RGPD Shopify : ce qui est encore mal configuré en 2026

Le RGPD Shopify n'est pas un sujet juridique abstrait : c'est une série de réglages concrets dans votre admin. Le règlement européen prévoit des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Dans les faits, ce sont surtout les contrôles de la CNIL sur les cookies et le consentement qui concernent les marchands français.

En audit, on retrouve presque toujours les mêmes écarts sur les boutiques Shopify. Une bannière de consentement décorative qui ne bloque rien. Des pixels marketing qui se déclenchent avant le clic du visiteur. Des données clients conservées sans limite de durée. Aucun registre des traitements. Rien de dramatique pris isolément, mais rien de conforme non plus.

Cet article passe en revue ce qu'on voit encore mal configuré en 2026 sur Shopify et Shopify Plus, point par point, avec la correction associée. Précision utile : ce contenu est un retour d'expérience technique, pas un avis juridique. Validez toujours votre dispositif avec votre conseil ou votre DPO.

Conformité RGPD e-commerce : qui est responsable de quoi

Première confusion à lever. Shopify est votre sous-traitant au sens du RGPD. Vous, marchand, êtes le responsable de traitement. Shopify sécurise l'infrastructure et met à disposition des outils de conformité. Le paramétrage, les finalités, les durées de conservation et l'information des clients restent votre responsabilité.

Autrement dit, une boutique Shopify n'est pas conforme par défaut. Elle est conformable. La différence tient à une quinzaine de réglages et à deux ou trois documents.

Shopify publie un avenant de traitement des données (DPA) qui encadre cette relation et s'appuie sur les clauses contractuelles types pour les transferts hors Union européenne. Ce document existe, il est opposable, mais il ne vous dispense pas de tenir votre propre registre.

Bannière de consentement Shopify : le réglage numéro un mal configuré

Le cas le plus fréquent : une bannière installée via une app, jolie, visible, et totalement inopérante. Elle affiche un message mais ne bloque aucun script tant que le visiteur n'a pas choisi. Techniquement, le suivi a déjà commencé avant le consentement. C'est exactement ce que la CNIL sanctionne.

Shopify propose depuis plusieurs versions une bannière de consentement native, paramétrable dans les réglages de confidentialité client, avec une visibilité par région (EEE, Royaume-Uni, Canada, Californie). Elle s'appuie sur la Customer Privacy API, qui expose l'état du consentement à l'ensemble des scripts et des apps de la boutique.

Trois erreurs classiques à corriger :

• La bannière n'est active que sur certaines pages. Elle doit couvrir l'ensemble du parcours, y compris le checkout et les pages de collection.
• Refuser demande plus de clics qu'accepter. La CNIL exige que le refus soit aussi simple que l'acceptation, donc un bouton de même niveau visuel dès le premier écran.
• Le choix n'est pas révocable. Il faut un point d'entrée permanent, en pied de page, pour modifier ses préférences.

La documentation officielle de la Customer Privacy API détaille les méthodes à appeler pour qu'un script custom respecte le consentement au lieu de le contourner.

Cookies et tracking Shopify : les pixels qui tirent trop tôt

Le deuxième écart récurrent concerne les pixels. Meta, Google Ads, TikTok, Pinterest, plus les scripts injectés par les apps installées au fil des années. Sur une boutique de trois ans, on trouve souvent des balises dont plus personne ne connaît l'origine.

Depuis la généralisation de Checkout Extensibility, Shopify impose de passer par l'API Web Pixels pour le suivi. Ces pixels s'exécutent dans un environnement isolé et respectent l'état du consentement transmis par la Customer Privacy API. C'est une bonne nouvelle : le respect du choix utilisateur devient structurel, plus déclaratif.

Le travail à faire reste le même. Inventoriez ce qui se charge réellement sur votre boutique, en ouvrant l'onglet réseau de votre navigateur en navigation privée, avant tout consentement. Chaque appel sortant vers un domaine publicitaire est un écart. Supprimez les pixels orphelins, migrez les autres vers l'API Web Pixels, et vérifiez que les apps désinstallées n'ont pas laissé de code résiduel dans le thème. Cette hygiène rejoint celle qu'on décrit dans notre checklist pour sécuriser son Shopify.

