RGPD et boutique Joomla : la check-list complète pour être en règle en 2025

Article mis à jour en août 2026.

Depuis le 25 mai 2018, le RGPD — Règlement général sur la protection des données — s’applique aux traitements de données personnelles qui entrent dans son champ d’application.

Et oui, si vous gérez une boutique Joomla avec HikaShop, VirtueMart ou une autre extension e-commerce, le sujet vous concerne très vite : compte client, commande, adresse de livraison, paiement, newsletter, cookies, statistiques, support… une boutique en ligne manipule forcément des données qui doivent être encadrées.

La bonne nouvelle, c’est qu’en 2026 les règles sont beaucoup plus claires qu’aux débuts du RGPD. La mauvaise, c’est qu’une bannière cookies et une case à cocher ne suffisent toujours pas à rendre un site conforme.

Ce que vous allez découvrir dans cet article

• Pourquoi le RGPD concerne une boutique Joomla
• Quelle base légale utiliser selon le traitement
• Les zones à vérifier : cookies, formulaires, emails, commandes et compte client
• Les outils Joomla utiles pour gérer les demandes liées aux données
• La check-list RGPD 2026
• Les sanctions réellement possibles

Pourquoi le RGPD concerne aussi votre boutique Joomla

À partir du moment où votre boutique traite des données personnelles, vous devez déterminer pourquoi vous les utilisez, sur quelle base légale, pendant combien de temps et avec quels prestataires.

Concrètement, cela concerne notamment :

• les formulaires de contact, d’inscription et de commande ;
• les comptes clients et historiques de commandes ;
• les adresses de facturation et de livraison ;
• les systèmes de paiement et prestataires associés ;
• les cookies, pixels et autres traceurs ;
• l’envoi d’emails transactionnels ou commerciaux ;
• les outils de statistiques, CRM, chat, avis clients ou marketing ;
• les sauvegardes contenant des données clients.

Vous voulez reprendre les bases ? Consultez aussi notre article La protection de vos données personnelles, un enjeu crucial à l’ère numérique.

Ce que dit la loi en 2026 — version dédramatisée

Le point le plus important à corriger par rapport à la première version de cet article : le RGPD ne dit pas qu’il faut demander le consentement pour tout.

Chaque traitement doit avoir une base légale adaptée. Sur une boutique en ligne, on retrouve souvent :

• l’exécution du contrat pour gérer une commande, la livraison ou le compte nécessaire au service ;
• l’obligation légale pour certaines données que vous devez conserver, notamment en matière comptable ;
• l’intérêt légitime pour certains traitements, à condition de vérifier que les droits des personnes ne l’emportent pas ;
• le consentement lorsque la réglementation ou la finalité l’impose, par exemple pour certaines opérations de prospection ou certains traceurs.

Dans tous les cas, vous devez informer clairement les personnes sur :

• l’identité du responsable du traitement ;
• les finalités ;
• la base légale ;
• les destinataires ou catégories de destinataires ;
• la durée de conservation ou les critères utilisés pour la déterminer ;
• les droits des personnes et la façon de les exercer ;
• les éventuels transferts de données hors Espace économique européen lorsqu’ils existent.

Référence : CNIL — Informer les personnes.

Les zones sensibles à vérifier sur votre boutique Joomla

1. Cookies et traceurs

Google Analytics, Meta Pixel, chat, A/B testing, publicité, mesure de conversion… beaucoup d’outils peuvent déposer ou lire des traceurs.

Mais tous les traceurs ne sont pas automatiquement soumis au consentement. Certains traceurs strictement nécessaires au fonctionnement du service sont exemptés. Des solutions de mesure d’audience peuvent également bénéficier d’une exemption si elles respectent les conditions fixées par la CNIL.

Pour les traceurs soumis au consentement :

• ils ne doivent pas être déposés avant le choix de l’utilisateur ;
• refuser doit être aussi simple qu’accepter ;
• le consentement doit être libre, spécifique, éclairé et univoque ;
• l’utilisateur doit pouvoir revenir sur son choix à tout moment ;
• la CNIL considère en général qu’une durée de six mois pour mémoriser le choix d’accepter ou de refuser est appropriée.

Références : CNIL — mettre son site en conformité pour les cookies et solutions de mesure d’audience exemptées sous conditions.

2. Formulaires

Autre correction importante : une case “J’accepte que mes données soient utilisées” n’est pas obligatoire sur chaque formulaire.

Ce qu’il faut surtout, c’est informer la personne et utiliser la bonne base légale.

Par exemple :

• pour une commande, le traitement est généralement nécessaire à l’exécution du contrat ;
• pour une demande de devis ou de contact, la base dépend de la situation et de la finalité ;
• pour une inscription volontaire à une newsletter B2C, le consentement est généralement requis.

Si le consentement est bien la base légale choisie, alors oui : la case doit être distincte, non pré-cochée et associée à une information compréhensible.

3. Emails transactionnels et commerciaux

Une confirmation de commande, un avis d’expédition et une newsletter ne sont pas la même chose.

