Le RGPD reste la règle centrale pour toute structure traitant des données personnelles en Europe.

Depuis plusieurs années la CNIL accentue ses contrôles, spécialement pour les sites e-commerce et applications mobiles.

A retenir :

• Mise en place du MFA pour bases sensibles et accès administrateur
• Preuve documentaire des traitements registre AIPD contrats et procédures
• Conformité des applications mobiles traceurs SDK permissions et cookies
• Protection renforcée des mineurs information adaptée et consentement parental

Sécurité des données et MFA pour sites e-commerce

Suite aux priorités listées la sécurisation des accès s’impose comme priorité opérationnelle pour les sites e-commerce.

Selon la CNIL l’authentification multifacteur devient un élément attendu pour les bases de données sensibles.

Ce renforcement implique une gouvernance des accès documentée et des habilitations adaptées aux rôles.

MFA, habilitations et bonnes pratiques pour boutiques en ligne

Cette rubrique détaille les mesures concrètes pour appliquer le MFA et gérer les accès.

Selon la CNIL l’absence de MFA sur de grandes bases sensibles justifie désormais un contrôle renforcé.

Les procédures d’habilitation doivent être tracées et revues régulièrement avec preuves documentées.

Mesures techniques prioritaires :

• MFA pour comptes admin et accès aux bases sensibles
• Journalisation des connexions et surveillance des incidents systématique
• Séparation des environnements production et test avec contrôle d’accès
• Sauvegardes chiffrées et plans de restauration testés régulièrement

Mesure	Pourquoi	Niveau attendu
Authentification multifacteur (MFA)	Réduction des accès non autorisés	Déploiement sur comptes administrateurs et bases sensibles
Journalisation	Traçabilité des incidents et compliance	Logs horodatés et conservation justifiée
Sauvegardes chiffrées	Restitution des données après incident	Sauvegardes régulières et tests de restauration
Gestion des sous-traitants	Responsabilité partagée sur la sécurité	Contrats, audits et contrôles périodiques

Gestion des violations et procédures obligatoires

Ce point décrit comment réagir après une fuite et quelles preuves présenter à la CNIL.

Selon la CNIL une notification correcte doit inclure nature, étendue et mesures correctrices prises.

La documentation rapide et complète peut réduire l’impact procédural et l’exposition aux sanctions.

« J’ai perdu des utilisateurs après une fuite, le MFA a restauré la confiance. »

Marc D.

Ces mesures doivent être intégrées aux projets techniques et aux dossiers de conformité internes.

Elles poseront aussi les bases pour contrôler les usages d’IA et d’algorithmes dans le commerce en ligne.

IA, conformité et risques pour les sites e-commerce

Le passage à l’IA concernant traitements massifs exige des garanties spécifiques sur les données d’entraînement.

Selon la CNIL les projets d’IA doivent démontrer base légale, minimisation et respect des droits.

Ce contrôle renforcé obligera aussi à documenter les jeux de données et les traitements associés.

Intégrer le RGPD dès la conception des projets d’IA

Cette sous-partie propose des étapes pour inclure le RGPD dès la conception.

Une analyse d’impact AIPD est souvent nécessaire pour des traitements à haut risque.

Étapes de conformité :

• Cartographie des traitements à risque élevé et documentation associée
• Réalisation d’AIPD et mesures d’atténuation documentées formelles
• Choix de bases légales justifiées et information claire des personnes
• Mécanismes d’exercice des droits accessibles et traçables systématiquement

Aspect	Exigence RGPD	Preuve attendue
Base légale	Justification claire de l’usage des données	Mentions, contrats, consentements conservés
Minimisation	Données limitées au strict nécessaire	Schéma des données et suppression périodique
Transparence	Information accessible et compréhensible	Mentions, FAQ, interfaces utilisateur
AIPD	Analyse des risques et mesures correctrices	Document AIPD validé et conservé
Droits	Mécanismes d’exercice effectifs	Logs des demandes et réponses

Données d’entraînement et droits des personnes

Ce point examine la provenance et la minimisation des jeux de données d’entraînement.

Les droits d’accès et d’effacement doivent pouvoir être exercés même sur modèles entraînés.

La traçabilité des sources et la pseudonymisation figurent parmi les mesures recommandées.

« J’ai dû retravailler nos jeux d’entraînement pour respecter les droits d’effacement. »

Claire L.

Les exigences IA se recoupent souvent avec la conformité des applications mobiles et des traceurs.

Le contrôle des permissions et la protection des mineurs seront donc au coeur des audits suivants.

Applications mobiles, mineurs et conformité CNIL pour e-commerce

Face aux usages mobiles la CNIL a souligné la nécessité d’auditer permissions et SDK.

Les sites e-commerce proposant une application devront justifier chaque traceur et paramétrage par défaut.

Audit des permissions et des SDK dans les applis

Ce passage présente comment auditer les SDK, permissions et bandeaux in-app.

Un audit technique identifie les traceurs tiers, permissions excessives et risques de fuite de données.

Vérifications techniques clés :

• Analyse des permissions demandées et justification fonctionnelle
• Inventaire des SDK tiers et évaluation des risques de confidentialité
• Paramètres par défaut respectueux de la vie privée et absence de traceurs autorisants
• Procédure d’audit périodique et preuve de remédiation conservée

« Le DPO a constaté une amélioration notable après l’audit mobile. »

Antoine B.

Protection des mineurs et preuve du consentement

La protection des mineurs demande dispositifs spécifiques et information adaptée.

Les e-commerces doivent prouver consentement parental et limitation des traitements pour les publics jeunes.

Les mentions adaptées, verification parentale et durée de conservation limitée constituent des preuves opérationnelles.

« À mon avis la conformité devient un élément de confiance client pour les boutiques en ligne. »

Laura P.

Ces bonnes pratiques trouvent appui dans la doctrine et les publications officielles citées en référence.

Source : CNIL, « Plan stratégique 2025-2028 », CNIL, 2025 ; CNIL, « Tables Informatique et Libertés », CNIL, 2026 ; CNIL, « Sécurité des grandes bases de données », CNIL, 2026.