Le GDPR, c'est-à-dire le General Data Protection Regulation, est un règlement de l'Union européenne relatif à la protection des données personnelles. En français, il est généralement appelé RGPD - Règlement général sur la protection des données. Il encadre les principes du traitement des données personnelles des personnes physiques, les obligations des entreprises, des institutions, des boutiques en ligne, des administrateurs de sites web, des organisations et des entités qui utilisent les données de clients, d'employés, d'utilisateurs ou de partenaires commerciaux. Le RGPD n'est pas seulement une formalité, une politique de confidentialité ou un message sur les cookies. C'est tout un système de règles destiné à garantir que les données personnelles sont collectées légalement, utilisées loyalement, conservées en sécurité, partagées uniquement lorsqu'il existe une base juridique et supprimées lorsqu'elles ne sont plus nécessaires.
- Qu'est-ce que le GDPR / RGPD ?
- Qui est concerné par le RGPD ?
- Que sont les données personnelles ?
- Que signifie le traitement des données personnelles ?
- Les principes les plus importants du RGPD
- Bases juridiques du traitement des données
- Consentement selon le RGPD - quand est-il nécessaire ?
- Responsable du traitement et sous-traitant
- Obligation d'information selon le RGPD
- Droits des personnes concernées
- Sécurité des données personnelles
- Violation de données personnelles
- Sous-traitance du traitement des données personnelles
- RGPD sur un site web
- RGPD, cookies et consentements marketing
- Quels documents RGPD faut-il préparer ?
- Les erreurs les plus fréquentes avec le RGPD
- RGPD en pratique
- FAQ - GDPR / RGPD
Qu'est-ce que le GDPR / RGPD ?
GDPR est l'abréviation de General Data Protection Regulation, c'est-à-dire le règlement général de l'Union européenne sur la protection des données. En français, le même acte juridique est appelé RGPD - Règlement général sur la protection des données.
Le RGPD est un règlement européen qui définit comment les données personnelles peuvent être collectées, conservées, utilisées, transmises, sécurisées et supprimées. Son objectif est de protéger la vie privée des personnes physiques et d'harmoniser les règles de traitement des données dans les pays de l'Union européenne.
En pratique, le RGPD concerne presque toutes les entreprises, sites web, boutiques, fondations, écoles, administrations, organisations, prestataires de services, employeurs et administrateurs de sites qui traitent des données personnelles de personnes physiques. Il ne s'agit pas uniquement de grandes bases de données clients. Les données personnelles apparaissent également dans les formulaires de contact, les newsletters, les commandes en ligne, la correspondance par e-mail, les systèmes CRM, les factures, le recrutement, la vidéosurveillance, l'analyse web et les comptes utilisateurs.
Le RGPD n'interdit pas le traitement des données. Il impose toutefois des conditions : les données doivent être traitées légalement, dans un but précis, dans une portée limitée, pendant une durée déterminée et avec des mesures de sécurité appropriées. La personne concernée doit savoir qui traite ses données, pourquoi, sur quelle base juridique, pendant combien de temps et quels droits lui sont accordés.
En bref : GDPR / RGPD n'est pas un simple consentement ni un simple document sur un site web. C'est un ensemble de principes, d'obligations et de procédures destinés à garantir que les données personnelles sont traitées loyalement, en sécurité et uniquement lorsqu'il existe une base juridique pour le faire.
Qui est concerné par le RGPD ?
Le RGPD concerne les entités qui traitent des données personnelles de personnes physiques dans le cadre d'une activité professionnelle, commerciale, publique, sociale ou organisationnelle. Il peut s'agir d'une société, d'une entreprise individuelle, d'une boutique en ligne, d'un cabinet, d'une école, d'une administration, d'une association, d'une fondation, d'un portail internet, d'une agence marketing, d'une société de développement logiciel, d'un organisateur d'événements ou du propriétaire d'un site avec formulaire de contact.
