Site web conforme au RGPD : examiner les services, concevoir le consentement, limiter les flux de données

Ouvrez votre propre page d’accueil dans une fenêtre de navigateur neuve, sans cliquer sur aucun bouton du bandeau de cookies, et regardez dans l’onglet réseau des outils de développement vers où partent les requêtes. Dans bien des cas, on y voit plus d’interlocuteurs que personne dans l’entreprise ne s’y attend. Des fichiers de polices provenant d’un serveur tiers, un service de tuiles cartographiques, un lecteur vidéo, un script de statistiques de fréquentation, un widget de chat. C’est la situation de départ typique dans ce scénario.

Supposons qu’une entreprise dotée d’un site web qui a grandi au fil du temps nous arrive ainsi. Le bandeau date de la dernière refonte et énumère trois catégories, mais deux des services intégrés aujourd’hui ont été ajoutés plus tard, par un plugin ou une ligne de code que quelqu’un a ajoutée pour un objectif de campagne. La politique de confidentialité n’a pas été adaptée en conséquence. La cause n’est ni la mauvaise volonté ni la négligence, mais simplement l’absence de responsable désigné.

Un site web respectueux de la vie privée est donc d’abord une question de vision d’ensemble. Qui ne sait pas ce que fait son site ne peut ni l’expliquer correctement ni le limiter à bon escient. Cet article décrit comment nous procédons pour un tel état des lieux, ce qui peut être modifié techniquement et où se situent les limites d’une approche purement technique. Les appréciations juridiques au cas par cas relèvent de votre délégué à la protection des données ou de votre avocat, pas d’un article spécialisé.

Si l’écart entre le bandeau et la réalité est aussi fréquent, c’est pour une raison simple : les sites web se construisent par étapes, et personne n’est responsable de l’image d’ensemble. Dans une petite entreprise, on entretient le site en plus du reste. Dans une agence, on ne connaît souvent que sa propre part. Le rapprochement tombe entre les responsabilités, et c’est là qu’un inventaire intervient.

En matière de protection des données sur les sites web, il existe presque toujours trois descriptions d’une même réalité. La première est le bandeau de cookies, qui nomme certains services et catégories. La deuxième est la politique de confidentialité, qui explique les mêmes services en texte continu. La troisième est le comportement réel du site dans le navigateur. Chacune de ces listes a été tenue à un moment différent par des personnes différentes, et elles concordent donc rarement.

Les services qui ne sont pas identifiables comme tels sont particulièrement sournois. Un thème charge des polices depuis un serveur tiers parce que le développeur l’a configuré ainsi lors de la construction. Un code d’intégration pour une vidéo dépose des cookies avant même que quelqu’un clique sur lecture. Un plugin de formulaire intègre un captcha qui envoie des données à un tiers. Les exploitants n’ont décidé consciemment d’aucune de ces choses, et pourtant ils en sont responsables.

S’y ajoute le facteur temps. Chaque mise à jour de plugin, chaque nouvelle page avec un contenu intégré, chaque composant marketing supplémentaire peut modifier le tableau. Un état exact aujourd’hui peut être dépassé dans six mois. Le défi ne consiste donc pas seulement en un contrôle ponctuel, mais à créer un état que l’on puisse tenir à jour avec un effort raisonnable.

La distinction la plus importante lorsqu’on ordonne les services est la suivante : qu’est-ce qui est techniquement nécessaire au fonctionnement du site, et qu’est-ce qui sert d’autres finalités comme la mesure d’audience, la publicité ou le confort ? Pour le premier groupe, le consentement n’est en général pas demandé ; pour le second, c’est souvent l’inverse. Cette ligne générale est largement connue. Mais où elle passe exactement dans un cas donné relève d’une appréciation juridique que nous ne remplaçons pas.

Dans la pratique, une expérience de pensée aide : le site fonctionnerait-il encore pour un visiteur si ce service manquait ? Un sélecteur de langue, un panier, une session pour une connexion font partie du fonctionnement. Une statistique de visites, un pixel publicitaire, une vidéo d’une plateforme ou une carte d’un fournisseur tiers en font plutôt partie moins. S’y ajoute la question de savoir si un service transmet des données à des tiers et si ces tiers utilisent les données pour leurs propres finalités.

