RGPD et site web : la check-list technique

Si des personnes de l’UE ou du Royaume-Uni utilisent votre site web, le RGPD s’applique aux données personnelles qu’il traite, quelle que soit la taille de votre entreprise. Concrètement, cela suppose de savoir quelles données votre site collecte, d’obtenir le consentement pour les cookies non essentiels, d’avoir une politique de confidentialité claire, de signer des contrats de sous-traitance avec vos prestataires, de ne pas conserver les données plus longtemps que nécessaire et de les sécuriser. Voici la check-list technique, dans le cadre posé par le RGPD et par la CNIL, l’autorité de contrôle française.

Le RGPD s’applique-t-il à votre site web ?

Il s’applique lorsque vous proposez des biens ou des services à des personnes de l’UE ou du Royaume-Uni, ou que vous observez leur comportement sur votre site, même si votre société est établie ailleurs. Une boutique en ligne canadienne qui livre en Allemagne est concernée. Un cabinet de conseil britannique doté d’un formulaire de contact aussi.

De nombreuses autres régions ont des lois sur la vie privée comparables, avec des détails différents. Si vos visiteurs viennent de plusieurs pays, la règle la plus stricte que vous rencontrez est souvent la plus pratique à suivre. Votre conseiller peut vous dire quelles lois s’appliquent à vous.

Quelles données personnelles un site web type collecte-t-il ?

Une donnée personnelle est tout ce qui peut identifier une personne, directement ou indirectement. Cela comprend une adresse e-mail, mais aussi une adresse IP ou l’identifiant d’un cookie. Parcourez votre site et listez où cela apparaît :

Imaginez qu’un visiteur remplisse votre formulaire de contact. Son message arrive dans votre boîte de réception, dans la base de données du site, peut-être dans le journal d’une extension de formulaire, et dans la sauvegarde de la nuit dernière. Cela fait quatre endroits à penser quand il vous demandera plus tard de le supprimer.

Comment fonctionnent le consentement aux cookies et la politique de confidentialité ?

Les cookies et traceurs similaires qui ne sont pas strictement nécessaires exigent le consentement du visiteur avant de se charger. Un bandeau qui s’affiche alors que Google Analytics ou un pixel marketing se déclenche déjà ne remplit pas ce rôle. Le choix de consentement doit commander les scripts. Les recommandations de la CNIL sur les cookies et autres traceurs sont une bonne référence pour le détail.

Votre politique de confidentialité doit dire ce que vous collectez, pourquoi, combien de temps vous le conservez, qui le reçoit et comment les personnes peuvent exercer leurs droits. Restez honnête et précis. Une politique qui ne correspond pas au site est pire qu’une politique courte et exacte.

Quels prestataires nécessitent un contrat de sous-traitance ?

Un sous-traitant est une société qui traite des données personnelles pour votre compte : votre hébergeur, votre service de messagerie, votre outil de lettre d’information, votre fournisseur de statistiques, votre prestataire de paiement ou un service de sauvegarde. Le RGPD attend un contrat de sous-traitance écrit (DPA, article 28) avec chacun d’eux. La plupart des grands prestataires en proposent un à accepter en ligne.

1. Listez chaque service qui touche aux données de vos visiteurs ou clients.
2. Vérifiez si chacun a un contrat de sous-traitance, et acceptez-le ou signez-le.
3. Notez où chaque prestataire stocke les données.
4. Supprimez les services que vous n’utilisez plus, ainsi que leurs données.

Il en va de même pour nous ou pour tout indépendant ayant accès à votre site. Si quelqu’un peut voir des données clients pendant qu’il le répare, demandez les documents contractuels.

Combien de temps conserver les données ?

Ne conservez les données personnelles que le temps nécessaire à la finalité pour laquelle vous les avez collectées. C’est la minimisation des données, plus une durée de conservation. Fixez vous-même la durée, notez-la, puis adaptez-y la configuration technique.

• Ne collectez que les champs de formulaire que vous utilisez vraiment. Avez-vous besoin d’un numéro de téléphone ?
• Supprimez selon un calendrier les anciens envois de formulaires, les paniers abandonnés et les comptes inactifs.
• Raccourcissez la durée de conservation des journaux du serveur et des données statistiques.
• Fixez une durée de conservation des sauvegardes, et rappelez-vous que les sauvegardes contiennent aussi les données supprimées.