Peu importe que l'entreprise soit grande ou petite. Une petite entreprise peut également traiter les données de clients, d'employés, de candidats, d'utilisateurs du site, d'abonnés à une newsletter ou de personnes envoyant une demande via un formulaire. L'étendue des obligations peut varier, mais la taille de l'activité n'exempte pas automatiquement du respect des principes de protection des données.
| Entité | Exemple de données | Situations typiques liées au RGPD |
|---|---|---|
| Boutique en ligne | Prénom, nom, adresse, e-mail, téléphone, historique des commandes | Exécution de commande, compte client, réclamations, newsletter. |
| Site d'entreprise | Données du formulaire de contact, adresse IP, cookies | Traitement des demandes, analyse, marketing, formulaires. |
| Employeur | Données des employés, candidats et collaborateurs | Ressources humaines, recrutement, contrats, paie, autorisations. |
| Fondation ou association | Données des membres, donateurs, bénévoles | Gestion des membres, dons, événements, communication. |
| Portail internet | Comptes utilisateurs, commentaires, adresses IP, journaux | Inscription, modération, sécurité, statistiques. |
| Agence marketing | Bases d'e-mailing, prospects, données des clients de ses clients | Campagnes, remarketing, newsletters, sous-traitance. |
Que sont les données personnelles ?
Les données personnelles sont des informations relatives à une personne physique qui peut être identifiée directement ou indirectement. Il ne s'agit pas seulement du prénom, du nom et d'un numéro d'identification national. Une donnée personnelle peut également être une adresse e-mail, un numéro de téléphone, une adresse de domicile, un numéro client, un identifiant utilisateur, une adresse IP, des données de localisation, un historique d'achats, des données de paiement, une photographie, un enregistrement vocal ou des informations sur le comportement d'un utilisateur dans un service.
Toute information n'est pas automatiquement une donnée personnelle dans tous les contextes. La question essentielle est de savoir si cette information permet d'identifier une personne précise ou si elle peut être combinée avec d'autres données de manière à permettre cette identification. C'est pourquoi une adresse e-mail du type Adres poczty elektronicznej jest chroniony przed robotami spamującymi. W przeglądarce musi być włączona obsługa JavaScript, żeby go zobaczyć. sera généralement une donnée personnelle, et un identifiant utilisateur apparemment technique peut également l'être s'il permet de relier une activité à une personne déterminée.
| Type de données | Exemples | Commentaire pratique |
|---|---|---|
| Données d'identification | Prénom, nom, numéro d'identification, numéro de document | Elles désignent directement une personne précise. |
| Coordonnées | E-mail, téléphone, adresse postale | Elles apparaissent le plus souvent dans les formulaires, contrats et commandes. |
| Données techniques | Adresse IP, identifiant de cookie, journaux, ID d'appareil | Elles peuvent être des données personnelles si elles permettent d'identifier ou de profiler l'utilisateur. |
| Données transactionnelles | Historique d'achats, réclamations, paiements, commandes | Elles sont souvent traitées dans les boutiques et les systèmes CRM. |
| Catégories particulières de données | Santé, opinions politiques, religion, biométrie, orientation sexuelle | Elles exigent une prudence particulière et généralement une base juridique plus forte. |
Remarque pratique : c'est une erreur de penser que les données personnelles se limitent à un numéro d'identification, un numéro de carte d'identité et une adresse de domicile. Dans l'activité en ligne, les données personnelles comprennent très souvent aussi l'e-mail, l'adresse IP, l'identifiant utilisateur, les cookies et l'historique d'activité.
Que signifie le traitement des données personnelles ?
Le traitement des données personnelles désigne pratiquement toute opération effectuée sur des données. Il ne s'agit pas uniquement de leur utilisation active. Le traitement comprend déjà la collecte des données, leur enregistrement dans un système, leur conservation, leur organisation, leur envoi, leur divulgation, leur consultation, leur analyse, leur mise à jour, leur copie, leur archivage et leur suppression.
En pratique, une entreprise traite des données lorsqu'elle reçoit un message depuis un formulaire de contact, envoie une facture, gère un compte client, exécute une commande, inscrit un utilisateur à une newsletter, utilise des outils d'analyse, mène un recrutement, crée une liste de participants à un événement ou conserve les données d'un employé dans la documentation RH.
| Action | Est-ce un traitement de données ? | Exemple |
|---|---|---|
| Collecte de données | Oui | Formulaire de contact, formulaire de commande, inscription à un compte. |
| Conservation de données | Oui | Base de clients, boîte e-mail, système CRM. |
| Envoi de messages | Oui | Newsletter, réponse à une demande, message à un client. |
| Partage de données | Oui | Transmission des données à un transporteur, un comptable ou une société d'hébergement. |
| Suppression de données | Oui | Suppression d'un compte utilisateur ou suppression de données après expiration de la durée de conservation. |
Les principes les plus importants du RGPD
Le RGPD repose sur plusieurs principes fondamentaux. Ce sont eux qui servent de point de départ pour déterminer si les données sont traitées correctement. Il ne suffit pas d'avoir une politique de confidentialité sur le site. Il faut aussi réellement respecter les principes de licéité, transparence, minimisation des données, limitation des finalités, exactitude, limitation de la conservation, confidentialité, intégrité et responsabilité.
