Le RGPD pour son site

1Le registre : commencer par l'inventaire

Le registre des activités de traitement est prévu par l'article 30 du RGPD. Il existe une dérogation pour les organismes de moins de 250 salariés, mais elle est étroite : elle tombe dès que le traitement n'est pas occasionnel, qu'il présente un risque pour les personnes, ou qu'il porte sur des catégories particulières de données. Un formulaire de contact et une newsletter suffisent à sortir de l'occasionnel.

En pratique, tiens-en un. La CNIL le demande systématiquement lors d'un contrôle, et c'est le seul document qui te force à voir ce que tu détiens réellement.

Pour chaque traitement, une ligne : quelles données, pour quoi faire, sur quelle base légale, combien de temps, qui y accède, où c'est hébergé.

2La base légale, une par traitement

Le RGPD en prévoit six : le consentement, l'exécution d'un contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d'intérêt public, et l'intérêt légitime. Chaque traitement doit reposer sur une de ces bases, choisie avant de démarrer.

Sur un site classique, la répartition ressemble à ça.

L'erreur fréquente est de tout ranger sous « consentement ». C'est le plus fragile : il doit être libre, spécifique, éclairé, univoque, et retirable aussi facilement qu'il a été donné.

3L'information des personnes

Elle se joue à deux endroits. Au point de collecte, une mention courte sous le formulaire : à quoi servent les données, qui les reçoit, combien de temps, et un lien. Puis la politique de confidentialité, qui reprend tout.

Une politique lisible contient : l'identité du responsable de traitement, la liste des traitements avec leur finalité et leur base légale, les destinataires y compris les sous-traitants, les durées de conservation, les droits des personnes (accès, rectification, effacement, opposition, portabilité, limitation), la façon concrète de les exercer, et la possibilité de saisir la CNIL.

4Le consentement pour les traceurs

En France, les cookies relèvent de l'article 82 de la loi Informatique et Libertés. Le principe : consentement préalable avant de déposer ou de lire un traceur, avec des exceptions.

Sont exemptés de consentement, selon la CNIL : les traceurs d'authentification et de sécurité, ceux du panier d'achat, la personnalisation d'interface comme la langue, l'équilibrage de charge, la limitation d'accès à un contenu gratuit, les traceurs qui conservent le choix de l'utilisateur, et certains traceurs de mesure d'audience sous conditions strictes.

Ces conditions pour la mesure d'audience : statistiques strictement pour l'éditeur du site, données anonymisées, pas de recoupement avec d'autres traitements, pas de transmission à des tiers, pas de suivi de la navigation entre plusieurs sites. La CNIL recommande alors une durée de vie du cookie limitée à treize mois environ, sans renouvellement automatique à chaque visite, et une conservation des données de vingt-cinq mois au maximum.

Trois règles sur le bandeau lui-même :

• Refuser doit être aussi simple qu'accepter. Un bouton « tout refuser » au même niveau, avec la même apparence que « tout accepter ». C'est le point sur lequel la CNIL a mis en demeure le plus d'organismes.
• Rien ne se dépose avant le choix, à part les traceurs exemptés.
• Le choix se conserve. Six mois est considéré comme une bonne pratique, pour ne pas redemander à chaque visite.

Et il faut pouvoir apporter la preuve du consentement à tout moment : garde les journaux de ton outil de gestion du consentement.

5Les durées et les sous-traitants

Une donnée sans durée de conservation est une donnée conservée pour toujours, ce qui n'est jamais justifiable. Fixe une durée par traitement, note-la dans le registre, et surtout : mets en place la suppression. Une durée écrite mais jamais appliquée est pire que rien, elle documente le manquement.

Côté sous-traitants, tout prestataire qui traite des données pour ton compte (hébergeur, outil d'e-mailing, CRM, service d'analyse d'audience, prestataire de paiement) doit être lié par un contrat conforme à l'article 28. Ces clauses existent presque toujours chez les grands fournisseurs, mais il faut les avoir acceptées et savoir où elles sont. Note aussi où les données sont hébergées : un transfert hors Union européenne demande un encadrement spécifique.

Enfin, en cas de violation de données, la notification à la CNIL se fait dans les meilleurs délais, et si possible dans les 72 heures. Cela suppose de savoir qui appelle qui, avant que ça arrive.