Outre le consentement, l’intérêt légitime existe comme autre base juridique. Pour la mesure d’audience, on discute encore de savoir quand il suffit. Nous nous en tenons donc à une règle pragmatique : moins un service traite de données personnelles et moins de tiers sont impliqués, plus il peut facilement fonctionner sans demande de consentement. Qui veut être sûr fait confirmer par écrit le classement des services sensibles par un organisme compétent.

La conséquence de ce classement est moins juridique que liée à la conception. Tout service que l’on peut remplacer ou supprimer techniquement n’a plus besoin d’être soumis au consentement, expliqué ni documenté. La mesure la plus simple pour un site conforme au RGPD n’est donc souvent pas un meilleur bandeau, mais le renoncement à un élément que personne ne regrette.

De cet ordre découle une séquence de mesures que nous concevons en trois étapes. D’abord, nous vérifions si un service est vraiment nécessaire. Ensuite, s’il peut fonctionner en local ou avec un minimum de données. Ce n’est que pour les services restants, qui ne sont pas simplement remplaçables, que nous concevons le consentement. Cette séquence évite qu’un bandeau complexe gère des choses qu’il vaut mieux ne pas charger.

L’alternative serait la voie la plus confortable : intégrer un outil de gestion du consentement qui couvre le plus de choses possible et laisser le reste du site tel quel. Techniquement, cela fonctionne, mais présente des inconvénients. Le bandeau devient complexe, l’utilisation est pénible pour les visiteurs, et chaque script supplémentaire augmente la maintenance et le risque. Un outil documente les décisions ; il ne les prend pas à votre place.

Une troisième voie consisterait à renoncer à tout élément externe : pas de statistiques, pas de carte, pas de vidéo. Pour certaines entreprises, c’est cohérent, par exemple pour une entreprise artisanale avec une présentation claire de ses prestations et un formulaire de contact. Pour d’autres, il manque alors une connaissance de leur propre site, et un plan d’accès a une vraie utilité. Notre recommandation n’est donc pas une doctrine, mais une pesée service par service.

Un exemple de cette pesée : un plan d’accès est réellement utilisé par les clients, alors qu’un fil de réseaux sociaux dans le pied de page l’est à peine. La carte reste alors en solution à deux clics, et le fil est remplacé par un simple lien. Le résultat est un site qui charge moins, a moins à expliquer et perd à peine de fonction pour les visiteurs. C’est précisément cette mise en regard de l’utilité et de l’effort d’explication qui fournit la base de la décision.

Là où un consentement est nécessaire, c’est la conception qui détermine s’il est pris au sérieux. Le principe est largement connu : le consentement doit être libre, éclairé et univoque, et un refus ne doit pas être plus laborieux qu’une acceptation. Concrètement, cela signifie des boutons équivalents, donc « Tout accepter » et « Uniquement nécessaires » de même taille, de même visibilité et au même niveau, et non un bouton éclatant à côté d’un lien texte caché.

La conception inclut aussi des finalités compréhensibles plutôt que du jargon. « Nous mesurons de façon anonymisée quelles pages sont visitées » n’est honnête que si c’est vrai ; sinon, la description doit être différente. Le choix par catégorie doit être accessible sans détour, et une possibilité de retrait doit figurer comme lien permanent dans le menu du pied de page, afin que la décision, une fois prise, reste modifiable plus tard.

La manière de présenter compte aussi. Sur smartphone, le bandeau ne doit pas bloquer tout l’écran sans que la page derrière reste utilisable, et il doit être accessible au clavier et avec des lecteurs d’écran. Cela touche à l’accessibilité du site et montre à quel point les sujets sont imbriqués. Un bandeau qui ne peut pas être utilisé ne peut pas recueillir de décision valable.

Enfin, le langage des textes : court, concret, sans formules de pression comme « Aidez-nous à nous améliorer ». De telles phrases masquent ce à quoi l’on consent. Nous préférons écrire ce qui se passe : quel service, quelles données, quelle finalité. Qui formule ainsi peut reprendre presque telles quelles les mêmes informations dans la politique de confidentialité, ce qui simplifie sensiblement la maintenance.