Le changement le plus important est un changement de manière de penser. Les données personnelles ne devraient pas être collectées « au cas où », conservées indéfiniment ni utilisées à des fins dont la personne n'a pas été informée. Le responsable du traitement doit être capable d'expliquer pourquoi les données sont nécessaires, sur quelle base elles sont traitées et comment elles sont protégées.
| Principe du RGPD | Que signifie-t-il ? | Exemple pratique |
|---|---|---|
| Licéité | Les données doivent avoir une base juridique de traitement. | Exécution d'un contrat, obligation légale, consentement ou intérêt légitime. |
| Loyauté et transparence | La personne doit savoir ce qui se passe avec ses données. | Une notice d'information claire et une politique de confidentialité. |
| Limitation des finalités | Les données sont collectées pour une finalité précise et déterminée. | Les données du formulaire de contact servent à répondre, pas automatiquement à inscrire à une newsletter. |
| Minimisation des données | Seules les données réellement nécessaires sont collectées. | Un formulaire de demande ne devrait pas exiger un numéro d'identification. |
| Exactitude | Les données doivent être à jour et correctes. | Un client peut mettre à jour son adresse de livraison ou ses données de compte. |
| Limitation de la conservation | Les données ne sont pas conservées plus longtemps que nécessaire. | Les données des candidats sont supprimées après la fin du recrutement, sauf autre base applicable. |
| Intégrité et confidentialité | Les données doivent être protégées contre la perte et l'accès non autorisé. | Mots de passe, autorisations, chiffrement, sauvegardes. |
| Responsabilité | Le responsable doit pouvoir démontrer le respect des principes. | Documentation, registres, procédures, contrats de sous-traitance. |
En bref : le RGPD exige non seulement des documents formels, mais aussi une véritable organisation des données. Il faut savoir quelles données on possède, pourquoi, où elles sont stockées, qui y a accès, à qui elles sont transmises et quand elles doivent être supprimées.
Bases juridiques du traitement des données
Chaque traitement de données personnelles doit avoir une base juridique. C'est l'un des éléments les plus importants du RGPD. En pratique, on suppose souvent à tort qu'un consentement est toujours nécessaire. Or le consentement n'est qu'une des bases juridiques. Dans de nombreuses situations, les données peuvent, et parfois doivent, être traitées sur une autre base.
Pour une boutique en ligne, la base du traitement des données du client peut être l'exécution du contrat, car sans données il est impossible d'exécuter la commande. Pour émettre une facture, la base sera une obligation légale. Pour faire valoir des droits, il peut s'agir d'un intérêt légitime. Le consentement sera en revanche typique pour une newsletter marketing, s'il n'existe pas d'autre base appropriée et si les règles relatives aux communications électroniques exigent un consentement.
| Base juridique | Quand s'applique-t-elle ? | Exemple |
|---|---|---|
| Consentement | Lorsque la personne accepte volontairement une finalité précise. | Inscription à une newsletter, consentement à certaines actions marketing. |
| Exécution d'un contrat | Lorsque les données sont nécessaires pour conclure ou exécuter un contrat. | Exécution d'une commande, service du compte client, prestation de service. |
| Obligation légale | Lorsque la loi exige le traitement des données. | Comptabilité, factures, obligations fiscales, documentation du personnel. |
| Intérêts vitaux | Lorsque le traitement protège la vie ou la santé d'une personne. | Situations d'urgence, médicales ou de secours. |
| Mission d'intérêt public | Lorsqu'une entité accomplit des missions d'intérêt public. | Activités d'administrations, d'écoles publiques ou d'institutions. |
| Intérêt légitime | Lorsque le responsable a un objectif juridiquement justifié et que les droits de la personne ne prévalent pas. | Défense de droits, sécurité, contact B2B de base, prévention des abus. |
Conseil pratique : ne demandez pas de consentement là où le traitement découle d'un contrat ou d'une obligation légale. Le consentement doit être libre et révocable, il n'est donc pas une bonne solution pour des opérations qui doivent de toute façon être effectuées.
Consentement selon le RGPD - quand est-il nécessaire ?
