Conformité RGPD pour l'E-Commerce 2026 : Le guide complet pour les vendeurs en ligne de l'UE

Le paysage de la protection des données dans l'UE en 2026, en un coup d'œil

Le RGPD est appliqué par un réseau d'autorités nationales de protection des données (APD), coordonné au niveau de l'UE par le Comité européen de la protection des données (CEPD). Le récapitulatif ci-dessous présente les huit autorités les plus susceptibles de vous contacter en tant que vendeur e-commerce de l'UE — gardez-le à portée de main en lisant chaque section détaillée.

1. Vue d'ensemble du RGPD — Règlement (UE) 2016/679, en vigueur depuis mai 2018

Ce qu'est réellement le RGPD

Le règlement général sur la protection des données — règlement (UE) 2016/679 — a été adopté le 27 avril 2016 et est devenu directement applicable dans les 27 États membres de l'UE ainsi que dans les trois pays de l'EEE (Norvège, Islande, Liechtenstein) le 25 mai 2018. En tant que règlement, et non directive, le RGPD ne nécessitait aucune transposition nationale — il est entré en vigueur le même jour à Madrid, Paris, Berlin, Rome, Varsovie et dans toutes les autres capitales de l'UE. Il a remplacé la directive de 1995 sur la protection des données (95/46/CE), qui avait donné lieu à 28 transpositions nationales fragmentées.

Pour les vendeurs e-commerce, trois choix structurels du texte comptent plus que tout le reste :

• Champ d'application matériel (art. 2) — s'applique à tout « traitement de données à caractère personnel » par des moyens automatisés, ce qui recouvre pratiquement toute opération de base de données dans une infrastructure web moderne.
• Champ d'application territorial (art. 3) — s'applique aux responsables de traitement établis dans l'UE, quel que soit le lieu du traitement, et aux responsables établis hors de l'UE qui proposent des biens ou services à des personnes concernées dans l'UE ou qui surveillent leur comportement. C'est cette « portée extraterritoriale » qui a fait entrer dans le champ d'application les vendeurs américains, britanniques, turcs, suisses et asiatiques.
• Définition des données à caractère personnel (art. 4) — extrêmement large : tout ce qui « se rapporte à une personne physique identifiée ou identifiable ». Les adresses IP, identifiants de cookies, empreintes d'appareils, voire certains paramètres d'URL uniques peuvent en relever.

Les six bases juridiques (article 6)

Chaque activité de traitement nécessite au moins l'une des six bases juridiques suivantes :

1. Le consentement — libre, spécifique, éclairé et univoque (art. 4, paragraphe 11 + art. 7).
2. Le contrat — traitement nécessaire à l'exécution d'un contrat avec la personne concernée (base standard pour l'exécution d'une commande).
3. L'obligation légale — par exemple facturation TVA, KYC, archives fiscales.
4. Les intérêts vitaux — rares en e-commerce commercial.
5. La mission d'intérêt public — généralement non pertinente pour le commerce de détail privé.
6. L'intérêt légitime — nécessite un test de mise en balance ; utilisé pour la prévention de la fraude, la sécurité, les analyses de base.

L'erreur de conformité la plus fréquente en 2026 consiste à confondre les bases juridiques — par exemple invoquer le « contrat » pour des e-mails marketing (qui nécessitent un consentement au titre de la directive ePrivacy) ou l'« intérêt légitime » pour des cookies de suivi (qui nécessitent également un consentement au titre de l'article 5, paragraphe 3, de la directive ePrivacy).

Catégories particulières de données (article 9)

Les données de santé, les données biométriques, l'origine ethnique, les convictions religieuses, l'appartenance syndicale, l'orientation sexuelle et les opinions politiques constituent des catégories particulières de données. Leur traitement est interdit, sauf si l'une des dix conditions de l'article 9, paragraphe 2, s'applique — le consentement explicite étant le plus courant en e-commerce (par exemple, les abonnements à des compléments alimentaires révélant des informations de santé, ou les sites de mode déduisant l'origine ethnique à partir des tailles préférées).