Tout commence par l’inventaire, avec des outils que chacun peut suivre : l’onglet réseau du navigateur avec le cache vidé et sans consentement, l’affichage des cookies dans la zone de stockage des outils de développement, ainsi qu’un coup d’œil au code source pour repérer les scripts, iframes et feuilles de style intégrés. Le résultat est un tableau avec service, finalité, emplacement et fournisseur. Il devient la source de tout le reste.

Les polices sont le gain le plus simple. Au lieu de les charger depuis un serveur tiers à chaque visite, les fichiers se trouvent dans le projet propre et sont livrés avec la page. Cela économise une connexion, peut améliorer le temps de chargement et supprime une transmission à des tiers. Il est important de vérifier que la licence de la police autorise l’hébergement propre et de retirer proprement l’ancienne intégration, qui sinon continue à fonctionner à l’insu de tous.

Nous résolvons le plus souvent les cartes et les vidéos par une solution à deux clics. À la place du code d’intégration, un espace réservé apparaît d’abord, avec une indication de ce qui se passe au chargement. Seul le clic du visiteur charge le contenu externe. Pour les vidéos, des variantes d’intégration sobres en données entrent en ligne de compte, et un itinéraire peut souvent être présenté aussi bien avec une adresse, un lien et une image statique propre, sans qu’aucune donnée ne circule.

Pour les statistiques, il y a deux voies : un service avec consentement ou une solution sobre en données, exploitée en propre, qui se passe d’identifiants personnels. Si cette dernière est admissible sans demande de consentement dans un cas donné, vous le clarifiez avec un organisme compétent. Techniquement, dans les deux cas : les scripts ne sont chargés qu’après le consentement, et non chargés puis simplement « désactivés ». Le bandeau pilote la livraison ; ce n’est pas une décoration au-dessus d’une page qui a déjà envoyé ses requêtes.

Si vous utilisez des services Google avec consentement, le Consent Mode entre en jeu. Il transmet l’état du consentement sous forme de signaux, par exemple pour le stockage à des fins publicitaires et d’analyse, aux scripts Google, qui adaptent leur comportement. L’ordre correct est important : les valeurs par défaut « refusé » sont définies avant le chargement des scripts, et seul le choix du visiteur les modifie. Qui configure mal ce déroulement crée un bandeau qui a seulement l’air de piloter quelque chose.

Outre les éléments évidents, il existe des cas particuliers qui, d’après l’expérience, sont oubliés. Un formulaire de contact traite des noms et des messages, et le trajet de ces données ne s’arrête pas au bouton d’envoi : arrivent-elles dans une boîte mail, un CRM, un système de tickets ? Chaque étape est un destinataire, et la politique de confidentialité devrait décrire le trajet réel, non le trajet imaginé.

Les widgets de chat et les assistants IA méritent une attention particulière, car les visiteurs y saisissent du texte libre et en révèlent plus que dans un champ de formulaire. La question est alors de savoir où les données sont traitées, combien de temps elles sont conservées et si le prestataire les utilise pour ses propres finalités. Une indication sur le traitement avant la première saisie est une mesure de conception judicieuse, mais ne remplace pas une clarification contractuelle.

Par ce volet contractuel, on entend la sous-traitance du traitement : lorsqu’un prestataire traite des données personnelles pour votre compte, un contrat écrit est en règle générale nécessaire. Cela concerne les hébergeurs, les fournisseurs de newsletter, les services de chat et certains outils de statistiques. Faire partie de la maintenance, c’est rassembler ces contrats et les rattacher aux prestataires dans la liste des services, afin que rien n’ait à être cherché lors d’une demande.

Autre cas en marge : les services dont le siège ou le serveur se trouve hors de l’UE. La question des transferts vers des pays tiers est juridiquement mouvante et évolue avec le temps. Nous ne l’évaluons pas, mais nous signalons ces services dans la liste et recommandons de les faire examiner à part. Là aussi : si une alternative européenne ou locale remplit la même finalité, c’est souvent la voie la plus simple.