Le consentement est l'une des bases de traitement les plus connues, mais aussi l'une des plus souvent mal utilisées. Pour être valable, le consentement doit être libre, spécifique, éclairé et univoque. Il ne peut pas être caché dans des conditions générales, imposé ou regroupé avec d'autres finalités d'une manière qui empêche la personne de faire un choix réel.
En pratique, le consentement est souvent nécessaire pour les actions marketing, les newsletters, certains cookies, la personnalisation publicitaire ou des finalités supplémentaires qui ne sont pas nécessaires à l'exécution d'un contrat. Le consentement ne doit cependant pas être utilisé comme solution universelle pour tout.
Une personne qui a donné son consentement doit pouvoir le retirer. Le retrait du consentement doit être aussi simple que son expression. Si un utilisateur peut s'inscrire à une newsletter via un formulaire, il doit pouvoir s'en désinscrire facilement, par exemple au moyen d'un lien de désabonnement ou en contactant le responsable du traitement.
| Caractéristique du consentement | Que signifie-t-elle ? | Erreur à éviter |
|---|---|---|
| Libre | La personne a un vrai choix. | Imposer un consentement marketing comme condition d'achat. |
| Spécifique | Il concerne une finalité déterminée. | Un seul consentement pour newsletter, publicité, partenaires et profilage. |
| Éclairé | La personne sait à quoi elle consent. | Cacher l'information dans de longues conditions illisibles. |
| Univoque | Il résulte d'une action active. | Une case cochée par défaut. |
| Révocable | La personne peut retirer son consentement. | Absence de moyen simple de se désabonner d'une newsletter. |
Responsable du traitement et sous-traitant
Le responsable du traitement est l'entité qui décide des finalités et des moyens du traitement des données personnelles. Plus simplement, le responsable détermine pourquoi les données sont collectées et comment elles seront utilisées. Il peut s'agir d'une entreprise, d'un propriétaire de boutique, d'une fondation, d'une école, d'une administration, d'une société, d'un entrepreneur individuel ou d'un organisateur d'événement.
Le sous-traitant traite les données pour le compte du responsable. Il ne décide pas de manière indépendante des principales finalités du traitement, mais exécute des opérations précises selon les instructions du responsable. Il peut s'agir, par exemple, d'une société d'hébergement, d'un système de newsletter, d'un cabinet comptable, d'un prestataire informatique externe, d'un fournisseur CRM ou d'une agence réalisant une campagne e-mail sur la base de données d'un client.
| Rôle | Que fait-il ? | Exemple |
|---|---|---|
| Responsable du traitement | Décide des finalités et des moyens du traitement des données. | Une boutique en ligne traitant les données de clients. |
| Sous-traitant | Traite les données pour le compte du responsable. | Société d'hébergement, opérateur de newsletter, cabinet comptable. |
| Responsables conjoints | Décident ensemble des finalités et des moyens du traitement. | Deux entités réalisant un projet commun avec une seule base de participants. |
En bref : le responsable répond du pourquoi et du comment du traitement des données. Le sous-traitant exécute des opérations précises pour son compte et doit agir sur la base d'un contrat de sous-traitance.
Obligation d'information selon le RGPD
L'une des obligations fondamentales du responsable du traitement est d'informer la personne du traitement de ses données. C'est pourquoi les sites web affichent des politiques de confidentialité, des mentions d'information près des formulaires, des informations de recrutement, des informations pour les clients, les employés ou les participants à des événements.
L'obligation d'information doit être remplie de manière compréhensible. La personne ne devrait pas devoir deviner qui traite ses données, dans quel but, sur quelle base juridique, à qui les données peuvent être transmises et combien de temps elles seront conservées. Un message trop général du type « Vos données seront traitées conformément au RGPD » ne suffit pas, car il ne fournit pas une information réelle.
| Élément d'information | Que faut-il expliquer ? |
|---|---|
| Responsable | Qui traite les données et comment le contacter. |
| Finalité du traitement | Pourquoi les données sont collectées et utilisées. |
| Base juridique | Sur quelle base les données sont traitées. |
| Destinataires des données | À qui les données peuvent être transmises, par exemple à l'hébergeur, au comptable ou à l'opérateur de paiement. |
| Durée de conservation | Combien de temps les données seront conservées ou selon quels critères cette durée sera déterminée. |
| Droits de la personne | Quels droits appartiennent à la personne concernée. |
| Droit d'introduire une réclamation | Information sur la possibilité de déposer une réclamation auprès de l'autorité de contrôle. |
| Caractère volontaire ou obligatoire de la fourniture des données | Si la fourniture des données est requise et quelles sont les conséquences de l'absence de fourniture. |
Conseil pratique : une politique de confidentialité doit être écrite pour un être humain, pas seulement pour un juriste. L'utilisateur doit comprendre ce qui se passe avec ses données sans lire plusieurs pages de langage administratif.