2. Consentement aux cookies — TCF v2.2 et le cadre IAB Europe

Pourquoi les cookies relèvent-ils du RGPD

Les cookies et technologies de suivi similaires ne sont pas régis par le seul RGPD, mais par l'article 5, paragraphe 3, de la directive ePrivacy 2002/58/CE (la « directive cookies », modifiée en 2009). La directive exige un consentement préalable et éclairé pour stocker des informations ou accéder à des informations déjà stockées sur l'appareil d'un utilisateur, sauf lorsque cela est strictement nécessaire pour fournir un service expressément demandé par l'utilisateur. Le RGPD définit ensuite la norme à respecter pour qu'un consentement soit valide (art. 4, paragraphe 11, et art. 7).

La règle pratique combinée pour les vendeurs e-commerce en 2026 est la suivante :

• Cookies strictement nécessaires (panier, connexion, jeton CSRF, sélecteur de langue, répartition de charge de base) — aucun consentement requis, mais doivent être documentés dans la politique de confidentialité.
• Tous les autres cookies — analyse (GA4, Plausible, Matomo en configuration par défaut), publicité (Meta Pixel, Google Ads, TikTok), personnalisation, tests A/B, fingerprinting — nécessitent un consentement explicite (opt-in) avant le dépôt du cookie.

IAB Europe Transparency & Consent Framework v2.2

Le IAB Europe Transparency & Consent Framework (TCF) v2.2 — publié le 16 mai 2023 et obligatoire depuis le 20 novembre 2023 — est la norme de facto de l'industrie pour recueillir, signaler et conserver le consentement aux cookies dans toute l'UE. Principales caractéristiques :

• 11 finalités + 3 « finalités spéciales » + 2 « fonctionnalités » + 2 « fonctionnalités spéciales » — un contrôle granulaire plutôt qu'un simple « Tout accepter »
• Environ 700 fournisseurs enregistrés — chaque partenaire adtech, analytique et CDP déclare ses finalités et bases juridiques dans la liste mondiale des fournisseurs TCF (GVL)
• Chaîne TC (TC String) — un signal encodé en base64, intégré dans __tcfapi / __tcfapi v2, qui accompagne chaque requête adtech
• Améliorations de la v2.2 — clarification des finalités 1, 3, 4, suppression de l'« intérêt légitime » comme base de repli pour la publicité/mesure, workflow de retrait obligatoire

Ce que l'interface de consentement doit et ne doit pas faire

Tant les lignes directrices 05/2020 du CEPD sur le consentement que les lignes directrices 2020-091 de la CNIL sont sans ambiguïté :

• Les cases pré-cochées sont invalides (Planet49, CJUE C-673/17, 1er octobre 2019)
• Le « fait de continuer à naviguer » ne constitue pas un consentement — cliquer, faire défiler la page ou rester sur la page ne vaut pas opt-in
• Refuser doit être aussi simple qu'accepter — les boutons « Tout accepter » et « Tout refuser » doivent être visuellement et procéduralement équivalents (la CNIL a infligé 60 M€ à Google et 60 M€ à Facebook en janvier 2022 explicitement pour ce motif)
• Les cookie walls — conditionner l'accès au consentement — sont largement interdits (recommandation de l'AP néerlandaise en 2019, lignes directrices 05/2020 du CEPD)
• La granularité — des bascules finalité par finalité, et non un simple bouton global
• Le retrait doit être aussi simple que le don du consentement (art. 7, paragraphe 3, du RGPD)

3. Politique de confidentialité — Les articles 13 et 14 en pratique

Pourquoi une politique de confidentialité est incontournable

Les articles 13 et 14 du RGPD exigent que tout responsable de traitement fournisse une mention d'information au moment de la collecte des données à caractère personnel (art. 13) ou, lorsque les données sont collectées auprès d'un tiers, dans un délai d'un mois (art. 14). En e-commerce, il s'agit généralement de la page reliée en pied de page sous l'intitulé « Politique de confidentialité », « Mentions de confidentialité » ou « Informations sur le traitement des données à caractère personnel ».

