Le RGPD et vous
Formulaires, cookies, statistiques et conservation : comprenez les vérifications de votre site et ce qu’un accompagnement technique peut prendre en charge.
Sur cette page6 sections
Votre site possède un bandeau cookies, une page de confidentialité et un formulaire de contact. À première vue, le sujet du RGPD semble donc réglé. Pourtant, est-ce que vous savez où part le message envoyé depuis le formulaire, combien de temps il reste conservé et quels outils reçoivent des informations quand quelqu'un ouvre une page ?
C'est souvent là que les questions commencent. Une carte ajoutée pour aider les clients à vous trouver, un outil de statistiques ou un module de réservation peuvent changer ce que le site transmet. Le bandeau visible n'est qu'une partie du fonctionnement.
Le RGPD, le règlement général sur la protection des données, encadre l'utilisation des données personnelles. Sur votre site, le sujet ne se résume donc pas à afficher les bons documents. Il faut que les informations données aux visiteurs correspondent à ce que vous faites réellement, et que les réglages permettent de respecter les choix annoncés.
Je vous conseille de partir de ce fonctionnement concret plutôt que d'une liste de mentions à copier. Cet article donne des repères pour préparer les vérifications du site ; il ne remplace pas un examen juridique adapté à votre activité.
Commencez par faire le trajet d'une demande. Le client remplit le formulaire ; le message arrive dans votre boîte mail, peut-être aussi dans l'administration du site, puis éventuellement dans un outil de gestion commerciale. Si vous ne regardez que le formulaire, vous risquez d'oublier les copies qui restent ailleurs.
Pour chaque usage, il faut pouvoir expliquer ce que vous collectez, pourquoi vous en avez besoin, qui y accède et ce qui justifie le traitement. Ce dernier point correspond à la base légale. Le consentement est une possibilité, mais pas la réponse automatique à tous les besoins : le RGPD prévoit plusieurs bases légales.
Par exemple, les informations nécessaires pour préparer un devis demandé par une personne peuvent relever des mesures précontractuelles, sous les conditions expliquées par la CNIL pour la base légale du contrat. Cela ne permet pas de réutiliser librement la même adresse pour tous vos autres objectifs.
Le bon réflexe reste de demander ce qui est nécessaire au moment où vous en avez besoin. Si une première demande peut être traitée avec un message et un moyen de réponse, pourquoi imposer une date de naissance ? Ajouter un champ « au cas où » augmente les informations à protéger et peut compliquer inutilement la prise de contact.
Certains traceurs, notamment ceux strictement nécessaires au service demandé, peuvent être exemptés de consentement. D'autres exigent un accord préalable. La CNIL détaille cette distinction dans ses règles sur les cookies et traceurs. Un outil tiers ne doit donc pas être classé automatiquement dans la même case que tous les autres : il faut regarder son fonctionnement et sa finalité.
Lorsqu'un consentement est nécessaire, le visiteur doit pouvoir choisir et retirer son accord simplement. Mais le texte du bandeau ne suffit pas : les outils soumis à ce choix doivent réellement attendre l'accord requis. Un bouton « Refuser » qui laisse quand même partir les traceurs concernés ne règle pas le problème.
Le contrôle pratique consiste à ouvrir le site avec une nouvelle session, regarder ce qui se charge avant toute action, puis essayer le refus, l'acceptation et le changement de choix. Les modalités recommandées par la CNIL rappellent notamment que refuser doit être aussi facile qu'accepter.
Une carte, une vidéo intégrée ou un bouton de réseau social mérite aussi un examen. Le fait qu'un module n'affiche pas de cookie évident ne signifie pas qu'aucune information n'est transmise. À l'inverse, l'existence d'un transfert ne suffit pas, à elle seule, à dire que le consentement est toujours la seule base possible. Il faut qualifier ce qui se passe, pas seulement reconnaître un logo.
Un gestionnaire comme Klaro peut servir à organiser les choix et le chargement des services. Il faut néanmoins le configurer et contrôler les intégrations ; son installation ne vaut pas certificat de conformité du site.
Le visiteur doit notamment pouvoir comprendre qui utilise ses données, pour quels objectifs, sur quelle base, avec quels destinataires et pendant combien de temps ou selon quels critères. Il faut également expliquer les droits applicables et la manière de les exercer. Ces informations doivent être adaptées au traitement, pas seulement accessibles quelque part en pied de page. La CNIL fournit des exemples de mentions pour les formulaires pour préparer cette information au moment de la collecte.