Droits des personnes concernées
Le RGPD accorde aux personnes physiques une série de droits concernant leurs données. Le responsable doit non seulement les en informer, mais aussi disposer d'une procédure pour traiter ces demandes. Un utilisateur, client, employé ou candidat peut demander des informations sur ses données, leur rectification, leur suppression, la limitation du traitement, leur portabilité ou s'opposer à certaines opérations.
Toutes les demandes ne doivent pas toujours être satisfaites intégralement. Par exemple, un client peut demander la suppression de ses données, mais certains documents comptables doivent être conservés en raison d'obligations légales. Le responsable doit toutefois pouvoir répondre ce qui peut être supprimé, ce qui ne peut pas l'être et pourquoi.
| Droit de la personne | Que signifie-t-il ? | Exemple |
|---|---|---|
| Droit d'accès | La personne peut demander si et quelles données sont traitées. | Un client demande quelles données la boutique possède. |
| Droit de rectification | La personne peut demander la correction de données inexactes. | Changement d'adresse, de nom ou de numéro de téléphone. |
| Droit à l'effacement | La personne peut demander la suppression des données dans certaines situations. | Désabonnement d'une newsletter et suppression des données marketing. |
| Droit à la limitation du traitement | Les données peuvent être temporairement bloquées pour certaines opérations. | Litige sur l'exactitude des données. |
| Droit à la portabilité des données | La personne peut recevoir les données dans un format structuré. | Transfert des données entre services. |
| Droit d'opposition | La personne peut s'opposer à certaines formes de traitement. | Opposition au marketing direct. |
| Droit de retirer le consentement | La personne peut retirer son consentement si le traitement repose sur celui-ci. | Désabonnement d'une newsletter. |
Sécurité des données personnelles
Le RGPD exige l'application de mesures techniques et organisationnelles appropriées. Cela signifie que les données doivent être protégées non seulement par des documents, mais aussi par de véritables mesures de sécurité. Leur niveau doit être adapté au risque, au type de données, à l'ampleur du traitement, aux technologies disponibles et aux conséquences potentielles d'une violation.
Dans une petite entreprise, la sécurité peut signifier des mots de passe forts, des sauvegardes, un accès limité aux boîtes e-mail, des mises à jour du site, un certificat SSL et la sécurisation des ordinateurs. Dans une organisation plus grande, des procédures d'accès, des registres d'autorisations, le chiffrement, la segmentation des systèmes, des audits, des formations, la surveillance des journaux et des tests de sécurité peuvent être nécessaires.
| Domaine de sécurité | Exemples d'actions |
|---|---|
| Accès aux données | Rôles utilisateurs, autorisations, principe du moindre privilège. |
| Mots de passe et connexion | Mots de passe forts, 2FA, blocage du compte après plusieurs tentatives. |
| Site web | Mises à jour du CMS, des plugins, des thèmes, certificat SSL, sauvegarde. |
| Accès limité, prudence avec les pièces jointes, sécurisation des boîtes. | |
| Sauvegardes | Sauvegardes régulières, test de restauration, conservation dans un lieu sûr. |
| Appareils | Mises à jour système, antivirus, chiffrement des disques, verrouillage de l'écran. |
| Personnes | Formations, procédures, sensibilisation au phishing, règles claires de travail avec les données. |
Remarque pratique : une politique de confidentialité ne sécurise pas les données. Les données sont sécurisées par des actions concrètes : mises à jour, mots de passe, autorisations, sauvegardes, contrôle d'accès, chiffrement, procédures et limitation raisonnable du nombre d'endroits où les données sont conservées.
Violation de données personnelles
Une violation de données personnelles est un événement qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé aux données, de manière accidentelle ou illicite. Il peut s'agir d'une fuite de base clients, de l'envoi d'un e-mail au mauvais destinataire, de la perte d'un ordinateur portable, du piratage d'un site, de la publication accidentelle d'un document, de la perte d'une clé USB ou de l'accès d'un ancien employé à un système.