Le contenu obligatoire

L'article 13 exige au minimum les éléments suivants — généralement structurés en une notice à plusieurs niveaux, avec un résumé court et une version complète :

• Identité et coordonnées du responsable de traitement (et du représentant dans l'UE si l'article 27 s'applique)
• Coordonnées du DPO, le cas échéant
• Finalités du traitement et base juridique pour chacune (art. 6, et art. 9 pour les catégories particulières de données)
• Destinataires ou catégories de destinataires — prestataires de paiement, partenaires logistiques, outils marketing, hébergeurs
• Transferts internationaux — pays tiers concernés, décisions d'adéquation ou garanties appropriées (CCT)
• Durées de conservation — ou les critères permettant de les déterminer
• Droits des personnes concernées — accès, rectification, effacement, limitation, portabilité, opposition, décisions automatisées
• Droit de retirer son consentement à tout moment (lorsque le consentement est la base juridique)
• Droit d'introduire une réclamation auprès d'une autorité de contrôle
• Caractère obligatoire ou non de la fourniture des données, et conséquences d'un refus de les fournir
• Existence d'une prise de décision automatisée, y compris le profilage, avec des informations utiles sur la logique sous-jacente

Erreurs courantes sanctionnées par la CNIL et l'AEPD

• Mention type ne correspondant pas aux activités de traitement réelles — les autorités de contrôle la recoupent avec le registre au titre de l'article 30
• Mention de l'« intérêt légitime » sans explication du test de mise en balance
• Durées de conservation vagues telles que « aussi longtemps que nécessaire », sans délais précis
• Informations manquantes ou obsolètes sur les transferts internationaux (en particulier vers les États-Unis après Schrems II)
• Absence de mention du droit d'introduire une réclamation auprès d'une APD — un constat fréquent des audits de l'AEPD

4. Délégué à la protection des données — Quand l'article 37 s'applique

Les trois cas obligatoires

L'article 37, paragraphe 1, impose la désignation obligatoire d'un DPO dans trois cas :

1. Autorité publique ou organisme public (autre que les juridictions)
2. Les activités de base exigent un suivi régulier et systématique des personnes concernées à grande échelle
3. Les activités de base consistent en un traitement à grande échelle de catégories particulières de données (art. 9) ou de données relatives aux condamnations pénales (art. 10)

La notion de « grande échelle » est définie par les lignes directrices WP243 du CEPD selon quatre critères : nombre de personnes concernées, volume de données, durée du traitement et étendue géographique. Dans l'e-commerce, les activités fortement axées sur la publicité comportementale, les marketplaces et les grandes plateformes de vente au détail atteignent presque toujours le seuil de « suivi régulier et systématique à grande échelle ».

Le mythe des 250 employés

Le seuil des « 250 employés », souvent cité, concerne l'article 30 (registre des activités de traitement), et non la désignation d'un DPO. L'article 30, paragraphe 5, exempte les organismes de moins de 250 employés de la tenue d'un registre — mais uniquement si le traitement est occasionnel, ne porte pas sur des catégories particulières de données et est peu susceptible de comporter un risque pour les personnes concernées. Pour tout vendeur e-commerce actif, cette exemption ne s'applique pratiquement jamais dans les faits : expédier des commandes à des milliers de clients n'est par définition pas occasionnel.

Renforcements nationaux

Les États membres peuvent imposer des exigences supplémentaires en matière de DPO. La loi allemande BDSG, par exemple, exige un DPO dès que 20 personnes ou plus sont impliquées de manière continue dans un traitement automatisé — un seuil bien plus bas que la référence du RGPD. Il s'agit de l'un des plus grands écarts de conformité pratiques entre les activités e-commerce allemandes, françaises et espagnoles de taille comparable.