En juin 2026, la CNIL a rappelé cette distinction :

• les emails transactionnels nécessaires à la commande ou au service ne sont pas de la prospection ;
• pour la prospection commerciale B2C par email, le consentement préalable reste le principe ;
• une exception existe pour un client déjà acquis lorsque vous lui proposez des produits ou services analogues fournis par la même entreprise, à condition de lui permettre de s’y opposer facilement dès la collecte et à chaque envoi ;
• une simple création de compte sans achat ne suffit pas à bénéficier de cette exception.

Référence : CNIL — prospection commerciale par voie électronique, mise à jour du 10 juin 2026.

4. Pixels de suivi dans les emails : nouveauté importante en 2026

Si votre outil d’emailing mesure l’ouverture des messages à l’aide d’un pixel invisible, ne l’oubliez pas dans votre audit.

La CNIL a publié en avril 2026 une recommandation spécifique sur les pixels de suivi intégrés aux courriers électroniques. Selon la finalité, certains usages nécessitent le consentement, tandis que d’autres peuvent bénéficier d’une exemption sous conditions.

En août 2026, ce n’est donc plus un sujet à traiter comme un simple réglage statistique de votre outil d’emailing.

Référence : CNIL — recommandation sur les pixels de suivi dans les courriers électroniques, 14 avril 2026.

5. Données clients stockées

Vos clients disposent notamment de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et, lorsque les conditions sont réunies, de portabilité.

Votre boutique n’est pas forcément obligée de proposer un gros bouton automatique « Supprimer toutes mes données ». En revanche, vous devez être capable de recevoir, authentifier et traiter correctement les demandes.

Le délai de principe est d’un mois. Il peut être prolongé de deux mois lorsque la demande est complexe ou que les demandes sont nombreuses, à condition d’en informer la personne dans le premier mois.

Attention également : le droit à l’effacement n’est pas absolu. Certaines données doivent continuer à être conservées lorsqu’une obligation légale l’impose.

Référence : CNIL — répondre à une demande de droit d’accès.

6. Prestataires, modules et sous-traitants

Votre boutique Joomla ne fonctionne probablement pas seule : paiement, emailing, hébergement, sauvegardes, CRM, livraison, avis clients, support ou analytics peuvent impliquer des prestataires qui traitent des données pour votre compte.

Le RGPD impose d’identifier ces acteurs, de vérifier les garanties proposées et d’encadrer la sous-traitance par un contrat conforme à l’article 28 lorsque le prestataire agit comme sous-traitant.

Si des données sont transférées hors de l’Espace économique européen, il faut également vérifier le mécanisme juridique utilisé pour ce transfert.

Les outils Joomla pour vous aider — sans confondre CMS et conformité

Joomla intègre depuis plusieurs versions une suite d’outils de confidentialité permettant notamment de gérer des demandes d’export ou de suppression/anonymisation dans les composants compatibles.

En août 2026, la version stable courante de la branche Joomla 6 est Joomla 6.1.2, publiée le 7 juillet 2026. Si votre boutique tourne sur une version plus ancienne, la mise à jour doit être préparée avec les extensions e-commerce et les modules installés.

Vous pouvez continuer avec notre article : Joomla 6.0 marque une évolution majeure à ne pas manquer.

Quelques briques à contrôler :

Vous travaillez avec des modules de paiement ? Consultez aussi notre guide Les meilleures extensions de paiement pour Joomla.

La check-list RGPD de votre boutique Joomla — version 2026

• Cartographier les traitements : commande, compte client, paiement, newsletter, support, statistiques, livraison, avis, etc.
• Définir une base légale pour chaque finalité au lieu de demander un consentement générique pour tout.
• Réduire les données collectées à ce qui est réellement nécessaire.
• Informer les utilisateurs au bon moment avec une information claire et accessible.
• Configurer correctement les cookies et traceurs : blocage préalable quand le consentement est requis, refus aussi simple que l’acceptation, retrait possible.
• Distinguer emails transactionnels et marketing et gérer correctement l’opt-in / l’opt-out.
• Vérifier les pixels de suivi dans les emails depuis la recommandation CNIL 2026.
• Documenter les sous-traitants : hébergeur, paiement, emailing, CRM, sauvegardes, analytics, livraison.
• Vérifier les transferts hors EEE lorsqu’un fournisseur ou un sous-traitant en réalise.
• Définir des durées de conservation par catégorie de données.
• Organiser l’exercice des droits et savoir répondre dans les délais.
• Tenir un registre des activités de traitement lorsque l’obligation s’applique — en pratique, la CNIL recommande de l’utiliser comme outil de pilotage même pour les petites structures dès qu’il existe des traitements récurrents.
• Sécuriser la boutique : HTTPS, mises à jour Joomla et extensions, contrôle des comptes administrateurs, sauvegardes, mots de passe, correctifs de sécurité.
• Prévoir une procédure de violation de données : détection, analyse, documentation et notification à la CNIL lorsque les conditions du RGPD l’imposent.

Où placer la politique de confidentialité dans Joomla ?