Toutes les violations n'ont pas la même gravité. Il faut évaluer le risque pour les droits et libertés des personnes physiques. La divulgation accidentelle d'une adresse e-mail professionnelle est différente de la fuite de données de santé, de numéros de documents, de mots de passe, de données de paiement ou d'un historique complet d'achats.
En cas de violation, le responsable doit savoir ce qui s'est passé, quelles données sont concernées, combien de personnes sont touchées, quelles peuvent être les conséquences, quelles mesures correctives ont été prises et s'il faut notifier l'autorité de contrôle ainsi que les personnes concernées.
| Exemple de violation | Risque possible | Que faut-il faire ? |
|---|---|---|
| Envoi de données au mauvais destinataire | Divulgation des données à une personne non autorisée. | Déterminer l'étendue des données, le destinataire, le risque et les mesures correctives. |
| Piratage d'une boutique en ligne | Accès aux données clients, commandes, comptes. | Sécuriser le système, vérifier les journaux, évaluer l'ampleur et les obligations de notification. |
| Ordinateur portable perdu | Accès à des fichiers, e-mails, documents. | Vérifier le chiffrement, la possibilité de blocage à distance et le type de données. |
| Fichier public contenant des données | Divulgation non autorisée de données sur internet. | Supprimer le fichier, déterminer sa durée d'accessibilité, l'étendue des téléchargements et le risque. |
Règle pratique : en cas de violation, le pire est de faire comme si rien ne s'était passé. Il faut rapidement sécuriser la situation, rassembler les faits, évaluer le risque, documenter les décisions et vérifier les obligations de notification.
Sous-traitance du traitement des données personnelles
La sous-traitance du traitement des données personnelles intervient lorsque le responsable transmet des données à une autre entité qui doit les traiter pour son compte. En pratique, cela arrive très souvent. Les données peuvent être transmises à une société d'hébergement, un fournisseur de messagerie, un système de newsletter, un cabinet comptable, un fournisseur CRM, une plateforme e-commerce, une société informatique, une agence marketing ou un fournisseur d'outil de support client.
Dans une telle situation, un contrat de sous-traitance est généralement nécessaire. Il doit notamment définir l'objet et la durée du traitement, la nature et la finalité des opérations, le type de données, les catégories de personnes concernées, les obligations du sous-traitant, les règles de sécurité, la possibilité de recourir à d'autres sous-traitants et les modalités de fin de collaboration.
| Service | Peut-il nécessiter une sous-traitance ? | Pourquoi ? |
|---|---|---|
| Hébergement du site | Oui | Le prestataire peut avoir un accès technique aux données du système. |
| Système de newsletter | Oui | Il conserve et traite la base des abonnés. |
| Cabinet comptable | Souvent oui | Il traite les données issues des factures, contrats et documents comptables. |
| CRM | Oui | Il conserve les données clients, les prospects et l'historique des contacts. |
| Agence marketing | Cela dépend du modèle de coopération | Elle peut travailler sur des bases clients ou des données de campagnes. |
RGPD sur un site web
Un site web traite très souvent des données personnelles, même si son propriétaire pense qu'il « ne collecte rien ». Les données peuvent apparaître via un formulaire de contact, des commentaires, l'inscription à un compte, une boutique, une newsletter, des outils d'analyse, un chat, des cookies, des journaux serveur, des systèmes publicitaires, des cartes intégrées, des vidéos, des pixels de remarketing ou des intégrations avec des services externes.
C'est pourquoi un site doit avoir une politique de confidentialité réfléchie, des mentions adaptées près des formulaires, un mécanisme de consentement aux cookies, une analyse correctement configurée, des formulaires sécurisés, un certificat SSL, un nombre limité de scripts inutiles et une information claire sur les destinataires des données. Il est également important de savoir si les données sont transférées hors de l'Espace économique européen et sur quelle base.