Indépendance et missions du DPO

• Article 38 — doit être associé à toutes les questions relatives à la protection des données, disposer de ressources suffisantes, rendre compte au niveau le plus élevé de la direction, et ne peut être relevé de ses fonctions pour l'exécution de ses missions
• Article 39 — informe et conseille, contrôle le respect des règles, conseille sur les AIPD, coopère avec l'autorité de contrôle, agit comme point de contact pour les personnes concernées
• Conflits d'intérêts — le directeur marketing ou le directeur informatique ne peut généralement pas être DPO (lignes directrices WP243 du CEPD ; amende de 50 000 € infligée en 2020 par l'autorité belge à un responsable de traitement ayant désigné le responsable de la conformité, de l'audit interne et des risques comme DPO)

5. Droits des personnes concernées — Articles 15 à 22

Les huit droits, dans l'ordre

Les droits du chapitre III constituent l'épine dorsale opérationnelle du RGPD pour toute entreprise en contact avec les clients :

• Droit à l'information (art. 13-14) — satisfait via la mention d'information mentionnée ci-dessus
• Droit d'accès (art. 15) — confirmation du traitement + une copie des données à caractère personnel + les métadonnées de l'article 13
• Droit de rectification (art. 16) — corriger des données inexactes, compléter des données incomplètes
• Droit à l'effacement / « droit à l'oubli » (art. 17) — six motifs spécifiques (traitement non nécessaire, retrait du consentement, traitement illicite, etc.) ; ce n'est pas un droit absolu
• Droit à la limitation du traitement (art. 18) — « geler » les données pendant la résolution d'un litige
• Droit à la portabilité des données (art. 20) — recevoir les données personnelles dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement
• Droit d'opposition (art. 21) — au traitement fondé sur l'intérêt légitime ou une mission d'intérêt public ; absolu en matière de prospection directe
• Droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage (art. 22) — exceptions restreintes pour le contrat, la loi, le consentement explicite

Délais de réponse et format

L'article 12 fixe les règles opérationnelles :

• Un mois par défaut — prolongeable de deux mois supplémentaires pour les demandes complexes ou nombreuses, avec notification motivée à la personne concernée
• Gratuit — sauf demandes « manifestement infondées ou excessives », pour lesquelles des frais raisonnables ou un refus sont autorisés (la charge de la preuve incombant au responsable de traitement)
• Même format que la demande — demande par e-mail, réponse par e-mail ; format structuré et lisible par machine pour la portabilité
• Vérification d'identité requise, mais proportionnée — des contrôles d'identité excessivement contraignants constituent eux-mêmes une violation (position de la CNIL)

Comment les vendeurs e-commerce opérationnalisent cela

1. Une boîte mail DSR dédiée (par exemple, [email protected]) acheminée vers le DPO ou l'équipe chargée de la protection des données
2. Un workflow de tickets avec un délai SLA d'un mois et une escalade automatique à 25 jours
3. Une cartographie de référence des données (le registre au titre de l'article 30) indiquant quels systèmes détiennent quelles données — Zunapro centralise cela pour les marketplaces, les boutiques, le CRM et les données de paiement
4. Des réponses types avec les métadonnées légalement requises préremplies
5. Une piste d'audit de chaque demande et de chaque réponse — les autorités de contrôle demandent régulièrement les journaux DSR des 12 derniers mois lors de leurs enquêtes

6. Notification de violation — Le délai de 72 heures (articles 33 à 34)

Ce qui constitue une « violation de données à caractère personnel »

L'article 4, paragraphe 12, définit une violation de données à caractère personnel comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ». Trois catégories découlent des lignes directrices 9/2022 du CEPD :

• Violation de confidentialité — divulgation ou accès non autorisés (piratage classique / base de données divulguée)
• Violation d'intégrité — altération non autorisée des données
• Violation de disponibilité — perte d'accès ou destruction accidentelle ou illicite (typiquement un rançongiciel)

La notification à l'autorité de contrôle sous 72 heures

L'article 33 exige la notification à l'autorité de contrôle compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Les notifications tardives doivent être accompagnées des motifs du retard. Le délai commence à courir dès lors que le responsable de traitement a un degré de certitude raisonnable qu'une violation s'est produite — et non dès le premier signal vague.