Ensuite, vérifiez que le contact annoncé existe et que quelqu'un sait traiter la demande reçue. Une adresse dédiée ne sert pas à grand-chose si personne ne la consulte. Et une demande de suppression ne doit pas être exécutée sans examiner les obligations de conservation qui peuvent encore s'appliquer.
Sur ce dernier point, il n'y a pas une durée universelle pour toutes les données du site. Il faut distinguer les usages et prévoir ce qui arrive à la fin : suppression, anonymisation adaptée ou archivage justifié avec des accès limités. Les repères de la CNIL sur les durées de conservation permettent de préparer ce travail.
Les mentions légales ont un autre rôle, notamment identifier l'éditeur du site. Elles ne remplacent ni cette information sur les données ni l'organisation qui permet de la respecter.
Matomo, par exemple, peut être hébergé dans un environnement que vous maîtrisez. Ce choix permet de travailler sur le lieu de stockage et les paramètres de collecte. Il ne fait pas automatiquement sortir les données du champ du RGPD, et une adresse IP tronquée ne suffit pas à qualifier tout le suivi d'anonyme.
Certains dispositifs de mesure d'audience peuvent bénéficier d'une exemption de consentement s'ils respectent les conditions applicables. Cela dépend des finalités, des données et de la configuration, pas uniquement du nom du logiciel. La CNIL explique ces conditions et les possibilités d'évaluation dans sa page sur les outils de mesure d'audience.
Je vous conseille donc de commencer par les questions auxquelles vous souhaitez répondre. Quelles prestations sont consultées ? Les visiteurs trouvent-ils le contact ? Où le parcours s'interrompt-il ? On peut ensuite chercher une mesure proportionnée au besoin, au lieu d'activer toutes les fonctions disponibles et de se demander après coup si elles étaient nécessaires.
Le HTTPS protège les échanges lorsqu'il est correctement mis en œuvre, mais ne remplace pas les autres mesures. Les accès, l'authentification, les mises à jour et les sauvegardes doivent aussi être adaptés au risque. Le guide de sécurité de la CNIL présente ces précautions. La question des sauvegardes est également développée dans cet article sur ce qu'il faut vérifier avant une panne.
Il faut aussi savoir quels prestataires interviennent et ce qu'ils font des informations qui leur sont confiées. Hébergeur, outil de réservation, messagerie et gestion commerciale peuvent avoir des rôles différents. Les engagements nécessaires et les éventuels transferts doivent être examinés dans ce contexte. La CNIL fournit notamment des clauses pour encadrer la sous-traitance.
Toutes les petites entreprises ne doivent pas automatiquement désigner un délégué à la protection des données, ou DPO. L'obligation dépend des critères prévus, notamment certaines activités à grande échelle ; la CNIL les détaille dans sa fiche sur la désignation d'un DPO. Ce qui reste nécessaire, c'est de savoir qui prend en charge les sujets de données dans votre organisation.
Ce travail doit rester relié à votre organisation. Vous savez comment vous utilisez les demandes reçues ; les questions juridiques particulières peuvent nécessiter l'intervention d'un conseil ou d'un DPO. Un prestataire web ne peut pas garantir la conformité de toute votre entreprise en installant un bandeau ou en rédigeant une page.
Pour commencer, je vous conseille de reprendre un parcours important, comme la demande de devis, et de le suivre jusqu'aux outils où les informations restent conservées. Cela permet de rendre le sujet concret, puis de prioriser les corrections. La démarche proposée par la CNIL donne aussi des points de départ pour l'organisation au-delà du site.
Et après une nouvelle intégration, il faudra refaire les vérifications concernées. Un site change : ses réglages et ses informations doivent suivre. C'est une partie du travail de maintenance et d'accompagnement du site, pas un document que l'on range définitivement après le lancement.
Si vous ne savez pas ce que votre site collecte ou si vous souhaitez clarifier les corrections à prévoir, on peut regarder le point de départ ensemble.
C'est souvent là que les questions commencent. Une carte ajoutée pour aider les clients à vous trouver, un outil de statistiques ou un module de réservation peuvent changer ce que le site transmet. Le bandeau visible n'est qu'une partie du fonctionnement.
Le RGPD, le règlement général sur la protection des données, encadre l'utilisation des données personnelles. Sur votre site, le sujet ne se résume donc pas à afficher les bons documents. Il faut que les informations données aux visiteurs correspondent à ce que vous faites réellement, et que les réglages permettent de respecter les choix annoncés.
Je vous conseille de partir de ce fonctionnement concret plutôt que d'une liste de mentions à copier. Cet article donne des repères pour préparer les vérifications du site ; il ne remplace pas un examen juridique adapté à votre activité.
