RGPD et site internet : le parcours de mise en conformité

La première étape consiste à lister tout ce que le site collecte, directement ou par un outil tiers. Sur un site vitrine ou de services, les points de collecte habituels sont les formulaires (contact, devis, candidature, rendez-vous), la lettre d'information, la mesure d'audience et les autres traceurs, le module de discussion, l'espace client et les journaux de connexion conservés par l'hébergeur.

1. 1Parcourir — Ouvrez chaque page et notez chaque champ qui demande une information sur une personne.
2. 2Lister les outils — Relevez les extensions, scripts et services tiers chargés par le site, avec l'aide du prestataire technique.
3. 3Qualifier — Pour chaque collecte, notez la finalité, les données recueillies, qui y accède et la durée de conservation.
4. 4Consolider — Rassemblez ces lignes dans un tableau : il deviendra votre registre.

Chaque collecte doit reposer sur l'un des fondements de l'article 6 du règlement 2016/679. Quatre d'entre eux couvrent presque tous les cas d'un site vitrine ou de services : consentement, contrat ou mesures précontractuelles, obligation légale, intérêt légitime. Le choix se fait collecte par collecte. Les traceurs non indispensables obéissent à une règle propre : le consentement exigé par l'article 82 de la loi Informatique et Libertés, présenté par la CNIL.

L'article 13 du RGPD liste les informations à fournir au moment de la collecte : identité et coordonnées du responsable du traitement, finalités et base légale, destinataires, transferts hors Union européenne, durées de conservation, droits des personnes et possibilité de saisir la CNIL.

Sur un site, cette information se fait à deux niveaux : une mention courte sous chaque formulaire, et la politique de confidentialité, qui reprend les mentions de l'article 13 pour chaque collecte inventoriée. Sa rédaction est détaillée dans l'article mentions légales et RGPD.

La politique se rédige après l'inventaire et le choix des bases légales. Un écart entre ce qu'elle annonce et ce que le site fait est un constat fréquent lors d'un audit RGPD site internet : un outil ajouté par l'agence, et la page n'a pas suivi.

Faut-il un consentement pour la mesure d'audience ?

Oui, par principe : tout traceur non strictement nécessaire au service demandé exige un consentement préalable, le refus étant aussi simple que l'acceptation. La CNIL admet une exemption pour les outils qui produisent uniquement des statistiques anonymes pour l'éditeur, sans recoupement ni transmission à des tiers, avec un traceur d'environ treize mois et des données conservées au plus vingt-cinq mois, selon sa page dédiée. Le bandeau et les réglages sont traités dans le guide cookies et traceurs.

Que vérifier sur les formulaires ?

Trois points : chaque champ est justifié par la finalité, la mention d'information figure sous le formulaire, et le consentement, lorsqu'il est la base légale, résulte d'une action positive distincte. Les modèles figurent dans le guide formulaire RGPD ; pour une boutique, voir le guide RGPD e-commerce.

L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées au risque. Pour le volet technique du RGPD site internet, la CNIL décrit des précautions élémentaires :

• chiffrer tous les échanges avec TLS 1.2 ou 1.3 ;
• protéger les comptes d'administration par des mots de passe robustes et retirer les accès obsolètes ;
• installer sans délai les mises à jour critiques du CMS et de ses extensions ;
• sauvegarder régulièrement, de façon chiffrée, et ne jamais stocker un mot de passe en clair.

Hébergeur, agence, outils tiers : quelles obligations ?

Tout prestataire qui traite des données pour votre compte (hébergeur, agence, outil d'envoi de lettres d'information ou de discussion) est un sous-traitant au sens de l'article 28 du RGPD. Un contrat écrit doit préciser l'objet, la durée, la nature des traitements et les obligations de sécurité : vérifiez que l'accord de traitement de chaque outil les contient.

Si un prestataire stocke ou consulte les données hors de l'Union européenne, le chapitre V du RGPD s'applique : décision d'adéquation de la Commission européenne ou, à défaut, garanties appropriées, le plus souvent les clauses contractuelles types, comme l'explique la CNIL. Notez la localisation des serveurs.

Toute personne peut demander l'accès à ses données, leur rectification ou leur effacement. L'article 12 du RGPD impose une réponse dans un délai d'un mois à compter de la demande, prolongeable de deux mois en cas de complexité, à condition d'en informer la personne. Trois dispositions suffisent :

• une adresse de contact dédiée, indiquée dans la politique de confidentialité, et une personne qui la relève ;
• une procédure courte : vérifier l'identité si nécessaire, retrouver les données dans chaque outil, répondre et garder une trace ;
• un lien de désinscription dans chaque lettre d'information, fonctionnant sans connexion à un compte.

Testez la procédure en envoyant vous-même une demande d'accès depuis une adresse personnelle. Une conformité RGPD site web se juge aussi à cette capacité de réponse.

Le registre prévu à l'article 30 du RGPD réunit ce que les étapes précédentes ont produit : finalités, données, destinataires, durées de conservation et description générale des mesures de sécurité. L'article 30 dispense les organismes de moins de 250 salariés d'une partie de cette obligation, mais pas pour les traitements non occasionnels, dont relèvent les formulaires d'un site. Le registre reste donc à tenir, comme le précise la CNIL, qui fournit un modèle, et à mettre à jour à chaque ajout d'outil.

Liste de contrôle avant de clore le chantier

Cette liste de contrôle RGPD site internet reprend les huit étapes ; chaque point coché doit pouvoir être prouvé par un document ou une capture d'écran.

À retenir

• La conformité d'un site commence par l'inventaire des collectes.
• La base légale se choisit collecte par collecte ; la politique de confidentialité se rédige ensuite.
• Hébergeur, agence et outils tiers sont des sous-traitants : contrat et localisation des données à vérifier.
• Une demande d'exercice des droits se traite en un mois ; le registre réunit le tout.

Mené dans cet ordre, un parcours RGPD site internet produit les documents que la CNIL recommande sur sa page RGPD : par où commencer.