Le RGPD a huit ans, et pourtant la majorité des sites WordPress de PME restent partiellement non conformes. Pas par mauvaise foi — par méconnaissance technique. Un bandeau cookies posé à la va-vite, un Contact Form 7 qui envoie des données sans cadre, des plugins tiers qui pistent à votre insu : autant de risques juridiques qui dorment sous le capot. Ce guide fait le tour de la conformité RGPD d’un WordPress en 2026, sans jargon inutile.
Soyons clairs sur l’enjeu : la CNIL et ses homologues européens ont durci les contrôles, et les sanctions ne visent plus seulement les géants. Une PME peut être épinglée pour un bandeau cookies non conforme ou une fuite de données via un plugin négligé. La bonne nouvelle : la mise en conformité d’un site WordPress est tout à fait atteignable avec une méthode. Public visé : propriétaires de PME, DPO et responsables informatiques.
Ce qui a évolué depuis 2018
Le RGPD lui-même n’a pas changé, mais son application s’est durcie et précisée. Trois évolutions majeures pèsent en 2026 :
- Le consentement cookies est devenu strict. Fini le bandeau « en continuant, vous acceptez ». Le consentement doit être explicite, granulaire (par finalité), aussi facile à refuser qu’à accepter, et révocable. Un site qui dépose des cookies de tracking avant le consentement est en infraction.
- Les transferts de données hors UE sont scrutés. Après l’invalidation puis le remplacement des cadres de transfert transatlantiques, utiliser un service américain (analytics, fonts, CDN) sans garanties appropriées est un point de vigilance majeur.
- La responsabilité s’étend aux sous-traitants. Vous êtes responsable des plugins et services tiers qui traitent les données de vos visiteurs. « C’est le plugin qui le fait » n’est pas une défense.
Cookies et trackers : la fin du consentement implicite
C’est le point le plus visible et le plus souvent mal géré. La règle en 2026 : aucun cookie non essentiel ne doit être déposé avant le consentement explicite de l’utilisateur. Cela implique :
- Un véritable outil de gestion du consentement (CMP), pas un simple bandeau cosmétique.
- Le blocage effectif des scripts de tracking (Google Analytics, pixels publicitaires, vidéos embarquées) tant que le consentement n’est pas donné.
- Des choix granulaires : l’utilisateur accepte les statistiques mais refuse la publicité, par exemple.
- Un refus aussi simple que l’acceptation — un bouton « tout refuser » au même niveau que « tout accepter ».
- La journalisation du consentement (preuve que vous l’avez bien recueilli).
Beaucoup de sites WordPress ont un bandeau qui informe mais ne bloque rien : c’est précisément le cas qui expose à une sanction.
Formulaires de contact : ce que Contact Form 7 ne fait pas tout seul
Un formulaire collecte des données personnelles (nom, email, parfois plus). Contact Form 7, très répandu, n’intègre pas nativement la conformité : il faut l’ajouter. Concrètement :
- Une case de consentement explicite (non pré-cochée) avec mention de la finalité et lien vers la politique de confidentialité.
- Une durée de conservation définie : les messages stockés indéfiniment (via Flamingo par exemple) sont un risque. Prévoyez une purge automatique.
- La sécurisation de la transmission : les données du formulaire ne doivent pas transiter en clair.
- La minimisation : ne demandez que les données réellement nécessaires.
Plugins tiers : la zone de risque
Chaque plugin qui charge une ressource externe ou traite des données est un sous-traitant potentiel. Les coupables fréquents : les polices Google chargées depuis les serveurs de Google (à héberger localement), les cartes, les widgets de réseaux sociaux, les outils de chat, les pixels marketing. L’audit des plugins est indispensable : pour chacun, identifiez quelles données il traite, où elles partent, et si un consentement est requis. Un plugin abandonné ou non maintenu est un double risque — RGPD et sécurité.
Sauvegardes et localisation des données
Vos sauvegardes contiennent des données personnelles. Où sont-elles stockées ? Si c’est sur un cloud hors UE sans garanties, c’est un point de non-conformité. De même, l’hébergement du site : un hébergeur UE simplifie considérablement la conformité. La localisation des données — site, sauvegardes, logs, emails — fait partie intégrante de l’audit RGPD.
Droit à l’oubli en pratique
Un utilisateur peut demander l’effacement de ses données. En pratique sur WordPress, cela signifie pouvoir retrouver et supprimer ses données partout : comptes, commandes (dans les limites légales comptables), messages de formulaire, commentaires, et données dans les plugins tiers. WordPress propose des outils natifs d’export et d’effacement des données personnelles (depuis la version 4.9.6) — encore faut-il les avoir configurés et testés. Un droit à l’oubli qu’on ne sait pas exécuter techniquement est une non-conformité.
Checklist : audit RGPD WordPress en 12 points
- CMP installée et bloquant réellement les cookies non essentiels avant consentement.
- Bouton « tout refuser » au même niveau que « tout accepter ».
- Google Analytics (ou équivalent) anonymisé et conditionné au consentement.
- Polices et ressources externes hébergées localement quand c’est possible.
- Formulaires avec case de consentement explicite non pré-cochée.
- Durée de conservation définie et purge automatique des messages.
- Politique de confidentialité à jour, claire et accessible.
- Registre des traitements tenu et à jour.
- Audit des plugins tiers et de leurs flux de données.
- Hébergement et sauvegardes localisés UE (ou garanties appropriées).
- Procédure de droit à l’oubli testée et opérationnelle.
- Mises à jour de sécurité à jour (un site piraté = fuite de données).
En pratique
La conformité RGPD d’un WordPress n’est pas une case à cocher une fois pour toutes : c’est un état à maintenir, qui croise le juridique, le technique et la sécurité. La plupart des non-conformités viennent de détails techniques invisibles — un script qui se charge trop tôt, un plugin qui piste, une sauvegarde mal localisée. Un audit méthodique les met au jour.
À l’agence Seganiko, nous réalisons des audits de conformité RGPD WordPress dans le cadre de nos prestations de maintenance et de développement WordPress. Nous passons votre site au crible des 12 points ci-dessus et livrons un plan de mise en conformité priorisé. Le premier audit est gratuit.
Besoin d'améliorer votre SEO ?
Nous auditons votre site et mettons en place une stratégie de référencement mesurable.
Voir notre service SEO →