Une révision de la confidentialité ne livre ni certification ni blanc-seing. Si un site web résiste en cas de litige, ce sont les autorités et les tribunaux qui en décident selon le cas d’espèce, et la situation juridique et son interprétation restent en mouvement. Un objectif honnête est donc le suivant : le comportement réel du site est connu, limité, documenté et correspond à ce que les visiteurs lisent dans le bandeau et dans la politique.

Cet état peut être vérifié. Vous voyez dans l’onglet réseau qu’avant le consentement aucune requête non nécessaire ne part vers des tiers. Le nombre de serveurs tiers contactés à la première visite est plus petit qu’avant. La liste des services, la politique de confidentialité et le bandeau citent les mêmes services. De plus, un contrôle par sondage avec un profil de navigateur neuf peut être répété après chaque modification importante.

Les performances du site peuvent aussi en profiter lorsque des ressources tierces disparaissent. Moins de connexions externes signifient plutôt des temps de chargement plus courts, mesurables avec Lighthouse ou PageSpeed Insights. C’est un effet secondaire, non une promesse, car l’effet dépend de ce qui a été supprimé exactement. En contrepartie, il y a une limite : qui n’exploite les statistiques qu’avec consentement ne voit plus qu’une partie des visites et devrait lire les chiffres avec prudence.

Vous ne devez pas vous attendre à ce que tous les risques disparaissent. Même un site soigneusement assaini peut être critiqué, par exemple à cause d’un prestataire dont le classement change. Seule est fiable la capacité à réagir à de tels changements : qui a la vue d’ensemble remplace un service en un après-midi au lieu de commencer une recherche de plusieurs semaines.

L’enseignement principal est peu spectaculaire : la plupart des problèmes naissent d’ajouts sans validation. Une règle fixe selon laquelle chaque nouvelle intégration est d’abord inscrite dans la liste des services évite plus de choses que n’importe quel audit a posteriori. La règle n’a pas besoin de logiciel, mais d’un responsable et d’une habitude qui s’applique à chaque plugin et à chaque élément marketing.

Deuxièmement, il vaut la peine de tenir le bandeau et la politique de confidentialité à partir de la même source. Si les deux sont établis séparément, ils divergent. S’ils découlent d’une liste avec service, finalité, fournisseur et durée de conservation, le rapprochement se fait en quelques minutes. Cela vaut aussi pour les mentions légales et d’autres mentions obligatoires, volontiers oubliées lors de déménagements ou de changements de forme juridique.

Troisièmement, il apparaît que l’équité dans le bandeau n’est pas en conflit avec l’activité. Un refus à égalité coûte, d’après l’expérience, un peu de portée dans les statistiques, mais crée une image du site sur laquelle les visiteurs ne se sentent pas pris de haut. Pour une entreprise qui vit de la confiance, cela peut peser plus qu’une analyse un peu plus complète.

Un site conforme au RGPD ne naît pas d’un seul bandeau, mais d’une séquence : connaître les services, supprimer les superflus, héberger les ressources en local, demander équitablement le reste et refléter le tout de manière cohérente dans le bandeau et dans la politique. Chacune de ces étapes est gérable en soi. Ensemble, elles donnent un site dont vous pouvez expliquer le comportement sans rien consulter.

L’étape suivante est petite. Ouvrez votre page d’accueil dans une fenêtre privée, ouvrez l’onglet réseau et comptez les domaines contactés avant tout consentement. Comparez-les à votre bandeau et à votre politique de confidentialité. Si les chiffres ne concordent pas, un inventaire est pertinent, et nous le menons volontiers avec vous.

Pour situer les choses, il faut indiquer la limite de notre contribution : nous concevons et construisons le volet technique et préparons les informations. L’appréciation juridique contraignante de votre cas, le classement des services sensibles et la rédaction des textes définitifs relèvent de spécialistes du droit de la protection des données. Avec un inventaire propre, leur travail devient plus rapide et moins coûteux.

Encore une remarque sur les attentes : la protection des données n’est pas un projet avec une date de fin. Les nouvelles règles des navigateurs, les services modifiés et les évolutions d’interprétation font que même un site bien positionné a besoin d’un regard régulier. Prévoyez pour cela un rendez-vous fixe et bref une fois par an. L’effort est faible si la liste des services est tenue à jour, et il grandit si on le repousse.