La sécurité de votre site web au sens du RGPD tient pour l'essentiel dans l'article 32 : des mesures techniques adaptées au risque, et la preuve qu'elles sont testées. Nous vérifions votre site au regard de l'article 32 et de la fiche de la CNIL sur les sites web, mettons en place ce qui manque et rédigeons la partie technique de votre documentation, pour que votre DPO puisse la reprendre. Chaque affirmation du rapport renvoie à une source et à un résultat de test.

Ce que l'article 32 impose à un site web

L'article 32 oblige le responsable du traitement et le sous-traitant à mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque. Le texte donne quatre exemples, applicables chacun à un site.

Article 32.1 Texte (abrégé) Traduction concrète pour votre site
a) pseudonymisation et chiffrement des données à caractère personnel HTTPS sur toutes les pages, formulaires transmis chiffrés, sauvegardes chiffrées
b) confidentialité, intégrité, disponibilité et résilience constantes des systèmes CMS et extensions à jour, administrateurs en double authentification, un compte par personne
c) rétablir la disponibilité des données et l'accès dans des délais appropriés après un incident sauvegardes hors du serveur web et restauration testée
d) procédure pour tester, analyser et évaluer régulièrement l'efficacité des mesures audit de sécurité périodique avec résultat écrit

Le paragraphe 2 précise qu'il faut tenir compte en particulier des risques de destruction, de perte, d'altération, de divulgation non autorisée ou d'accès non autorisé. Un formulaire de contact, un dépôt de CV ou un espace client sont exactement les points où ces risques se concentrent.

Ce que la CNIL attend d'un site web

La CNIL a publié en mars 2024 une nouvelle édition de son Guide de la sécurité des données personnelles, avec une fiche consacrée aux sites web. Ses précautions élémentaires servent de grille de lecture à notre contrôle.

La fiche demande d'obtenir des certificats adaptés et de rendre TLS obligatoire pour les pages d'authentification et celles qui affichent ou transmettent des données personnelles. Elle demande aussi de limiter les ports ouverts au strict nécessaire, de réserver les interfaces d'administration aux personnes habilitées, d'activer HttpOnly et Secure sur tous les cookies, de limiter le nombre de composants et de les mettre à jour. Parmi les pratiques à proscrire : faire passer identifiants ou mots de passe dans une URL, placer la base de données sur un serveur directement accessible depuis internet, utiliser des comptes génériques.

Sanctions récentes de la CNIL sur la sécurité

La CNIL publie ses sanctions, et les décisions liées à la sécurité montrent ce qu'elle vérifie en pratique sur un site ou un système d'information.

  • Mars 2024, procédure simplifiée. Plusieurs organismes mis en demeure de mettre leurs sites en conformité utilisaient encore TLS 1.0 ou 1.1, des versions à proscrire, ou la fonction de hachage SHA-1, jugée non sûre. La CNIL leur a infligé des amendes.
  • Janvier 2026, France Travail. Amende de 5 millions d'euros sur le fondement de l'article 32, pour une authentification insuffisante, une journalisation trop faible et des habilitations trop larges.
  • Plafond légal. Pour un manquement à l'article 32, l'article 83.4 prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.

Violation de données : 72 heures et documentation interne

En cas de violation de données personnelles, le responsable du traitement notifie la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes. La notification se fait sur le téléservice de la CNIL.

Chaque violation est aussi documentée en interne, qu'elle soit notifiée ou non. Lorsque le risque est élevé pour les personnes, elles doivent être informées dans les meilleurs délais (article 34). Notre rôle consiste à établir les faits techniques : données présentes sur le serveur, données accessibles à l'attaquant, chronologie tirée des journaux. Si votre site a déjà été attaqué, voyez notre page site internet piraté.

Agence, hébergeur et article 28

L'agence ou l'hébergeur qui traite pour votre compte les données collectées par votre site agit en général comme sous-traitant. L'article 28 impose de ne recourir qu'à des sous-traitants présentant des garanties suffisantes quant aux mesures techniques et organisationnelles.

Une clause de contrat ne prouve pas à elle seule qu'une mesure existe sur le serveur. Notre rapport décrit ce qui est réellement configuré : version de TLS, double authentification, droits, emplacement et test des sauvegardes. Votre DPO dispose ainsi d'éléments vérifiés pour évaluer ces garanties.

Ce que nous faisons et ce que vous recevez

Nous vérifions, mettons en place et documentons. À la fin, votre site applique des mesures démontrables et votre DPO dispose de pièces utilisables.

  • Vérification : site, CMS, extensions, serveur, TLS et en-têtes, cookies, formulaires, accès, sauvegardes, au regard de l'article 32 et de la fiche CNIL.
  • Mise en place : mises à jour, en-têtes, double authentification, droits de fichiers, sauvegardes chiffrées et séparées avec test de restauration, seuls ou avec votre développeur.
  • Documentation : rapport priorisé, description technique des mesures du site avec date et résultat de test, preuve de restauration.
  • Contre-contrôle : nouvelle vérification après les corrections et confirmation écrite des points fermés.

Ce dont nous avons besoin

Il nous faut un interlocuteur habilité à ouvrir les accès et, si vous en avez un, le contact de votre DPO. Ensuite : un accès administrateur au CMS, l'accès à l'hébergement ou au serveur, la liste des formulaires et services tiers intégrés au site, et la lettre de cadrage (scope letter) signée.

Les limites de la mission

Nous ne sommes ni la CNIL, ni votre DPO, ni un cabinet d'avocats. La conformité globale de l'entreprise au RGPD relève de votre DPO ou de votre avocat, et seule la CNIL décide d'une sanction. Notre rapport ne vaut ni certificat ni attestation de conformité. Les notifications aux autorités sont faites par votre entreprise. Politique de confidentialité, bandeau cookies et recueil du consentement sont des sujets juridiques à traiter avec votre conseil.

Les risques des modèles tout faits, des textes de chatbot et des contrôles sans preuve

Un modèle de documentation trouvé en ligne décrit des mesures qui n'existent peut-être pas sur votre serveur. En cas de contrôle, l'écart entre le papier et la configuration réelle se voit vite.

Un chatbot rédige volontiers un paragraphe sur le chiffrement sans avoir vu votre site. Un prestataire peut corriger quelques en-têtes sans noter la date ni le résultat du test. Nous ne décrivons que ce que nous avons vérifié, avec la date et le résultat, et chaque constat est confirmé par une personne.

Coût et cocontractant

Le prix ferme figure dans la lettre de cadrage, avant le démarrage. Il dépend du nombre de sites et de serveurs, des formulaires, comptes clients et intégrations, et de la part de corrections que nous prenons en charge.

Les missions de sécurité sont conclues avec INNOVA CONSULT LTD., Ottawa, Ontario (Corporations Canada, numéro de société 1522612). Le rapport et la documentation vous appartiennent.

Pages liées

Sources (vérifiées le 23/10/2026)

Maksym Stepanenko, fondateur de Marketing MIX. Dernière vérification : 23 octobre 2026.