Le RGPD a bientôt 8 ans. La plupart des e-commerçants pensent être en conformité parce qu'ils ont installé une bannière de cookies. En pratique, quand on scanne des boutiques en ligne, on trouve des violations sur la majorité d'entre elles.
Ce guide détaille les 7 vérifications que PurpleScan effectue automatiquement sur chaque site. Vous y trouverez aussi les sanctions CNIL les plus courantes en 2025-2026 et une checklist de mise en conformité par plateforme.
Ce que le RGPD exige concrètement d'un site e-commerce
Le règlement impose trois principes qui concernent directement votre boutique :
Consentement préalable : aucun cookie non essentiel ne doit être déposé avant que l'utilisateur ait explicitement accepté. Ça inclut Google Analytics, Meta Pixel, Hotjar, Clarity, et tout script de remarketing.
Information claire : l'utilisateur doit savoir quelles données sont collectées, pourquoi, et par qui. Ça se traduit par une politique de confidentialité accessible et des CGV à jour.
Droit de refus effectif : refuser les cookies doit être aussi simple qu'accepter. Le bouton "Refuser" ne doit pas être caché derrière un sous-menu ou une couleur moins visible.
En théorie, c'est simple. En pratique, les violations viennent rarement d'une mauvaise volonté. Elles viennent de configurations qui dérivent au fil du temps : un tag manager mal paramétré, un script tiers ajouté par un prestataire, une mise à jour de CMP qui réinitialise les réglages.
Les 7 vérifications de conformité PurpleScan
1. Détection de la bannière de consentement
PurpleScan identifie automatiquement la présence d'une CMP (Consent Management Platform) parmi les 10+ solutions du marché : Cookiebot, Axeptio, Didomi, OneTrust, Tarteaucitron, CookieYes, Complianz, CIVIC, Osano, et d'autres. La détection se fait par analyse des scripts chargés, des éléments DOM, et des cookies caractéristiques de chaque solution.
Pas de CMP détectée = alerte immédiate. C'est le premier signal d'un site non conforme.
2. Cookies déposés avant consentement
C'est la vérification la plus importante, et celle où on trouve le plus de violations. PurpleScan utilise un système de crawl en trois phases :
Phase HTML brut : chargement sans exécution JavaScript. Capture les cookies serveur.
Phase avec rendu pré-consentement : chargement avec JavaScript, mais sans interaction avec la bannière. Tous les cookies présents à ce stade sont des cookies déposés avant consentement.
Phase avec rendu avec consentement refusé : simulation du refus de cookies. Les cookies qui persistent après refus sont en violation.
PurpleScan détecte 30+ patterns de cookies traceurs classés par niveau de sévérité. Les cookies critiques (IDE, MUID, _fbp, _gcl_au) déclenchent une alerte de sévérité maximale. Les cookies de niveau élevé (_ga, _gid, _clck) restent des violations, mais avec un impact moindre sur le score.
3. Lien vers la politique de confidentialité
Le RGPD exige que la politique de confidentialité soit facilement accessible. PurpleScan vérifie la présence d'un lien contenant des termes comme "politique de confidentialité", "privacy policy", "données personnelles" dans le footer ou la navigation du site.
4. Lien vers les CGV
Pour un site e-commerce, les Conditions Générales de Vente sont obligatoires. PurpleScan cherche un lien vers les CGV ou "terms" dans la structure du site. L'absence de ce lien est signalée comme un problème de conformité.
5. Audit des scripts tiers
Chaque script tiers chargé sur votre site est un transfert de données potentiel. PurpleScan catalogue les 70+ services tiers détectés et les classe par catégorie : analytics, A/B testing, session recording, chat, publicité, réseaux sociaux. Les scripts qui chargent avant consentement sont les plus problématiques.
6. Détection de fuites de données personnelles
Un cas qu'on voit plus souvent qu'on ne le pense : des adresses email de clients qui apparaissent dans les URLs de requêtes vers des services tiers. Ça arrive quand un outil de marketing ou d'analytics reçoit l'email du client en paramètre d'URL, en clair, sans hachage. PurpleScan scanne les requêtes réseau capturées pendant le crawl pour détecter ces fuites.