| Élément du site | Risque RGPD | Que vérifier ? |
|---|---|---|
| Formulaire de contact | Collecte du nom, de l'e-mail, du téléphone et du contenu du message. | Mention d'information, finalité, base juridique, sécurité du formulaire. |
| Newsletter | Marketing direct et base d'abonnés. | Consentement, double opt-in, possibilité de désabonnement, preuve du consentement. |
| Analyse | Identifiants, cookies, adresses IP, comportement des utilisateurs. | Étendue des données, consentement, configuration, fournisseur de l'outil. |
| Boutique en ligne | Commandes, paiements, livraisons, réclamations. | Conditions générales, politique de confidentialité, sous-traitants, durées de conservation. |
| Commentaires | Publication de données, adresse IP, contenu des commentaires. | Modération, information de l'utilisateur, suppression des données. |
| Chat en ligne | Contenu des conversations, coordonnées, intégrations avec le prestataire. | Contrat de sous-traitance, mention, étendue des données, historique des conversations. |
RGPD, cookies et consentements marketing
Les cookies sont souvent confondus avec l'ensemble du RGPD, mais ils ne sont qu'un élément de la confidentialité en ligne. Les fichiers cookies peuvent être techniques, analytiques, marketing, de personnalisation ou liés à des services externes. Tous ne nécessitent pas la même approche. On traite différemment les cookies nécessaires au fonctionnement du site et les fichiers utilisés pour la publicité, le suivi ou l'analyse.
En pratique, une bannière cookies doit donner à l'utilisateur un vrai choix, et non seulement l'informer que le site utilise des cookies. L'utilisateur doit pouvoir accepter, refuser ou configurer les catégories de consentement si le site utilise des fichiers qui ne sont pas nécessaires à son fonctionnement de base. Les consentements ne doivent pas être cochés par défaut, imposés ni cachés derrière une interface illisible.
| Type de cookies | Exemple | Commentaire |
|---|---|---|
| Nécessaires | Panier, connexion, sécurité de session | Généralement nécessaires au fonctionnement du site. |
| Analytiques | Mesure des visites, comportement des utilisateurs | Ils exigent de la prudence et une bonne configuration du consentement. |
| Marketing | Remarketing, pixels publicitaires, profilage | Ils exigent généralement un consentement explicite avant activation. |
| Personnalisation | Mémorisation des préférences utilisateur | Il faut expliquer clairement à quoi ils servent. |
| Externes | Cartes, vidéos, réseaux sociaux, chats | Ils peuvent impliquer la transmission de données à d'autres fournisseurs. |
Remarque pratique : le simple affichage d'une barre « nous utilisons des cookies » ne suffit pas si le site lance des outils d'analyse, publicitaires ou de suivi sans décision réelle de l'utilisateur.
Quels documents RGPD faut-il préparer ?
La documentation RGPD doit découler des processus réels de l'entreprise, et non d'un pack prêt à l'emploi copié sans compréhension. Les documents nécessaires seront différents dans une boutique en ligne, sur un petit site de services, dans une entreprise employant des salariés ou dans une organisation traitant des données sensibles ou de grandes bases utilisateurs.
La base consiste à déterminer quelles données sont traitées, pour quelles finalités, sur quelles bases juridiques, pendant combien de temps, où elles sont conservées, qui y a accès et à qui elles sont transmises. Ce n'est qu'à partir de là que l'on peut préparer les politiques, mentions, registres, procédures et contrats.
| Document | À quoi sert-il ? | Quand est-il particulièrement important ? |
|---|---|---|
| Politique de confidentialité | Informe les utilisateurs du site sur le traitement des données. | Pour les formulaires, cookies, newsletters, boutiques, analyses. |
| Mentions d'information | Remplissent l'obligation d'information dans des processus précis. | Contact, recrutement, contrats, événements, newsletter. |
| Registre des activités de traitement | Organise les processus de traitement des données. | Dans les organisations ayant de nombreux processus ou un volume plus important de données. |
| Contrats de sous-traitance | Régulent la coopération avec les sous-traitants. | Hébergement, comptabilité, newsletter, CRM, IT, marketing. |
| Procédure de violation | Définit les actions en cas de fuite ou de perte de données. | Dans toute organisation qui traite des données personnelles. |
| Autorisations de traitement | Définissent qui a accès aux données et dans quelle mesure. | Pour les employés, rédacteurs, service client, comptabilité. |
| Politique de conservation des données | Définit combien de temps les données sont conservées. | Pour les bases clients, recrutements, newsletters, documents. |
Les erreurs les plus fréquentes avec le RGPD
Les erreurs les plus fréquentes avec le RGPD résultent du fait que la protection des données est traitée comme une obligation formelle ponctuelle. Une entreprise publie une politique de confidentialité, copie quelques consentements, ajoute une barre de cookies et considère que le sujet est clos. Or le RGPD exige une véritable gestion des données, et pas seulement la présence de documents sur un site.
Collecter trop de données
Les formulaires demandent souvent des données qui ne sont pas nécessaires à la finalité concernée. Plus vous collectez de données, plus la responsabilité et le risque augmentent.
