RGPD : ce que votre site collecte sans que vous le sachiez

« Notre site ne collecte rien, c'est une simple vitrine. » La phrase est sincère et presque toujours fausse — non par mauvaise volonté, mais parce que la collecte se fait par des mécanismes que personne n'a explicitement installés.

Cet article part de ce que votre site fait déjà, plutôt que du texte réglementaire. Précision utile d'emblée : nous ne sommes pas juristes. Ce qui suit décrit des mécanismes techniques et leurs conséquences ; la validation de vos documents relève d'un professionnel du droit, et il vaut mieux le consulter sur une base déjà propre.

Ce que collecte un site « qui ne collecte rien »

Les journaux du serveur. Chaque visite laisse une adresse IP, une date, une page demandée et un identifiant de navigateur. L'adresse IP est une donnée personnelle au sens du règlement européen. Ces journaux sont nécessaires au fonctionnement et à la sécurité — ils sont donc légitimes —, mais ils doivent être mentionnés et avoir une durée de conservation.

Le formulaire de contact. Nom, adresse, message, souvent numéro de téléphone. C'est la collecte la plus évidente, et pourtant celle dont la finalité est le plus rarement indiquée : à quoi servira ce message, combien de temps sera-t-il conservé, et qui y aura accès.

La mesure d'audience. Selon l'outil et son paramétrage, elle dépose des traceurs et transmet des données de navigation à un tiers, parfois hors de l'Union européenne. C'est le point qui concentre l'essentiel des obligations.

Les polices de caractères distantes. Une police chargée depuis un serveur extérieur transmet l'adresse IP du visiteur à ce serveur, à chaque page. Peu de gens le savent, et la correction est simple : héberger les fichiers de police avec le site.

Les boutons de partage et les contenus intégrés. Un bouton de réseau social, une vidéo intégrée, une carte : chacun charge du code d'un tiers, qui peut déposer des traceurs avant même tout clic.

Le chat en ligne et les outils marketing. Souvent installés par le service commercial sans passer par personne d'autre, et souvent les plus bavards.

Consentement, ou pas

La ligne de partage est plus simple que la réputation du sujet ne le laisse croire : elle passe entre ce qui est nécessaire au service demandé et le reste.

Ne nécessitent pas de consentement : le cookie qui maintient une session ouverte, celui qui retient le contenu d'un panier, celui qui conserve la langue choisie, celui qui garde le résultat du bandeau lui-même, et les mesures de sécurité contre les abus.

Nécessitent un consentement préalable, recueilli avant tout dépôt : la mesure d'audience non exemptée, la publicité et le reciblage, les traceurs de réseaux sociaux, et tout contenu tiers qui dépose quelque chose.

Le mot important est avant. Un traceur déposé au chargement de la page, puis retiré si l'on refuse, ne respecte pas la règle : il a déjà été déposé.

Le bandeau cookies

Quatre caractéristiques le rendent acceptable, et l'absence d'une seule le disqualifie.

• Refuser doit être aussi simple qu'accepter. Un bouton « Tout accepter » face à un lien « Paramétrer » enfoui n'est pas un choix libre.
• Rien ne se dépose avant le choix, hormis ce qui est strictement nécessaire.
• Le choix se retire aussi facilement qu'il se donne. Il faut donc un moyen permanent de revenir dessus — un lien en pied de page suffit.
• Le refus est respecté et mémorisé. Un bandeau qui réapparaît à chaque page jusqu'à ce que l'on cède n'est pas conforme.

La formule « en poursuivant votre navigation, vous acceptez » ne vaut plus : la navigation n'est pas un acte de consentement, puisqu'elle n'exprime aucun choix. C'est l'erreur la plus répandue sur les sites qui n'ont pas été revus depuis quelques années.

La politique de confidentialité

Un modèle recopié sans relecture est souvent pire que rien : il décrit des traitements que vous ne faites pas, en omet d'autres que vous faites, et constitue un engagement écrit sur des pratiques qui ne sont pas les vôtres. Six sections sont indispensables :

1. Qui est responsable du traitement — la raison sociale, l'adresse, un moyen de contact effectif.
2. Quelles données sont collectées, et par quel moyen.
3. Pourquoi — la finalité, en langage compréhensible, et la base légale.
4. Combien de temps elles sont conservées.
5. Avec qui elles sont partagées : hébergeur, outil de messagerie, mesure d'audience, prestataire de paiement. La liste doit être réelle.
6. Quels droits a la personne, et comment les exercer concrètement — une adresse à laquelle on écrit, pas une formule générale.

Les durées de conservation

C'est le point le plus souvent absent des politiques existantes, et le plus révélateur : le rédiger oblige à décider ce qu'on garde et pourquoi.

Le principe est qu'une donnée se conserve le temps nécessaire à la finalité annoncée, et pas au-delà. Un message de contact reçu il y a six ans, un fichier de prospects jamais mis à jour, la base d'une newsletter dont personne ne s'occupe : chacun est une donnée conservée sans finalité, et un risque en cas d'incident. Ce que vous ne détenez plus ne peut pas fuiter.

Écrire ses durées de conservation est le seul exercice de cette liste qui améliore réellement la sécurité, et pas seulement la conformité.

Les erreurs fréquentes

• La case pré-cochée. Un consentement doit être un acte positif ; une case déjà cochée n'en est pas un.
• Le formulaire sans finalité indiquée. « J'accepte de recevoir des informations » ne dit ni lesquelles, ni à quelle fréquence, ni de la part de qui.
• L'inscription à la newsletter liée au formulaire de contact. Deux finalités distinctes exigent deux consentements distincts.
• Le retrait impossible. Un désabonnement qui demande d'écrire à une adresse et d'attendre n'est pas un retrait aussi simple que l'inscription.
• La politique jamais mise à jour. Elle décrit un site d'il y a quatre ans, et trois outils ont été ajoutés depuis.

Une remarque sur la portée

Le règlement européen ne s'applique pas selon l'endroit où se trouve votre entreprise, mais selon les personnes dont vous traitez les données. Une organisation établie hors de l'Union qui s'adresse à des résidents européens — ou qui suit leur comportement — entre dans son champ. Beaucoup d'entreprises exportatrices découvrent ce point tardivement, alors qu'il se règle en amont sans difficulté particulière.

De la même façon, plusieurs pays hors Union se sont dotés de textes proches. Si vous opérez sur plusieurs marchés, l'exercice décrit ici — savoir ce que vous collectez, pourquoi, et pour combien de temps — sert de base commune à toutes ces obligations.

Par où commencer

Ouvrez votre site dans une fenêtre de navigation privée, activez les outils de développement du navigateur, et regardez la liste des domaines contactés et des traceurs déposés avant toute interaction. La liste est presque toujours plus longue que prévu, et elle constitue votre inventaire de départ. Le reste — décisions, textes, durées — n'exige aucun développement.

Nos pages Cybersécurité et Développement Web & Mobile couvrent la mise en œuvre technique. Pour la validation juridique de vos documents, adressez-vous à un juriste : c'est son métier, et cela ne coûte pas cher rapporté au risque.