7. Assets CDN externes et vie privée
Charger Google Fonts depuis fonts.googleapis.com, jQuery depuis cdn.jsdelivr.net, ou des icônes depuis un CDN tiers : chaque requête envoie l'adresse IP de votre visiteur à un serveur tiers. La Cour de justice de Munich a jugé en janvier 2022 que le chargement de Google Fonts depuis les serveurs de Google constitue une violation du RGPD (LG München, 3 O 17493/20).
PurpleScan identifie tous les assets chargés depuis des domaines externes et signale ceux qui posent un risque vie privée.
Ce que la CNIL sanctionne le plus
Les décisions de la CNIL depuis 2021 montrent deux axes de sanction principaux :
Les cookies déposés avant consentement. C'est le motif le plus fréquent. La CNIL a sanctionné Google (150 M€), Facebook (60 M€), et Microsoft (60 M€) en décembre 2022 pour dépôt de cookies publicitaires sans consentement préalable sur leurs sites français. Des e-commerçants de taille moyenne ont aussi été sanctionnés, avec des amendes de 50 000 € à 500 000 € selon la taille de l'entreprise et le volume de données concerné.
L'absence de mécanisme de refus équivalent à l'acceptation. Si votre bannière affiche un gros bouton "Accepter" et un petit lien "Paramétrer" sans bouton "Refuser" direct, vous êtes en infraction. La CNIL a clarifié cette position dans ses lignes directrices de mars 2021 : le refus doit être aussi simple que l'acceptation.
À noter aussi : les contrôles de la CNIL se font souvent par vagues thématiques. En 2023, la vague portait sur les applications mobiles. En 2024, sur les données des mineurs. Les sites e-commerce restent dans le radar permanent.
Le cas Google Fonts et les CDN externes
Le jugement du tribunal de Munich a créé un précédent que beaucoup d'e-commerçants n'ont pas encore intégré. Charger une police, un framework JS ou des icônes depuis un CDN externe envoie automatiquement l'IP du visiteur au serveur CDN. Sans consentement, c'est un transfert de données non autorisé.
Les solutions :
Héberger Google Fonts localement (un simple téléchargement + configuration CSS)
Remplacer les CDN externes par des copies locales des librairies JS
Utiliser un CDN que vous contrôlez pour vos assets statiques
PurpleScan liste toutes les requêtes cross-origin avec le domaine source, ce qui permet d'identifier rapidement les assets à rapatrier.
Checklist de mise en conformité par plateforme
Shopify
Activer le système de consentement natif de Shopify (Customer Privacy API) ou installer une CMP tierce (Axeptio, Cookiebot)
Vérifier que les apps installées respectent le signal de consentement — beaucoup ne le font pas
Héberger les fonts localement via le thème (pas de Google Fonts externe)
Ajouter les liens Politique de confidentialité et CGV dans le footer (pages légales à créer manuellement)
Magento / Adobe Commerce
Configurer le module Cookie Restriction Mode natif ou intégrer une CMP comme Cookiebot via GTM
Vérifier
app/etc/env.php: ce fichier contient les credentials base de données et ne doit jamais être accessible publiquementAuditer les modules tiers qui injectent des scripts (tracking, avis clients, recommandation produit)
Configurer les headers CSP pour contrôler les domaines autorisés
PrestaShop
Utiliser un module CMP compatible PrestaShop 8+ (Axeptio, Tarteaucitron sont les plus répandus)
Vérifier que le module bloque effectivement les scripts avant consentement et pas juste la bannière visuelle
Ajouter les pages légales obligatoires via le CMS intégré (Mentions légales, CGV, Politique de confidentialité)
Auditer les modules installés : certains modules de statistiques ou de marketing ajoutent des scripts tiers sans passer par la CMP
Scanner votre conformité
Les violations RGPD sur un site e-commerce sont rarement intentionnelles. Elles s'accumulent avec le temps : un script ajouté ici, une mise à jour de module là, un prestataire qui intègre un pixel sans prévenir. Le problème, c'est que ces violations sont invisibles à l'œil nu. Vous ne les voyez pas en naviguant sur votre propre site.
PurpleScan détecte ces 7 types de violations à chaque scan. Si votre dernier audit RGPD date de plus de 6 mois, il y a de fortes chances que votre situation ait changé depuis.