RGPD e-commerce : les documents obligatoires d'une boutique en ligne (2026)

Une boutique en ligne collecte plus de données que n'importe quel autre site : comptes clients, commandes, paiement, livraison, tracking marketing. C'est aussi l'un des profils les plus exposés aux contrôles. Voici exactement ce qu'il vous faut pour être en règle.

Mis à jour : août 2026 · Lecture 6 min

Pourquoi l'e-commerce est particulièrement concerné

Un site marchand traite des données à chaque étape : création de compte, panier, adresse de livraison, paiement, emails de suivi, relances, publicité. Plus vous collectez, plus vos obligations d'information, de sécurité et de gestion du consentement sont visibles — et vérifiables.

Les documents obligatoires

• Mentions légales : identité du vendeur, SIRET, hébergeur, contact.
• Politique de confidentialité : finalités (commande, compte, marketing), durées, droits, destinataires et transferts.
• CGV : obligatoires en vente aux consommateurs — prix, livraison, droit de rétractation, garanties légales, médiation.
• Bandeau cookies conforme : indispensable, l'e-commerce utilisant presque toujours de l'analytics et du retargeting.
• Registre des traitements : clients, prospects, commandes, newsletter.

Cookies et tracking : le point le plus sensible

Analytics, pixel Meta, Google Ads, retargeting, A/B testing… ces traceurs ne peuvent se déclencher qu'après consentement. Le bandeau doit permettre de refuser aussi facilement que d'accepter, et aucun cookie non essentiel ne doit être posé avant le choix. C'est le premier motif de sanction de la CNIL — voir notre article sur le contrôle CNIL 2026.

Sous-traitants et transferts hors UE

Vos prestataires traitent des données pour vous : Stripe ou PayPal (paiement), votre hébergeur, vos transporteurs, votre outil d'emailing, vos régies publicitaires. Ils doivent être identifiés dans la politique de confidentialité, et les transferts hors UE (souvent vers les États-Unis) encadrés (Data Privacy Framework ou clauses contractuelles types).

Durées de conservation et sécurité

• Commandes / facturation : conservation liée aux obligations comptables (jusqu'à 10 ans).
• Comptes clients : tant que le compte est actif, puis archivage/suppression.
• Prospection : généralement 3 ans après le dernier contact.
• Sécurité : HTTPS, accès restreints, mots de passe robustes, sauvegardes.

Checklist e-commerce

1. Mentions légales + politique de confidentialité en ligne.
2. CGV accessibles avant la commande.
3. Bandeau cookies conforme (refus = accepter, rien avant consentement).
4. Liste des sous-traitants et transferts dans la politique.
5. Registre des traitements à jour.
6. Durées de conservation + sécurité en place.

Questions fréquentes