RGPD et agence web : industrialiser la conformité de vos sites clients

Si vous gérez 10, 30 ou 100 sites clients, le RGPD n'est pas un détail juridique : c'est un risque récurrent et, bien géré, une source de revenus récurrents. La plupart des agences livrent un site « conforme » le jour de la mise en ligne, puis n'y touchent plus. Six mois plus tard, un plugin ajoute un tracker, une campagne pub installe un pixel, et le site n'est plus conforme — sans que personne ne le sache. Voici comment traiter le sujet sérieusement.

Qui est responsable, vous ou le client ?

Juridiquement, le responsable de traitement est votre client (c'est son site, ses données, sa finalité). L'agence intervient le plus souvent comme sous-traitant au sens de l'article 28 du RGPD. Trois conséquences concrètes :

• Vous devez avoir un contrat de sous-traitance (ou des clauses RGPD dans votre contrat de prestation) avec chaque client. Sans lui, vous portez un risque que vous n'avez pas à porter.
• Vous ne décidez pas seul des finalités : si un client veut un pixel publicitaire, c'est sa responsabilité — mais vous devez l'informer que ça impose une bannière conforme.
• Votre devoir de conseil joue : livrer un site qui charge Google Analytics sans consentement vous expose si le client se retourne contre vous.

La bonne posture n'est pas « ce n'est pas mon problème », c'est « je sécurise mes clients et je le facture ».

Le vrai problème des agences : la conformité ne tient pas dans le temps

Un site est conforme à un instant T. Ce qui le rend non conforme ensuite :

• Un plugin mis à jour qui réinjecte un script tiers ;
• Une régie pub ou un outil marketing ajouté par le client sans vous prévenir ;
• Un service tiers (chat, carte, vidéo) intégré sur une nouvelle page ;
• Une politique de confidentialité jamais mise à jour depuis la livraison.

Faire un audit manuel par site, à la main, plusieurs fois par an, n'est pas tenable au-delà de quelques clients. Il faut scanner automatiquement et être alerté quand un site décroche.

Transformer la conformité en offre récurrente

C'est l'angle que peu d'agences exploitent. La conformité RGPD coche toutes les cases d'une bonne offre récurrente :

• Besoin permanent : ce n'est jamais « fini », donc l'abonnement est justifié.
• Risque tangible : le client comprend l'enjeu (amende CNIL, image), il paie volontiers pour dormir tranquille — voir les sanctions CNIL qui doivent alerter vos clients.
• Faible coût marginal : une fois l'outil en place, ajouter un site supplémentaire coûte quelques minutes.

Modèle simple : un forfait « conformité & veille RGPD » mensuel par site (scan automatique, bannière maintenue, documents légaux à jour, rapport). Vous facturez la tranquillité, pas le temps passé.

Le piège du « gratuit bricolé » multiplié par N

Installer un plugin de bandeau cookie gratuit sur chaque site client semble économique. À l'échelle d'un portefeuille, c'est l'inverse :

• La majorité de ces plugins ne bloquent pas réellement les scripts avant consentement — non conforme par défaut.
• Aucune visibilité centralisée : vous ne savez pas quel site a décroché.
• Chaque modèle de mentions légales générique est un risque juridique répété autant de fois que vous avez de clients.

Voir aussi notre comparatif des alternatives Cookiebot / Iubenda / Axeptio : pour une agence, le critère décisif n'est pas le prix unitaire mais la gestion multi-sites et le white-label.

Checklist agence : la conformité d'un site client

1. Contrat : clauses de sous-traitance RGPD signées avec le client.
2. Scan initial : cookies et trackers réellement chargés, avant et après consentement.
3. Bannière : blocage effectif des scripts non essentiels jusqu'au consentement, refus aussi simple que l'acceptation.
4. Documents : mentions légales, politique de confidentialité, politique cookies adaptées à l'activité du client — pas un modèle générique.
5. Veille : scan automatique récurrent + alerte quand un nouveau tracker apparaît.
6. Rapport : un livrable périodique qui matérialise la valeur de votre forfait.

En résumé

Pour une agence web, le RGPD n'est ni une contrainte à subir ni un risque à ignorer : c'est une ligne de revenu récurrent à condition de l'industrialiser. La clé est d'arrêter les audits manuels site par site et d'adopter un outil multi-sites avec scan automatique, bannière maintenue et génération de documents — idéalement en marque blanche pour le présenter sous votre propre identité.

À lire aussi

• Combien coûte vraiment la mise en conformité RGPD en 2026 ?
• Alternatives à Cookiebot, Iubenda et Axeptio
• Sanctions CNIL : les amendes qui doivent vous alerter
• Guide RGPD complet pour les sites web