La notification aux clients en cas de « risque élevé »

L'article 34 impose une obligation parallèle de notifier les personnes concernées « dans les meilleurs délais » lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Exemptions : données chiffrées, mesures d'atténuation appliquées après coup, ou effort disproportionné (une communication publique suffit alors).

Contenu d'une notification de violation

• La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés
• Les coordonnées du DPO ou d'un autre point de contact
• Les conséquences probables
• Les mesures prises ou proposées pour remédier à la violation et en atténuer les effets négatifs éventuels

Schémas d'application courants

Les notifications tardives ou manquantes entraînent régulièrement des amendes, indépendamment de la violation sous-jacente. Exemples : Twitter International (aujourd'hui X) a été condamné à 450 000 € par la DPC irlandaise en 2020 pour notification tardive d'une violation ; Uber a été condamné à 600 000 € par l'AP néerlandaise pour ne pas avoir notifié une violation de 2016 dans les 72 heures suivant l'entrée en vigueur du RGPD. Dans les deux cas, la violation technique elle-même était relativement mineure ; c'est le manquement procédural qui a déterminé le montant de l'amende.

7. Transferts transfrontaliers — CCT, adéquation et Schrems II

La règle par défaut — Chapitre V

Le chapitre V du RGPD (art. 44 à 50) interdit les transferts de données à caractère personnel vers un « pays tiers » (hors UE/EEE) ou une organisation internationale, sauf si l'une des trois garanties suivantes s'applique :

1. Décision d'adéquation (art. 45) — la Commission a formellement décidé que le pays tiers offre un niveau de protection « substantiellement équivalent ».
2. Garanties appropriées (art. 46) — clauses contractuelles types (CCT), règles d'entreprise contraignantes (BCR), codes de conduite approuvés ou certifications.
3. Dérogations spécifiques (art. 49) — exceptions restreintes : consentement explicite, exécution d'un contrat, intérêt public important, intérêts vitaux.

Décisions d'adéquation en vigueur (2026)

En 2026, des décisions d'adéquation totales ou partielles couvrent : Andorre, l'Argentine, le Canada (organismes commerciaux), les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée (Corée du Sud), la Suisse, le Royaume-Uni (renouvelée en 2025, en vigueur jusqu'en 2031), l'Uruguay, et — dans le cadre du Data Privacy Framework UE-États-Unis (DPF) adopté le 10 juillet 2023 — les organismes américains certifiés.

Schrems II et les CCT

Le 16 juillet 2020, la CJUE, dans l'arrêt Schrems II (C-311/18), a invalidé le Privacy Shield UE-États-Unis et précisé que les CCT seules ne suffisent pas lorsque le droit du pays tiers concerné (par exemple, la section 702 du FISA aux États-Unis) crée des obligations contradictoires. Les responsables de traitement doivent :

• Utiliser les nouvelles CCT adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, organisées en quatre modules (RT-RT, RT-ST, ST-ST, ST-RT)
• Réaliser une analyse d'impact du transfert (AIT) du cadre juridique du pays importateur
• Appliquer des mesures supplémentaires lorsque l'AIT révèle un risque — généralement chiffrement de bout en bout, pseudonymisation, ou mesures contractuelles/organisationnelles (recommandations 01/2020 du CEPD)

Le Data Privacy Framework UE-États-Unis

Le DPF de 2023 a rétabli un mécanisme d'adéquation de type Privacy Shield pour les destinataires américains certifiés. Les vendeurs qui transfèrent des données à un sous-traitant américain certifié DPF (la plupart des grands hyperscalers — AWS, Google Cloud, Microsoft Azure — sont certifiés) n'ont pas besoin de CCT pour ce destinataire spécifique, mais devraient tout de même documenter la base juridique retenue et surveiller les évolutions : une contestation de type « Schrems III » est déjà en cours et pourrait rouvrir la question.