Les sauvegardes sont le point délicat. On ne peut pas retirer un seul enregistrement d’une sauvegarde nocturne : conservez donc l’historique uniquement aussi longtemps que nécessaire, et veillez à ce qu’une sauvegarde restaurée ne fasse pas revenir sans qu’on le remarque des personnes déjà supprimées. Une routine écrite pour cela suffit pour commencer.

Comment traiter les demandes d’accès et de suppression ?

Les personnes peuvent demander quelles données vous détenez sur elles, en réclamer une copie, ou demander de les corriger ou de les supprimer. Vous disposez en général d’environ un mois pour répondre. Le plus difficile n’est pas la réponse, mais de retrouver les données.

C’est pourquoi la liste établie plus haut compte. Quand une demande arrive, vous vérifiez l’extension de formulaire, les commandes de la boutique, l’outil de lettre d’information, la boîte aux lettres et vos journaux. Vérifiez d’abord l’identité de la personne, pour ne pas remettre des données à la mauvaise.

Que signifie techniquement une « sécurité appropriée » ?

Le RGPD demande une sécurité adaptée au risque. Il ne nomme pas d’outils, mais quelques fondamentaux sont largement admis comme le socle technique d’un site web.

• Mises à jour : gardez à jour le cœur, les extensions et les thèmes. Les logiciels obsolètes sont une voie d’entrée fréquente ; voir mises à jour WordPress : peut-on les ignorer ?.
• HTTPS : un certificat valide sur chaque page, renouvelé avant son expiration. Si vous voyez des avertissements, lisez erreur de certificat SSL.
• Contrôle des accès : mots de passe uniques, double authentification et un compte par personne avec seulement les droits nécessaires.
• Sauvegardes : hors site, chiffrées si possible, et une restauration que vous avez réellement testée.
• Surveillance : sachez vite quand le site change ou tombe.

Que faire après une violation de données ?

Selon le RGPD, une violation qui fait peser un risque sur des personnes doit en général être notifiée à l’autorité de protection des données (en France, la CNIL) dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Dans certains cas, vous devez aussi prévenir les personnes concernées. Savoir si votre cas entre dans ces catégories est une question juridique : associez tôt un conseiller juridique.

Techniquement, la première heure ressemble à ceci : isoler le site, en sauvegarder une copie comme preuve, changer tous les mots de passe, trouver le point d’entrée. Nous le détaillons dans site WordPress piraté : que faire dans la première heure, et vous pouvez voir comment nous traitons ce cas sur notre page site piraté. Notez ce qui s’est passé et quand, car l’autorité et votre conseiller vous le demanderont.

Que peut-on vérifier et automatiser ?

Certaines parties de la check-list relèvent du droit et du jugement. D’autres sont de simples faits techniques qu’un script peut vérifier, encore et encore.

• Des traceurs se chargent-ils avant que le consentement soit donné ?
• Les formulaires enregistrent-ils les envois, et pour combien de temps ?
• Combien de temps les sauvegardes et les journaux sont-ils conservés ?
• Les logiciels sont-ils obsolètes, et le certificat expire-t-il bientôt ?

Des contrôles automatisés ne peuvent pas vous dire si vous êtes en conformité. Ils montrent seulement si le site fait ce que vous pensez qu’il fait. C’est déjà précieux, car la plupart des problèmes viennent de petits détails que personne n’a regardés.

C’est là que nous intervenons. Nous ne vendons ni services RGPD ni certification, et nous ne pouvons pas juger de votre position juridique. Nous facilitons le volet technique de la « sécurité appropriée » : nos forfaits de maintenance de site web (à partir de 99 € HT par mois) comprennent des sauvegardes quotidiennes hors site, des contrôles automatiques de disponibilité et de certificat, des mises à jour avec retour arrière et un rapport mensuel. Un site mis à jour, sauvegardé et surveillé offre une base solide à votre conseiller. Si vous voulez un premier regard sur votre site, contactez-nous ; le diagnostic est gratuit.