Demander un consentement pour tout
Le consentement n'est pas une base universelle. Pour une commande, une facture ou l'exécution d'un contrat, une autre base juridique sera souvent plus appropriée.
Absence de politique de confidentialité claire
Le document est trop général, obsolète ou ne décrit pas les outils réellement utilisés sur le site.
Bannière cookies incorrecte
Le site charge l'analyse et la publicité avant le consentement ou ne donne pas à l'utilisateur une véritable possibilité de refuser.
Absence de contrats de sous-traitance
Les données vont vers l'hébergement, le CRM, le système de newsletter, la comptabilité ou une agence, mais il n'existe pas de règles de coopération organisées.
Conservation illimitée des données
Les bases de newsletters, données de candidats, anciens prospects et messages de formulaires restent dans les systèmes pendant des années sans justification.
Accès trop larges
Chaque employé a accès à tout, au lieu d'avoir accès uniquement aux données nécessaires à son travail.
Absence de procédure en cas de violation
Lorsqu'un incident se produit, personne ne sait qui prend les décisions, ce qu'il faut documenter et si la violation doit être notifiée.
Remarque pratique : la plus grande erreur consiste à avoir des documents qui ne décrivent pas la réalité. La politique de confidentialité doit correspondre à ce qui se passe réellement avec les données sur le site et dans l'entreprise.
RGPD en pratique
En pratique, la mise en œuvre du RGPD doit commencer par un audit simple des données. Il faut lister quelles données sont collectées, d'où elles proviennent, où elles vont, qui y a accès, à qui elles sont transmises, combien de temps elles sont conservées et sur quelle base elles sont traitées. Ce n'est qu'ensuite que l'on peut évaluer quels documents, consentements, contrats et mesures de sécurité sont nécessaires.
Pour un site web, la base sera une politique de confidentialité, des mentions adaptées près des formulaires, un mécanisme cookies conforme, la sécurité du CMS, des sauvegardes, des contrats avec les prestataires et l'organisation des outils externes. Pour une boutique, s'ajoutent les commandes, paiements, livraisons, réclamations, factures et comptes clients. Pour un employeur, les processus RH, le recrutement, les autorisations et les durées de conservation des documents sont importants.
Le RGPD fonctionne le mieux lorsqu'il fait partie de la gestion quotidienne, et non lorsqu'il est ajouté à la fin d'un projet. Un nouveau formulaire, un nouveau plugin, un nouveau système CRM, une nouvelle campagne d'e-mailing ou un nouvel outil d'analyse doivent immédiatement soulever des questions : quelles données collectons-nous, pourquoi, sur quelle base, où vont-elles, l'utilisateur le sait-il et comment pouvons-nous les protéger ?
| Étape | Que faire ? | Résultat |
|---|---|---|
| 1. Cartographie des données | Lister les processus, systèmes, formulaires et bases de données. | On sait où les données sont traitées. |
| 2. Finalités et bases | Définir la finalité et la base juridique de chaque processus. | Les données ne sont pas traitées au hasard. |
| 3. Information des personnes | Préparer la politique de confidentialité et les mentions d'information. | Les utilisateurs savent ce qui se passe avec leurs données. |
| 4. Prestataires | Vérifier l'hébergement, la newsletter, le CRM, la comptabilité et les autres outils. | On sait à qui les données sont confiées ou divulguées. |
| 5. Mesures de sécurité | Mettre en place mots de passe, 2FA, sauvegardes, autorisations et mises à jour. | Le risque de violation diminue. |
| 6. Conservation | Déterminer quand les données sont supprimées ou anonymisées. | Les données ne sont pas conservées indéfiniment. |
| 7. Procédures | Préparer le traitement des demandes et des violations. | L'entreprise sait comment réagir en pratique. |
GDPR / RGPD n'est pas un règlement unique sur un site web, mais un système de gestion responsable des données personnelles. Il exige une base juridique de traitement, une information transparente des personnes, une limitation de l'étendue des données, la garantie de leur sécurité, le contrôle des accès, des contrats adaptés avec les prestataires, la réponse aux demandes des personnes concernées et une préparation aux violations de données. Bien mis en œuvre, le RGPD ne devrait pas paralyser une entreprise. Il devrait organiser les données, réduire les risques, renforcer la confiance des utilisateurs et garantir que l'organisation sait ce qu'elle fait des informations qu'elle reçoit des personnes.