Créez une page clairement identifiée « Politique de confidentialité » et rendez-la accessible depuis les zones où les données sont collectées.

Je recommande notamment :

• un lien permanent dans le footer ;
• un accès depuis la bannière ou le gestionnaire de cookies ;
• une information courte directement sous les formulaires, complétée par un lien vers la politique détaillée ;
• un lien dans l’espace client si vous en avez un.

Évitez en revanche la formule générique :

« En soumettant ce formulaire, vous acceptez notre politique de confidentialité. »

Une politique de confidentialité est d’abord une information. Elle n’a pas à être « acceptée » comme si elle constituait systématiquement le fondement juridique du traitement.

Préférez une mention adaptée à la finalité, par exemple :

« Les informations saisies dans ce formulaire sont utilisées pour répondre à votre demande. Pour en savoir plus sur l’utilisation de vos données et vos droits, consultez notre politique de confidentialité. »

Que risquez-vous en cas de non-conformité ?

Il faut éviter deux extrêmes : « la CNIL ne contrôle jamais les petites boutiques » et « la moindre erreur coûte automatiquement 4 % du chiffre d’affaires ».

Selon la nature et la gravité du manquement, la CNIL dispose de plusieurs leviers :

• rappel aux obligations ;
• mise en demeure ;
• injonction de mise en conformité, éventuellement sous astreinte ;
• limitation ou interdiction de certains traitements ;
• sanction pécuniaire.

Dans la procédure ordinaire, certaines violations du RGPD peuvent conduire à une amende allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. Ce sont des maxima légaux, pas un tarif automatique.

Autre correction importante : une mise en demeure n’impose pas systématiquement « 30 jours ». Le délai est fixé en fonction de la décision et de la situation.

Référence : CNIL — la chaîne répressive.

Et le SEO dans tout ça ?

Je préfère retirer une idée trop souvent répétée : être conforme au RGPD n’est pas un facteur de classement SEO connu en tant que tel.

En revanche, une bonne mise en œuvre évite de dégrader inutilement le site :

• scripts marketing chargés seulement quand ils doivent l’être ;
• bannière cookies qui ne bloque pas le contenu ;
• site sécurisé et maintenu ;
• parcours de commande compréhensible ;
• confiance renforcée pour l’utilisateur.

Le sujet SEO reste donc indirect : mieux vaut une conformité proprement intégrée qu’un empilement de scripts, de popups et de modules qui ralentissent ou cassent le parcours.

En résumé

En 2026, le RGPD n’a pas changé de philosophie : savoir quelles données vous traitez, pourquoi vous les traitez, combien de temps vous les gardez, avec qui vous les partagez et comment les personnes peuvent exercer leurs droits.

Ce qui a évolué, c’est le niveau de précision attendu autour des traceurs, de la prospection et, désormais, des pixels de suivi dans les emails.

Pour une boutique Joomla, le bon réflexe n’est donc pas d’installer « un plugin RGPD ». Il faut regarder le parcours complet : CMS, e-commerce, paiement, emails, statistiques, sauvegardes et prestataires.

Besoin d’un accompagnement technique RGPD pour Joomla ?

TooNetCreation peut intervenir sur la partie technique et opérationnelle :

• pré-audit des cookies, formulaires, modules et flux de données ;
• configuration ou correction du gestionnaire de consentement ;
• identification des scripts et traceurs déposés ;
• mise à jour Joomla et extensions ;
• mise en place des éléments techniques nécessaires à l’exercice des droits ;
• coordination avec votre DPO, juriste ou conseil lorsque l’analyse juridique dépasse le périmètre technique.

Contactez-nous pour faire le point sur votre boutique Joomla.

FAQ RGPD et boutique Joomla

Faut-il une case de consentement sur chaque formulaire Joomla ?

Non. Il faut d’abord déterminer la finalité et la base légale du traitement. Une case non pré-cochée est nécessaire lorsque le consentement constitue réellement la base légale, mais une commande e-commerce repose généralement sur l’exécution du contrat.

Tous les cookies nécessitent-ils un consentement ?

Non. Les traceurs strictement nécessaires au service sont exemptés. Certaines solutions de mesure d’audience peuvent également être exemptées sous conditions. Les autres traceurs concernés doivent être bloqués jusqu’à obtention d’un consentement valide.

Combien de temps ai-je pour répondre à une demande RGPD ?

Le délai de principe est d’un mois. Il peut être prolongé de deux mois pour une demande complexe ou en cas de demandes nombreuses, à condition d’informer la personne dans le premier mois.

Une boutique Joomla doit-elle permettre la suppression automatique d’un compte ?

Pas nécessairement sous la forme d’un bouton automatique. Vous devez toutefois être capable de traiter correctement les demandes d’effacement, en tenant compte des données qui doivent être conservées pour respecter une obligation légale.

Joomla suffit-il à rendre une boutique conforme au RGPD ?

Non. Joomla fournit des outils utiles, mais la conformité dépend aussi de votre extension e-commerce, de vos modules, des prestataires de paiement, de l’emailing, des cookies, des durées de conservation et de votre organisation interne.