RGPD : cookies, formulaires et politique de confidentialité

Module 9: E-mail, référencement, RGPD, maintenance et migration · Temps de lecture : 10 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez mettre en ordre la base RGPD d'un site WordPress : savoir quelles données personnelles vous traitez, bien gérer les cookies et les contenus externes, concevoir des formulaires correctement et rédiger une politique de confidentialité.

Notions clés : données personnelles, traitement, base légale, obligation d'information, politique de confidentialité, règle des cookies (directive ePrivacy), consentement, cookies fonctionnels et analytiques, cookies de traçage, bandeau cookies, contenu externe, formulaires, durée de conservation, sous-traitant, accord de sous-traitance, violation de données

Cette leçon constitue une explication générale, et non un conseil juridique. Pour votre situation, consultez les informations de l'autorité de protection des données de votre pays ou demandez l'avis d'un expert.

En quoi le RGPD concerne votre site web

Le RGPD (Règlement général sur la protection des données) concerne les données personnelles : tout ce qui permet d'identifier une personne, directement ou indirectement. Sur un site web, cela représente plus de choses qu'on ne le pense : un nom et une adresse e-mail issus d'un formulaire, une commande, un compte, mais aussi une adresse IP et un cookie contenant un numéro unique.

Presque tous les sites WordPress traitent donc des données personnelles : dans les formulaires, les commentaires, les comptes, les commandes, les journaux du serveur, les sauvegardes, les journaux de messagerie (leçon 9.1) et dans tout ce que votre site envoie à d'autres parties. Ces règles s'appliquent notamment :

• Vous avez besoin d'une base légale pour chaque traitement (article 6 du RGPD), par exemple : nécessaire à l'exécution d'un contrat (une commande), le consentement (une newsletter), ou un intérêt légitime.
• Vous ne traitez pas plus de données que nécessaire et ne les conservez pas plus longtemps que nécessaire.
• Vous informez les personnes sur ce que vous faites (article 13 du RGPD) : c'est l'objet de votre politique de confidentialité.
• Vous sécurisez les données de manière adaptée (https, mises à jour, sauvegardes : le reste de cette formation).
• Si une autre partie traite des données pour votre compte (votre hébergeur, un service de messagerie, une extension avec un service cloud), il s'agit d'un sous-traitant et vous concluez un accord de sous-traitance (article 28 du RGPD). Les hébergeurs et les grands services en tiennent généralement un prêt à l'emploi.
• En cas de problème (un piratage, une sauvegarde qui fuite), il s'agit d'une violation de données que vous devez parfois signaler (leçon 7.5).

Les cookies : la directive ePrivacy

Pour les cookies (et les techniques similaires comme le stockage local et les pixels de traçage), s'applique en outre la règle des cookies issue de la directive européenne ePrivacy (en France : article 82 de la loi Informatique et Libertés ; aux Pays-Bas : article 11.7a de la Telecommunicatiewet). En résumé, tel que l'explique l'autorité de protection des données néerlandaise :

• Les cookies fonctionnels nécessaires au fonctionnement du site (un cookie de connexion, un panier d'achat, la mémorisation du choix relatif aux cookies lui-même) : autorisés sans consentement. Vous devez toutefois en informer les visiteurs.
• Les cookies analytiques ayant peu ou pas d'impact sur la vie privée : autorisés sans consentement, s'ils remplissent certaines conditions. Il s'agit par exemple de statistiques que vous conservez vous-même ou qui sont configurées de manière respectueuse de la vie privée (pas de partage de données, adresses IP tronquées, pas de suivi sur d'autres sites).
• Les cookies de traçage et tout ce qui suit les visiteurs ou crée des profils (publicités, réseaux sociaux, la plupart des services intégrés de grandes plateformes) : uniquement après consentement, et donc chargés seulement après que le visiteur a dit « oui ».

Un bandeau cookies permet de recueillir ce consentement. L'autorité de protection des données néerlandaise précise notamment : expliquez quels cookies vous utilisez et dans quel but, le refus doit être aussi simple que l'acceptation, et aucune case ne doit être précochée. Un bandeau qui ne propose qu'un bouton « OK », ou qui charge déjà le code de traçage avant qu'un choix n'ait été fait, n'est pas conforme. Il existe de nombreuses extensions de gestion des cookies pour WordPress ; choisissez-en une qui bloque réellement les scripts jusqu'à l'obtention du consentement, et vérifiez cela (l'exercice de cette leçon vous y aide).

Contenu externe : ce que votre site envoie à des tiers

Même sans cookies, votre site envoie des données à d'autres parties dès qu'une page charge un élément provenant de ces dernières. Le navigateur de votre visiteur va alors chercher cet élément chez ce tiers, qui voit au minimum l'adresse IP. Exemples :

En Allemagne, un tribunal (LG München I, janvier 2022) a jugé que le chargement de polices provenant d'un service externe sans consentement était contraire au RGPD, car cela transmettait l'adresse IP du visiteur. Il ne s'agit pas d'une décision néerlandaise, mais elle illustre bien l'enjeu : chaque source externe doit pouvoir être justifiée.

