RGPD : Mettre son site web en conformité. Une obligation légale

Le Règle­ment Géné­ral sur la Pro­tec­tion des Don­nées (RGPD) est entré en vigueur le 25 mai 2018. C’est un règle­ment euro­péen direc­te­ment appli­cable dans tous les États membres. Il s’applique à toutes les entre­prises, euro­péennes ou non, qui col­lectent ou traitent des don­nées per­son­nelles de per­sonnes situées dans l’Union euro­péenne, qu’elles en soient rési­dentes ou non. Cette régle­men­ta­tion a été pen­sée pour que chaque indi­vi­du garde le contrôle sur ses propres don­nées. Quant aux entre­prises, celles-ci doivent garan­tir la sécu­ri­té des don­nées per­son­nelles de leurs uti­li­sa­teurs. Fina­le­ment, c’est un fac­teur de confiance, tant pour l’utilisateur que pour l’entreprise.

Qu’est-ce que le RGPD ? Com­ment se mettre en confor­mi­té ? Voi­ci une vue d’en­semble sur cette régle­men­ta­tion.

Cet article est une sen­si­bi­li­sa­tion au RGPD. Pour être sûr d’être dans les clous, faites appel à un expert ou une experte dans ce domaine.

Qu’est-ce que le RGPD et quelle est son importance ?

Le RGPD rem­place une direc­tive de 1995 afin d’adapter le droit de la vie pri­vée aux usages liés au web. Cette régle­men­ta­tion est la garan­tie que chaque inter­naute garde la main sur ses don­nées. Les entre­prises col­lec­tant ou uti­li­sant des don­nées per­son­nelles doivent s’en­ga­ger à mettre en place des moyens suf­fi­sants afin d’en assu­rer leur pro­tec­tion.

Concrè­te­ment, chaque citoyen a le droit d’accéder, de faire rec­ti­fier ou d’ef­fa­cer ses don­nées, de s’opposer à leur trai­te­ment ou encore d’en deman­der leur por­ta­bi­li­té. Cette poli­tique se veut donc pro­tec­trice des citoyens et citoyennes. Je vous invite à lire cet article de la CNIL qui parle du droit à l’ef­fa­ce­ment de vos don­nées.

Le RGPD concerne tous types de sites web : petites entre­prises, asso­cia­tions, très grosses entre­prises.

Les avantages concrets du RGPD, tant pour l’internaute que l’entreprise

Un gage de confiance renforcée

Grâce au RGPD, vos clients et clientes vont se rendre compte que leur vie pri­vée est prise au sérieux sur votre site. Cette poli­tique ren­force leur confiance et leur satis­fac­tion.

Une meilleure gestion des données

En vous confor­mant au RGPD, vous garan­tis­sez aux per­sonnes visi­tant votre site de ne col­lec­ter que ce qui est indis­pen­sable : par exemple, l’adresse e‑mail d’un client lorsque vous avez besoin de lui envoyer une confir­ma­tion de com­mande, son adresse pos­tale si vous avez un site e‑commerce, pour lui envoyer sa com­mande.

Éviter des sanctions pouvant peser sur vos finances

Ne pas res­pec­ter cette régle­men­ta­tion peut vous expo­ser à des amendes pou­vant repré­sen­ter jusqu’à 20 mil­lions d’euros ou 4 % de votre chiffre d’af­faires. Cette poli­tique est donc non seule­ment un fac­teur de confiance, mais elle vous évite des risques finan­ciers pou­vant gra­ve­ment impac­ter votre acti­vi­té.

Les éléments qui déposent des cookies sur un ordinateur depuis un site web

Si votre site a été déve­lop­pé sous Word­Press, ce CMS et cer­taines exten­sions déposent des cookies pour per­mettre l’au­then­ti­fi­ca­tion, l’a­jout au panier de pro­duits sur un site e‑commerce ou la langue de l’u­ti­li­sa­teur. Ces cookies-là ne requièrent pas le consen­te­ment de la per­sonne qui visite le site. Car ce sont des cookies tech­niques.

Par contre si votre site intègre des ser­vices tiers, comme :

• Google Ana­ly­tics,
• Google Ads, Face­book Ads pour de la publi­ci­té ciblée,
• Des bou­tons de par­tage sur les réseaux sociaux,
• Les players vidéos comme You­Tube ou Vimeo,
• Google Maps,
• Des fonts Google,
• Les régies publi­ci­taires,

vous êtes dans l’o­bli­ga­tion d’en infor­mer la per­sonne qui vient sur votre site, pour recueillir son consen­te­ment ou pas.

Que devez-vous faire pour vous conformer à cette réglementation ?

1. Mettre en place une bannière de consentement

Il est indis­pen­sable d’afficher une ban­nière lorsque quelqu’un arrive sur votre site. Cette ban­nière lui demande son consen­te­ment expli­cite sur l’installation de cookies. Si vous uti­li­sez Word­Press, il existe des exten­sions spé­cia­li­sées RGPD qui vous aident à assu­rer cette étape.

Rap­pel : Quand vous choi­sis­sez une exten­sion Word­Press, n’ou­bliez pas de véri­fier le nombre d’ins­tal­la­tions actives, le nombre d’é­toiles qui lui ont été attri­buées et si elle est com­pa­tible avec la ver­sion de votre site Word­Press.