Ce que cela implique en pratique

• Cartographiez chaque sous-traitant et le pays où les données sont réellement traitées (pas seulement l'adresse de facturation)
• Signez les CCT 2021 avec les destinataires non couverts par une décision d'adéquation, avec le module adapté à la relation concernée
• Conservez une AIT pour chacun — la plupart des CMP et des outils de gestion des autorités fournissent des modèles
• Mettez à jour annuellement ou en cas de changement de la loi ou des sous-traitants

8. Le futur règlement ePrivacy — Ce qui change pour les cookies et le marketing

Le contexte législatif

Le règlement ePrivacy (RPVE) a été proposé par la Commission en janvier 2017 pour remplacer la directive ePrivacy 2002/58/CE (la « directive cookies »). Contrairement à une directive, il s'appliquerait directement, sans transposition nationale — mettant fin à la fragmentation actuelle dans laquelle la France (délibération CNIL 2020-091), l'Allemagne (TTDSG/TDDDG), l'Espagne (LSSI-CE), l'Italie (lignes directrices Garante 2021 sur les cookies) et d'autres interprètent chacune différemment le même socle de l'UE.

Ce qui devrait être couvert (état en 2026)

• Les cookies et technologies similaires — y compris le fingerprinting et les identifiants au niveau des SDK
• Les métadonnées des communications électroniques — étendant la confidentialité des communications au-delà des opérateurs télécoms traditionnels aux messageries OTT
• La prospection directe — opt-in pour le marketing électronique (e-mail, SMS), avec le « soft opt-in » existant pour des produits similaires dans le cadre de la relation client
• Les signaux de consentement au niveau du navigateur — reconnaissance explicite des signaux de type « Do Not Track » / Global Privacy Control
• Les communications non sollicitées — opt-in strict pour le B2C, moins strict pour le B2B

Ce qui ne change pas

Le RGPD reste la lex generalis en matière de qualité du consentement (art. 4, paragraphe 11, art. 7). Le RPVE est la lex specialis quant au moment où un consentement est requis pour les communications électroniques et le suivi. Une CMP TCF v2.2 conçue aujourd'hui devrait être compatible avec la transition vers le RPVE.

Impact attendu sur l'e-commerce

• Les différences nationales (par exemple, les subtilités du droit allemand des télécommunications) se réduisent au profit d'une règle unique à l'échelle de l'UE
• Les signaux « Tout refuser » au niveau du navigateur deviennent plus difficiles à ignorer — les infrastructures d'analyse et d'adtech doivent les respecter automatiquement
• Les règles de marketing B2B pourraient diverger davantage du B2C, certains États membres conservant des régimes B2C plus stricts
• Les campagnes marketing transfrontalières deviennent plus faciles à vérifier au regard de la conformité, à partir d'une source unique de référence

9. Amendes — 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83)

Les deux niveaux

L'article 83 fixe deux niveaux maximaux d'amende :

• Niveau 1 — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu : violations des obligations du responsable de traitement/du sous-traitant (art. 8, 11, 25 à 39, 42, 43)
• Niveau 2 — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu : violations des principes de base (art. 5), de la base juridique (art. 6), des conditions applicables au consentement (art. 7), des catégories particulières de données (art. 9), des droits des personnes concernées (art. 12 à 22) et des transferts internationaux (art. 44 à 49)

Comment les autorités de contrôle calculent le montant

Le CEPD a publié les lignes directrices 04/2022 sur le calcul des amendes administratives (adoptées le 24 mai 2023), qui fixent une méthodologie en cinq étapes :

1. Identifier les opérations de traitement et appliquer l'article 83, paragraphe 3, pour déterminer si une ou plusieurs amendes s'appliquent
2. Déterminer le montant de départ en fonction de la gravité de l'infraction (art. 83, paragraphe 2, points a, b, g)
3. Appliquer les circonstances aggravantes ou atténuantes (art. 83, paragraphe 2, points c à k)
4. S'assurer que le plafond dynamique (art. 83, paragraphes 4 à 6) n'est pas dépassé
5. Évaluer l'efficacité, la proportionnalité et le caractère dissuasif

