Guide e-commerce
RGPD WooCommerce : mettre une boutique en ligne en règle
Une boutique WooCommerce collecte bien plus qu'un site vitrine : adresses de livraison, comptes clients, paiements, historique d'achat. Elle cumule donc trois blocs d'obligations que les guides RGPD généralistes survolent — protection des données, cookies e-commerce et mentions de vente en ligne. Voici les trois, sans jargon.
1. Les données que votre boutique traite (et ce que la CNIL en attend)
Chaque commande crée un traitement de données personnelles : nom, adresse de facturation et de livraison, e-mail, téléphone, historique d'achat, parfois un compte avec mot de passe. Trois obligations en découlent directement.
Le registre des traitements
L'article 30 du RGPD impose de tenir un registre des activités de traitement. Contrairement à une idée reçue, une TPE n'en est pas dispensée : l'exemption ne vaut que pour les traitements occasionnels, or gérer des commandes est un traitement régulier. Votre registre doit au minimum décrire les finalités (gestion des commandes, comptes, prospection), les données concernées, les destinataires et les durées de conservation.
Vos sous-traitants (art. 28)
Chaque service tiers qui touche aux données de vos clients est un sous-traitant avec lequel un contrat (ou DPA) est requis, et qui doit figurer dans votre politique de confidentialité. Sur une boutique WooCommerce typique :
| Sous-traitant | Exemples | Données transmises |
|---|---|---|
| Prestataire de paiement | Stripe, PayPal, Mollie | Nom, e-mail, montant, données de transaction |
| Transporteurs | Colissimo, Chronopost, Mondial Relay | Nom, adresse, téléphone, e-mail |
| E-mailing / newsletter | Brevo, Mailchimp | E-mail, prénom, historique d'achat |
| Hébergeur | OVH, o2switch, Hostinger | Toutes les données stockées en base |
| Analytics / publicité | Google Analytics, Meta Pixel | Identifiants, navigation, événements d'achat |
Les durées de conservation
Garder les données « au cas où » est une faute. Chaque catégorie a sa durée. Le point subtil du e-commerce : on archive les factures 10 ans (obligation comptable) tout en purgeant les comptes inactifs après 3 ans.
| Donnée | Durée | Base |
|---|---|---|
| Compte client actif | Toute la durée de la relation commerciale | Exécution du contrat |
| Prospection (client inactif) | 3 ans après le dernier achat ou contact | Recommandation CNIL |
| Factures & pièces comptables | 10 ans | Art. L123-22 Code de commerce |
| Données de carte bancaire | Non conservées (gérées par le prestataire de paiement) | Recommandation CNIL / PCI-DSS |
| Preuve du consentement cookies | Jusqu'à 6 mois recommandé, puis re-demande | Lignes directrices CNIL 2020 |
2. Les cookies e-commerce : lesquels bloquer, lesquels laisser
Une boutique déclenche vite une dizaine de scripts. La règle CNIL est simple : les cookies strictement nécessaires à la vente passent sans consentement, tout le reste doit être bloqué avantle clic d'acceptation.
Exemptés (aucun consentement)
- Cookie de panier WooCommerce
- Session / connexion au compte client
- Cookies de sécurité et anti-fraude
À bloquer avant consentement
- Meta Pixel (Facebook / Instagram Ads)
- Remarketing Google Ads
- Google Analytics / GA4
- Widgets de chat et vidéos tierces
Le Pixel Meta est le piège classique : installé pour suivre les conversions, il se déclenche dès l'arrivée sur la page produit, donc avant tout consentement — non conforme. Le remarketing Google Ads pose le même problème et relève désormais du Consent Mode v2 de Google, à ne pas confondre avec la conformité CNIL.
3. Les mentions obligatoires propres à la vente en ligne
Au-delà du RGPD, vendre à des consommateurs déclenche des obligations du Code de la consommation qu'un site vitrine n'a pas.
- CGV obligatoires.Pour la vente à un consommateur, les conditions générales de vente doivent être accessibles avant l'achat et acceptées explicitement au moment de commander (une case à cocher dédiée, non pré-cochée).
- Droit de rétractation de 14 jours. Article L221-18 du Code de la consommation : le client dispose de 14 jours pour se rétracter, et vous devez lui fournir le formulaire type. Oublier de l'informer prolonge le délai jusqu'à 12 mois.