Quelles données votre site récupère-t-il vraiment ?
Il n'est pas nécessaire de posséder une boutique en ligne ou des milliers de clients pour traiter des données personnelles. Un nom et une adresse e-mail dans un formulaire suffisent déjà à soulever des questions sur leur utilisation. Selon les outils installés, des informations techniques ou des identifiants peuvent aussi être associés à une personne.Commencez par faire le trajet d'une demande. Le client remplit le formulaire ; le message arrive dans votre boîte mail, peut-être aussi dans l'administration du site, puis éventuellement dans un outil de gestion commerciale. Si vous ne regardez que le formulaire, vous risquez d'oublier les copies qui restent ailleurs.
Pour chaque usage, il faut pouvoir expliquer ce que vous collectez, pourquoi vous en avez besoin, qui y accède et ce qui justifie le traitement. Ce dernier point correspond à la base légale. Le consentement est une possibilité, mais pas la réponse automatique à tous les besoins : le RGPD prévoit plusieurs bases légales.
Par exemple, les informations nécessaires pour préparer un devis demandé par une personne peuvent relever des mesures précontractuelles, sous les conditions expliquées par la CNIL pour la base légale du contrat. Cela ne permet pas de réutiliser librement la même adresse pour tous vos autres objectifs.
Le bon réflexe reste de demander ce qui est nécessaire au moment où vous en avez besoin. Si une première demande peut être traitée avec un message et un moyen de réponse, pourquoi imposer une date de naissance ? Ajouter un champ « au cas où » augmente les informations à protéger et peut compliquer inutilement la prise de contact.
Un bandeau doit contrôler ce qui se passe et pas seulement s'afficher
Les règles sur les cookies et autres traceurs concernent l'accès à des informations dans le terminal du visiteur. Elles complètent les règles sur les données personnelles ; les deux sujets sont liés, mais ne sont pas interchangeables.Certains traceurs, notamment ceux strictement nécessaires au service demandé, peuvent être exemptés de consentement. D'autres exigent un accord préalable. La CNIL détaille cette distinction dans ses règles sur les cookies et traceurs. Un outil tiers ne doit donc pas être classé automatiquement dans la même case que tous les autres : il faut regarder son fonctionnement et sa finalité.
Lorsqu'un consentement est nécessaire, le visiteur doit pouvoir choisir et retirer son accord simplement. Mais le texte du bandeau ne suffit pas : les outils soumis à ce choix doivent réellement attendre l'accord requis. Un bouton « Refuser » qui laisse quand même partir les traceurs concernés ne règle pas le problème.
Le contrôle pratique consiste à ouvrir le site avec une nouvelle session, regarder ce qui se charge avant toute action, puis essayer le refus, l'acceptation et le changement de choix. Les modalités recommandées par la CNIL rappellent notamment que refuser doit être aussi facile qu'accepter.
Une carte, une vidéo intégrée ou un bouton de réseau social mérite aussi un examen. Le fait qu'un module n'affiche pas de cookie évident ne signifie pas qu'aucune information n'est transmise. À l'inverse, l'existence d'un transfert ne suffit pas, à elle seule, à dire que le consentement est toujours la seule base possible. Il faut qualifier ce qui se passe, pas seulement reconnaître un logo.
Un gestionnaire comme Klaro peut servir à organiser les choix et le chargement des services. Il faut néanmoins le configurer et contrôler les intégrations ; son installation ne vaut pas certificat de conformité du site.
Les informations au client doivent décrire votre organisation
Une politique de confidentialité copiée sur un autre site peut être bien rédigée et ne rien expliquer de votre propre fonctionnement. Elle peut mentionner un outil que vous n'utilisez pas, oublier celui qui reçoit vos demandes ou annoncer une durée que personne n'applique.Le visiteur doit notamment pouvoir comprendre qui utilise ses données, pour quels objectifs, sur quelle base, avec quels destinataires et pendant combien de temps ou selon quels critères. Il faut également expliquer les droits applicables et la manière de les exercer. Ces informations doivent être adaptées au traitement, pas seulement accessibles quelque part en pied de page. La CNIL fournit des exemples de mentions pour les formulaires pour préparer cette information au moment de la collecte.
Ensuite, vérifiez que le contact annoncé existe et que quelqu'un sait traiter la demande reçue. Une adresse dédiée ne sert pas à grand-chose si personne ne la consulte. Et une demande de suppression ne doit pas être exécutée sans examiner les obligations de conservation qui peuvent encore s'appliquer.