Le paysage des amendes en 2026

Les amendes RGPD cumulées dépassent 5,5 milliards d'euros d'ici 2026. Parmi les sanctions marquantes :

• 1,2 milliard d'euros — Meta Platforms Ireland (DPC irlandaise, 22 mai 2023) — transferts illicites vers les États-Unis
• 746 millions d'euros — Amazon Europe Core (CNPD luxembourgeoise, 16 juillet 2021) — consentement adtech
• 405 millions d'euros — Meta / Instagram (DPC irlandaise, 5 septembre 2022) — données d'enfants
• 390 millions d'euros — Meta / Facebook + Instagram (DPC irlandaise, janvier 2023) — base juridique de la publicité
• 345 millions d'euros — TikTok (DPC irlandaise, septembre 2023) — confidentialité des mineurs
• 290 millions d'euros — Uber B.V. (AP néerlandaise, août 2024) — données des chauffeurs vers les États-Unis
• 225 millions d'euros — WhatsApp (DPC irlandaise, septembre 2021) — manquements en matière de transparence

La réalité pour les PME

Les amendes emblématiques visent les plus grands responsables de traitement, mais des autorités comme l'AEPD infligent chaque année, de façon routinière, des centaines d'amendes de 1 000 à 50 000 € aux PME — les infractions typiques étant l'absence de mention d'information, la vidéosurveillance non déclarée, les cookies illégaux et les réponses tardives aux demandes des personnes concernées. Pour un vendeur en ligne de l'UE réalisant entre 1 et 10 M€ de chiffre d'affaires, l'exposition réaliste se situe dans une fourchette de 5 000 à 100 000 € par constat — un montant significatif mais supportable, à condition qu'une conformité de base soit en place.

10. Check-list RGPD pour l'e-commerce + autorités nationales

La check-list opérationnelle en 12 points

1. Désigner un responsable de traitement et (si nécessaire) un DPO — documenter publiquement la désignation et les coordonnées
2. Tenir un registre au titre de l'article 30 des activités de traitement, indexé par finalité, base juridique, destinataires, conservation, transferts
3. Publier une politique de confidentialité conforme au RGPD au titre des articles 13-14 — à plusieurs niveaux, clairement rédigée, dans la langue du marché concerné
4. Déployer une CMP compatible TCF v2.2 avec des boutons « Tout accepter » / « Tout refuser » équivalents et des bascules granulaires
5. Documenter la base juridique de chaque activité de traitement — en distinguant notamment le contrat, l'intérêt légitime et le consentement
6. Signer des DPA (art. 28) avec chaque sous-traitant — prestataires de paiement, hébergeurs, partenaires logistiques, outils marketing
7. Mettre en place des workflows DSR — art. 15 à 22, SLA d'un mois, vérification d'identité, piste d'audit
8. Fixer des durées de conservation et de suppression — données de commande, données marketing, données de journaux, données de paiement, chacune avec son propre délai
9. Mettre en œuvre un plan de réponse en 72 heures aux violations — plan d'action, DPO nommément désigné, modèles pour l'autorité de contrôle, surveillance
10. Signer les CCT 2021 + réaliser des AIT pour chaque transfert non couvert par une décision d'adéquation ; s'appuyer sur le DPF UE-États-Unis lorsque le sous-traitant est certifié
11. Réaliser des AIPD (art. 35) pour les traitements à haut risque — profilage, catégories particulières de données à grande échelle, suivi systématique
12. Former le personnel, journaliser les décisions, tout documenter — la responsabilité (art. 5, paragraphe 2) est en soi une obligation substantielle