Formulaires

Un formulaire constitue un traitement. Points d'attention :

• Ne demandez que ce dont vous avez besoin. Pour une demande de rappel téléphonique, un nom et un numéro de téléphone suffisent, inutile de demander une adresse et une date de naissance.
• Via https (leçon 3.1), sinon les données transitent sur internet sans être chiffrées.
• Où vont les données ? De nombreuses extensions de formulaire conservent aussi chaque soumission dans la base de données, en plus de l'e-mail. Au bout de quelques années, elle contient alors des milliers de soumissions. Définissez une durée de conservation ou désactivez l'enregistrement si l'e-mail suffit. Le journal de messagerie de votre extension SMTP (leçon 9.1) les contient également.
• Le consentement pour une newsletter est une case distincte, non précochée. Un formulaire de contact n'est pas une inscription à la newsletter.
• Protection anti-spam : voir le tableau ci-dessus.

La politique de confidentialité

Lors de l'installation, WordPress crée une page brouillon Politique de confidentialité et propose, dans Réglages > Confidentialité, une aide avec des textes types ; les extensions qui traitent des données peuvent y ajouter du texte. C'est un point de départ, pas un résultat final. Selon l'article 13 du RGPD, une politique de confidentialité doit notamment décrire :

• qui vous êtes et comment les personnes peuvent vous contacter ;
• quelles données personnelles vous traitez, dans quel but et sur quelle base légale ;
• avec qui vous les partagez (sous-traitants, autres parties) et si elles quittent l'UE ;
• combien de temps vous les conservez ;
• quels droits les personnes possèdent (accès, rectification, suppression, opposition) et qu'elles peuvent déposer une plainte auprès de l'autorité de protection des données ;
• quels cookies et services externes votre site utilise.

Placez un lien vers la politique de confidentialité dans le pied de page (leçon 4.3), afin qu'il soit accessible depuis chaque page, ainsi que dans chaque formulaire.

WordPress propose également, dans Outils, des fonctions permettant d'exporter des données personnelles et de les effacer à la demande d'un utilisateur. Pratique en cas de demande d'accès ou de suppression, mais ces fonctions ne trouvent que les données de WordPress et des extensions qui s'y connectent.

Un plan d'action simple

1. Dressez la liste de tous les traitements effectués sur votre site : formulaires, comptes, commandes, commentaires, statistiques, newsletter, journaux, sauvegardes.
2. Observez ce que votre site envoie à d'autres parties lors du chargement (l'exercice de cette leçon).
3. Supprimez ce qui n'est pas nécessaire ; remplacez ce qui peut être rendu plus respectueux de la vie privée.
4. Obtenez le consentement pour ce qui reste et qui en nécessite réellement, avec un bandeau qui bloque les scripts.
5. Concluez des accords de sous-traitance et rédigez (ou réécrivez) votre politique de confidentialité.
6. Réexaminez cela chaque année (leçon 9.4), et après chaque nouvelle extension qui traite des données.

Résumé

• Presque tous les sites WordPress traitent des données personnelles : formulaires, comptes, adresses IP, journaux, sauvegardes.
• Les cookies fonctionnels et les cookies analytiques limités sont autorisés sans consentement ; le traçage requiert un consentement préalable, et ne doit se charger qu'ensuite.
• Le contenu externe (polices, vidéos, cartes, captchas) envoie des données à des tiers ; hébergez-le localement ou ne le chargez qu'après un clic.
• Dans les formulaires, ne demandez que ce qui est nécessaire, ne conservez pas les soumissions indéfiniment, case newsletter distincte et non précochée.
• Une politique de confidentialité conforme à l'article 13 du RGPD, accessible depuis chaque page ; accords de sous-traitance avec votre hébergeur et vos services.

Quiz

Exercice

Exercice A9.3 : Qu'envoie votre site à des tiers ? Indiquez l'adresse de votre site. Le programme charge la page d'accueil comme le ferait un nouveau visiteur sans cookies et sans consentement, et fournit un aperçu : quels cookies le serveur place immédiatement (uniquement les noms), et depuis quels autres domaines la page charge des scripts, polices, iframes ou images. Les services connus de statistiques, publicité, réseaux sociaux, polices et vidéo sont signalés par leur nom (orange : « vérifiez si cela se charge bien après consentement, ou remplacez-le »). Le programme vérifie également si un lien vers une politique de confidentialité figure sur la page d'accueil.

Exercice D9.3 : Votre registre des traitements et votre politique de confidentialité. Dressez la liste de tous les traitements effectués sur votre site (formulaires, comptes, commandes, commentaires, statistiques, newsletter, journaux, sauvegardes) en précisant pour chaque traitement : quelles données, dans quel but, base légale, lieu de stockage, durée, et quel sous-traitant. Comparez cette liste avec votre politique de confidentialité et cochez ce qui y figure déjà. Notez ce que vous ajoutez ou supprimez, ainsi que les services externes identifiés dans l'exercice A9.3 que vous remplacez ou soumettez à consentement.

Pour aller plus loin

Ces articles concernent WebOké lui-même ; les explications concernant votre propre site se trouvent auprès de l'autorité de protection des données néerlandaise.

• Cookies sur WebOké : consulter ou modifier votre choix
• Cookies (autorité de protection des données néerlandaise) : https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Les cookies et votre organisation : veillez à une bonne politique (autorité de protection des données néerlandaise) : https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Bandeaux cookies clairs (autorité de protection des données néerlandaise) : https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Droit à l'information (autorité de protection des données néerlandaise) : https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Violations de données (autorité de protection des données néerlandaise) : https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Confidentialité dans WordPress (wordpress.org, en anglais) : https://wordpress.org/documentation/article/settings-privacy-screen/