Sur ce dernier point, il n'y a pas une durée universelle pour toutes les données du site. Il faut distinguer les usages et prévoir ce qui arrive à la fin : suppression, anonymisation adaptée ou archivage justifié avec des accès limités. Les repères de la CNIL sur les durées de conservation permettent de préparer ce travail.
Les mentions légales ont un autre rôle, notamment identifier l'éditeur du site. Elles ne remplacent ni cette information sur les données ni l'organisation qui permet de la respecter.
Des statistiques utiles sans supposer que l'outil règle tout
Vous avez besoin de savoir si les visiteurs trouvent vos prestations et si votre site vous apporte des demandes. La mesure d'audience peut aider à répondre à ces questions, mais il faut choisir ce que l'on mesure et vérifier les réglages.Matomo, par exemple, peut être hébergé dans un environnement que vous maîtrisez. Ce choix permet de travailler sur le lieu de stockage et les paramètres de collecte. Il ne fait pas automatiquement sortir les données du champ du RGPD, et une adresse IP tronquée ne suffit pas à qualifier tout le suivi d'anonyme.
Certains dispositifs de mesure d'audience peuvent bénéficier d'une exemption de consentement s'ils respectent les conditions applicables. Cela dépend des finalités, des données et de la configuration, pas uniquement du nom du logiciel. La CNIL explique ces conditions et les possibilités d'évaluation dans sa page sur les outils de mesure d'audience.
Je vous conseille donc de commencer par les questions auxquelles vous souhaitez répondre. Quelles prestations sont consultées ? Les visiteurs trouvent-ils le contact ? Où le parcours s'interrompt-il ? On peut ensuite chercher une mesure proportionnée au besoin, au lieu d'activer toutes les fonctions disponibles et de se demander après coup si elles étaient nécessaires.
La sécurité et les prestataires font aussi partie du sujet
Les données peuvent être correctement décrites dans les documents et rester trop largement accessibles. Un ancien intervenant possède-t-il encore un compte ? Plusieurs personnes utilisent-elles le même identifiant ? Les sauvegardes sont-elles protégées, et sait-on les restaurer ?Le HTTPS protège les échanges lorsqu'il est correctement mis en œuvre, mais ne remplace pas les autres mesures. Les accès, l'authentification, les mises à jour et les sauvegardes doivent aussi être adaptés au risque. Le guide de sécurité de la CNIL présente ces précautions. La question des sauvegardes est également développée dans cet article sur ce qu'il faut vérifier avant une panne.
Il faut aussi savoir quels prestataires interviennent et ce qu'ils font des informations qui leur sont confiées. Hébergeur, outil de réservation, messagerie et gestion commerciale peuvent avoir des rôles différents. Les engagements nécessaires et les éventuels transferts doivent être examinés dans ce contexte. La CNIL fournit notamment des clauses pour encadrer la sous-traitance.
Toutes les petites entreprises ne doivent pas automatiquement désigner un délégué à la protection des données, ou DPO. L'obligation dépend des critères prévus, notamment certaines activités à grande échelle ; la CNIL les détaille dans sa fiche sur la désignation d'un DPO. Ce qui reste nécessaire, c'est de savoir qui prend en charge les sujets de données dans votre organisation.
Ce que je peux reprendre avec vous sur le site
Mon rôle sur la partie web est de rendre ces décisions applicables dans le fonctionnement du site. Cela commence par examiner les formulaires, les services chargés et les parcours qui collectent ou transmettent des informations. On peut ensuite identifier les réglages à reprendre, retirer une collecte inutile et vérifier que les choix annoncés aux visiteurs sont respectés techniquement.Ce travail doit rester relié à votre organisation. Vous savez comment vous utilisez les demandes reçues ; les questions juridiques particulières peuvent nécessiter l'intervention d'un conseil ou d'un DPO. Un prestataire web ne peut pas garantir la conformité de toute votre entreprise en installant un bandeau ou en rédigeant une page.
Pour commencer, je vous conseille de reprendre un parcours important, comme la demande de devis, et de le suivre jusqu'aux outils où les informations restent conservées. Cela permet de rendre le sujet concret, puis de prioriser les corrections. La démarche proposée par la CNIL donne aussi des points de départ pour l'organisation au-delà du site.
Et après une nouvelle intégration, il faudra refaire les vérifications concernées. Un site change : ses réglages et ses informations doivent suivre. C'est une partie du travail de maintenance et d'accompagnement du site, pas un document que l'on range définitivement après le lancement.
Si vous ne savez pas ce que votre site collecte ou si vous souhaitez clarifier les corrections à prévoir, on peut regarder le point de départ ensemble.