Autorités de contrôle nationales — Qui contacter et quand

État membre	Autorité	Ville	Priorité d'application 2026
France	CNIL	Paris	Cookies, adtech, TCF, amendes élevées
Espagne	AEPD	Madrid	Application auprès des PME, vidéosurveillance, retards DSR
Italie	Garante	Rome	IA/ChatGPT, télémarketing, cookies
Allemagne — fédéral	BfDI	Bonn	Organismes fédéraux, télécoms, poste
Allemagne — Länder	16 autorités régionales	Par Land	Application dans le secteur privé (LfDI BW, BlnBDI, HmbBfDI les plus actives)
Pays-Bas	Autoriteit Persoonsgegevens (AP)	La Haye	Cookie walls, registre IA, fuites de données publiques
Irlande	Data Protection Commission (DPC)	Dublin	Autorité chef de file pour la Big Tech, amendes les plus élevées
Hongrie	NAIH	Budapest	Vidéosurveillance, reconnaissance faciale, données RH
Belgique	Gegevensbeschermingsautoriteit (APD/GBA)	Bruxelles	Adtech, décisions IAB Europe TCF
Royaume-Uni	ICO (UK GDPR)	Wilmslow	Adtech, code de protection des enfants, lignes directrices sur l'IA

Comment lire ce tableau : pour les affaires transfrontalières, le mécanisme du « guichet unique » s'applique, et l'autorité chef de file est celle de l'établissement principal du responsable de traitement. Pour les plaintes purement nationales, c'est l'autorité locale qui traite le dossier. Zunapro enregistre pour chaque client une configuration d'autorité chef de file, afin que les réclamations des clients soient acheminées automatiquement.

Comment rendre une boutique Zunapro conforme au RGPD — étape par étape

1. Configurer le responsable de traitement et le DPO

Dans le panneau Zunapro → Paramètres → Confidentialité, déclarez l'entité juridique responsable de traitement, l'adresse enregistrée, le représentant dans l'UE (si vous êtes établi hors de l'UE) et les coordonnées du DPO. Ces valeurs alimentent automatiquement la mention d'information au titre de l'article 13, le premier niveau de la bannière cookies et la configuration de la boîte mail DSR.

2. Activer la CMP TCF v2.2

• Activer la plateforme de gestion du consentement dans Paramètres → Cookies
• Choisir la mise en forme (bannière, fenêtre modale, barre) et confirmer le traitement équivalent de « Tout accepter » / « Tout refuser »
• Sélectionner les finalités 1 à 11 de la GVL TCF — Zunapro présélectionne les valeurs par défaut adaptées à l'e-commerce
• Confirmer le lien permanent « Paramètres des cookies » en pied de page

3. Générer la mention d'information au titre de l'article 13

Zunapro génère une notice multilingue à partir des données saisies à l'étape 1 et des intégrations que vous avez connectées (prestataires de paiement, outils marketing, région d'hébergement). Vérifiez, modifiez la version localisée pour chaque marché, puis publiez.

4. Mettre en place le workflow DSR

• Configurer la boîte mail dédiée à la confidentialité (ou un point d'entrée de formulaire web)
• Associer chaque droit (accès, effacement, etc.) à son SLA et aux systèmes qui doivent agir
• Activer le journal d'audit

5. Activer la surveillance des violations + la bibliothèque de CCT

Activez le plan de réponse aux incidents en 72 heures et importez les CCT 2021 pré-signées pour chaque sous-traitant opérant en dehors de l'UE/l'EEE. Zunapro envoie des rappels annuels pour l'actualisation des AIT.

6. Mise en production

1. Connectez-vous à Zunapro et ouvrez le module UE
2. Activez le Privacy Hub dans les paramètres
3. Parcourez l'assistant — responsable de traitement, DPO, CMP, mention d'information, DSR, plan de réponse aux violations, CCT
4. Traduisez pour chaque marché où vous vendez (Zunapro fournit des modèles en EN, DE, FR, ES, IT, NL, PL, HU, PT, RO, CS, SK)
5. Mise en production — le premier passage complet prend généralement 10 à 15 minutes pour une seule boutique

FAQ RGPD UE 2026