- Informations précontractuelles. Article L221-5 : caractéristiques du produit, prix TTC, frais et délais de livraison, modalités de paiement, identité et coordonnées du vendeur, doivent être connus avant la validation.
- Médiateur de la consommation. Article L612-1 : tout professionnel vendant à des particuliers doit adhérer à un médiateur et en afficher les coordonnées. À noter : la plateforme européenne de règlement en ligne des litiges (RLL/ODR) a été fermée par la Commission le 20 juillet 2024 — ne renvoyez plus vers ce lien devenu obsolète.
Checklist « boutique WooCommerce conforme »
- Registre des activités de traitement rédigé (clients, prospects, commandes) — art. 30 RGPD
- Liste des sous-traitants tenue à jour avec un contrat / DPA pour chacun (art. 28)
- Durées de conservation définies et appliquées (purge des comptes inactifs)
- Politique de confidentialité publiée, adaptée à la vente en ligne
- Bandeau cookies qui bloque Pixel Meta / Google Ads AVANT consentement
- Case à cocher newsletter décochée par défaut, séparée de la validation de commande
- CGV accessibles avant paiement, acceptation explicite au checkout
- Droit de rétractation de 14 jours indiqué + formulaire type fourni
- Informations précontractuelles complètes (prix TTC, livraison, délais)
- Coordonnées du médiateur de la consommation affichées
- Mentions légales conformes (identité, SIRET, hébergeur) — art. 6 LCEN
Vous voulez savoir où en est votre boutique sans tout dérouler à la main ? Notre auto-diagnostic gratuit passe votre site au crible (cookies, blocage réel des scripts, documents légaux) et pointe précisément ce qui manque, avec le réglage à appliquer.
Comment WP Conforme couvre chaque point
Une boutique cumule les trois sujets — c'est exactement ce que réunit le Pack Conformité (79 €/an, plusieurs sites) avec ses trois plugins :
RGPD Express
Bloque Pixel Meta, Google Ads et Analytics avant consentement, laisse passer le panier, et tient le registre des consentements.
Légal Express
Génère mentions légales, politique de confidentialité et CGV adaptées à la vente en ligne (rétractation, précontractuel).
RGAA Express
Prépare la boutique à l'European Accessibility Act, qui vise aussi le e-commerce depuis juin 2025.
Questions fréquentes
Une boutique WooCommerce doit-elle tenir un registre des traitements ?
Oui. Dès que vous traitez régulièrement des données clients (comptes, commandes, prospection), l'article 30 du RGPD impose un registre des activités de traitement. L'exemption des organismes de moins de 250 personnes ne s'applique pas aux traitements non occasionnels : gérer des commandes clients au quotidien est justement un traitement régulier. Le registre liste les finalités, les catégories de données, les destinataires (sous-traitants) et les durées de conservation.
Quels cookies sont exemptés de consentement sur une boutique ?
Les cookies strictement nécessaires au fonctionnement : le cookie de panier WooCommerce, le cookie de session/connexion au compte client, et les cookies de sécurité ou de répartition de charge. Ils n'ont pas besoin de consentement. En revanche, tout ce qui sert au marketing ou à la mesure — Meta Pixel, remarketing Google Ads, Google Analytics — doit être bloqué tant que le client n'a pas accepté.
Combien de temps conserver les données d'un client ?
Le compte reste actif pendant toute la relation commerciale. Après le dernier achat ou contact, la CNIL recommande une conservation en base « prospect » de 3 ans maximum à des fins de démarchage. Les factures, elles, doivent être conservées 10 ans au titre du Code de commerce (art. L123-22) : on archive donc les données comptables tout en purgeant le reste. Les données de carte bancaire ne se conservent pas : elles sont gérées par votre prestataire de paiement.
Le droit de rétractation de 14 jours s'applique-t-il à tout ?
Non. Le délai de 14 jours (art. L221-18 du Code de la consommation) vaut pour la vente à distance aux consommateurs, mais des exceptions existent : biens confectionnés sur mesure ou personnalisés, denrées périssables, produits d'hygiène descellés, contenus numériques téléchargés avec accord exprès. Attention : si vous n'informez pas correctement le client de ce droit, le délai est prolongé jusqu'à 12 mois.
Une boutique conforme sur les 3 fronts
RGPD, mentions de vente en ligne et accessibilité réunis dans le Pack Conformité — 79 €/an, sans toucher au code.
Aide à la conformité & modèles à adapter — pas du conseil juridique.