?
Non. WordPress fournit des fonctionnalités utiles (opt-in des commentaires, export et effacement des données, générateur de politique de confidentialité), mais la conformité au RGPD dépend de votre configuration : hébergement, gestion des cookies, formulaires en opt-in, politique de confidentialité personnalisée, exercice des droits et sécurité des traitements. C'est à l'éditeur du site de mettre ces éléments en place.
Quels plugins WordPress utiliser pour être conforme au RGPD ?
Aucun plugin ne rend un site conforme à lui seul, mais certains y contribuent : un plugin de gestion des cookies (CMP) conforme aux recommandations de la CNIL, un plugin de formulaires respectueux de l'opt-in (comme Contact Form 7 ou Ninja Forms), et une solution d'analytics respectueuse de la vie privée (comme Matomo plutôt que Google Analytics). Avant d'installer un plugin, auditez toujours son traitement des données personnelles.
WordPress.com est-il conforme au RGPD ?
WordPress.com est édité par Automattic, une entreprise américaine. Même avec un hébergement en Europe, un transfert de données vers un pays tiers reste possible du fait du droit américain. Si vous utilisez cette version hébergée, vous devez encadrer ce transfert (mesures complémentaires, chiffrement). La version auto-hébergée (open source) avec un hébergeur français ou européen offre davantage de maîtrise sur cet aspect.
Une bannière cookies suffit-elle pour rendre un site WordPress conforme ?
Non. La bannière cookies n'est qu'un élément de la conformité. Un site WordPress conforme suppose aussi une politique de confidentialité à jour, des formulaires en opt-in, une procédure d'exercice des droits, un registre des traitements et des mesures de sécurité (HTTPS, chiffrement). Une bannière cookies conforme reste néanmoins un bon indicateur du sérieux global de votre démarche.
Comment gérer les demandes d'exercice des droits sur un site WordPress ?
Mettez en place une procédure simple permettant à l'utilisateur d'accéder à ses données, de les rectifier, de les effacer, de s'opposer à leur traitement ou d'en demander le transfert. WordPress propose un outil natif (Outils > Effacer les données personnelles) pour traiter les demandes d'effacement. Le responsable de traitement doit répondre dans les meilleurs délais, et au plus tard dans un délai d'un mois.
Quels sont les risques si mon site WordPress n'est pas conforme au RGPD ?
Un manquement au RGPD expose à des sanctions de la CNIL pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et jusqu'à 20 millions d'euros ou 4 % pour les manquements les plus graves (droits des personnes, transferts hors UE). Au-delà de l'amende, le risque réputationnel et la perte de confiance des utilisateurs peuvent être importants.