2. Votre site doit comporter une politique de confidentialité.

Votre poli­tique de confi­den­tia­li­té, doit être acces­sible depuis toutes vos pages de votre site web. Cette page explique de manière trans­pa­rente quelle est l’étendue des don­nées col­lec­tées, leur fina­li­té, leur durée de conser­va­tion et les moyens d’accéder, de cor­ri­ger ou d’ef­fa­cer toutes les don­nées per­son­nelles vous concer­nant. Ain­si, on doit y trou­ver :

• Le nom ou la déno­mi­na­tion sociale du pro­prié­taire du site et ses coor­don­nées.
• Le nom et com­ment contac­ter le ou la Délé­guée à la Pro­tec­tion des Don­nées (DPO), si cela est appli­cable. En effet, avoir une per­sonne DPO est facul­ta­tif. Cela dépend de l’ac­ti­vi­té de l’en­tre­prise et de l’am­pleur des trai­te­ments. Cepen­dant cer­taines entre­prises pré­fèrent en nom­mer une par pré­cau­tion.
• La fina­li­té du trai­te­ment des don­nées (pour­quoi vous col­lec­tez les don­nées).
• La base légale du trai­te­ment : à savoir le consen­te­ment de l’u­ti­li­sa­teur ou uti­li­sa­trice, l’in­té­rêt légi­time ou l’o­bli­ga­tion légale.
• Le type de don­nées col­lec­tées : les don­nées d’i­den­ti­fi­ca­tions comme le nom, le pré­nom, ou l’email. Les don­nées tech­niques comme l’a­dresse IP ou les cookies. Tout autres don­nées propres à chaque cas.
• Les des­ti­na­taires des don­nées.
• La durée de conser­va­tion des don­nées.
• Le droit des per­sonnes concer­nées, comme le droit d’ac­cès, le droit de rec­ti­fi­ca­tion, le droit à l’ou­bli, etc.
• Les mesures de sécu­ri­té pour assu­rer la pro­tec­tion des don­nées.
• L’u­ti­li­sa­tion de cookies et leur fina­li­té en spé­ci­fiant notam­ment quelles sont les tech­no­lo­gies uti­li­sées.
• La date de modi­fi­ca­tion de la poli­tique de confi­den­tia­li­té si elle a eu lieu.

Il existe des géné­ra­teurs de poli­tiques de confi­den­tia­li­té, mais rien ne vaut l’a­vis d’un avo­cat spé­cia­li­sé !

3. Utiliser des formulaires conformes

Lorsqu’un for­mu­laire col­lecte des don­nées pour des fina­li­tés néces­si­tant un consen­te­ment expli­cite (comme l’envoi d’une news­let­ter ou d’offres com­mer­ciales), une case à cocher non pré-cochée est néces­saire. Tou­te­fois, dans d’autres cas (ex. : demande de contact ou de devis), le trai­te­ment peut repo­ser sur l’exécution d’un contrat ou l’intérêt légi­time, sans obli­ga­tion de recueil de consen­te­ment expli­cite.

Voi­ci quelques exemples de non confor­mi­té d’un for­mu­laire :

• Si on sou­haite que quel­qu’un laisse un mes­sage ou fasse une demande de devis, il n’est pas utile de lui deman­der son sexe, son âge ou son adresse pos­tale.
• Pour l’ins­crip­tion à une news­let­ter, l’a­dresse e‑mail suf­fit, son nom ou son adresse sont inutiles.

4. Renforcer la sécurité des données

Il est indis­pen­sable que toutes vos don­nées tran­sitent de manière sécu­ri­sée (avec le pro­to­cole HTTPS), que vos exten­sions et Word­Press lui-même soient mis à jours, que vos poli­tiques de mot de passe soit ren­for­cées et que cer­taines don­nées, telles que les adresses IP, soit chif­frées lorsque leur conser­va­tion est indis­pen­sable.

5. Choisir un hébergeur respectueux des données utilisateurs

Effec­ti­ve­ment, il est néces­saire de véri­fier si l’hé­ber­geur que vous choi­sis­sez pour votre site web res­pecte le RGPD. Par exemple, un héber­geur situé en dehors de l’U­nion Euro­péenne est sus­cep­tible de trans­fé­rer les don­nées aux États Unis.

Une étape indispensable pour gagner la confiance de vos clients

Le RGPD n’est pas sim­ple­ment une contrainte, c’est une étape indis­pen­sable afin d’assurer un rap­port de confiance avec vos uti­li­sa­teurs. C’est l’occasion d’améliorer vos pra­tiques, de démon­trer votre sérieux et d’offrir une expé­rience sécu­ri­sée et res­pec­tueuse des don­nées de chaque indi­vi­du. La confor­mi­té prend donc tout son sens dans le monde numé­rique d’aujourd’hui, elle est un fac­teur de trans­pa­rence, de confiance et de per­for­mance.

C’est pour­quoi le RGPD exige que l’on informe chaque per­sonne que des cookies non essen­tiels peuvent être dépo­sés sur son ordi­na­teur et que l’on lui demande son consen­te­ment avant que ceux-ci ne soient ins­tal­lés.

Cré­dit pho­to image à la Une : Kaf­fee­bart