Données clients Shopify : conservation, purge et droit à l'effacement

Le RGPD impose une durée de conservation limitée et justifiée. Or Shopify conserve par défaut l'intégralité de l'historique client. Personne ne purge. On voit régulièrement des bases contenant des comptes créés il y a huit ans, sans commande, sans consentement marketing valide.

Repères courants en e-commerce : les données de prospection sont généralement conservées trois ans après le dernier contact, les données de facturation dix ans au titre des obligations comptables. À vous de fixer et de documenter vos propres durées selon vos finalités.

Côté outillage, Shopify expose dans l'admin les demandes de données personnelles et les demandes d'effacement, avec un délai de traitement encadré. Pour la purge récurrente, Shopify Flow permet d'automatiser le repérage des profils inactifs et de déclencher une action de nettoyage, comme on le montre dans notre article sur les automatisations Shopify Flow.

Point souvent oublié : vos outils tiers. Klaviyo, votre helpdesk, votre ERP et votre entrepôt de données conservent des copies. Une suppression dans Shopify ne se propage pas automatiquement. Le plan de purge doit couvrir toute la chaîne.

Registre des traitements, sous-traitants et transferts hors UE

C'est la partie la moins technique et la plus souvent absente. Le registre des traitements est obligatoire dès que le traitement n'est pas occasionnel, ce qui est le cas de n'importe quelle boutique active. Il n'a pas besoin d'être complexe : un tableau listant chaque traitement, sa finalité, sa base légale, les catégories de données, les destinataires et la durée de conservation suffit.

Listez ensuite vos sous-traitants réels. Sur une boutique Shopify moyenne, on en compte facilement quinze : la plateforme, la solution d'emailing, le PSP, le transporteur, l'outil d'avis clients, le chat, l'analytics, les apps diverses. Chacun doit avoir un contrat de sous-traitance, et ceux hébergés hors Union européenne doivent être couverts par un mécanisme de transfert valide.

Enfin, votre politique de confidentialité doit refléter cette réalité. Une page générique récupérée dans un template ne tient pas si elle mentionne des outils que vous n'utilisez pas, ou omet ceux que vous utilisez.

Notre checklist RGPD Shopify en 8 points

Chez Artich.io, on déroule cette séquence sur chaque audit de boutique, qu'il s'agisse d'une marque de bricolage, d'un distributeur B2B ou d'une marque de beauté. Elle prend une demi-journée et couvre l'essentiel.

1. Activer la bannière native ou une CMP qui bloque réellement, avec refus aussi accessible que l'acceptation.
2. Vérifier en navigation privée qu'aucun appel publicitaire ne part avant consentement.
3. Migrer les pixels restants vers l'API Web Pixels et supprimer le code orphelin du thème.
4. Ajouter un lien permanent de modification des préférences en pied de page.
5. Documenter les durées de conservation par finalité et automatiser la purge.
6. Tester le parcours de demande d'accès et de suppression, de bout en bout.
7. Constituer le registre des traitements et la liste des sous-traitants avec leur localisation.
8. Réécrire la politique de confidentialité pour qu'elle corresponde à la stack réelle.

Sur les projets Shopify Plus avec intégration ERP, on ajoute une étape : cartographier les flux de données sortants vers Sage, Cegid ou SAP, car c'est souvent là que des données personnelles circulent sans base documentée. Nos services Shopify intègrent ce volet dans les audits techniques.

Conclusion

La conformité RGPD sur Shopify n'est pas un chantier de six mois. C'est un inventaire honnête suivi d'une quinzaine de corrections, dont la plupart se règlent dans l'admin et dans le thème. Le vrai risque n'est pas la sanction spectaculaire : c'est la bannière qui donne un faux sentiment de sécurité pendant que les pixels tournent en arrière-plan.

Commencez par le test le plus simple. Ouvrez votre boutique en navigation privée, regardez ce qui se charge avant que vous n'ayez cliqué sur quoi que ce soit. Si des appels partent vers des domaines publicitaires, vous avez votre première action. Le reste du RGPD Shopify suit la même logique : vérifier ce qui se passe vraiment, puis documenter ce que vous décidez.

Vous voulez en parler avec un expert Shopify ? L'équipe Artich.io accompagne 50+ marques Shopify et Shopify Plus en France sur tous les verticaux : hardware, bricolage, peinture, maison, mobilier, merch, beauté, B2B grands comptes. Parlons de votre projet →

Article mis à jour le 28 août 2026. Source officielle : documentation Shopify sur la confidentialité.