Données personnelles : que dit le RGPD ?

Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou indirectement. Le nom et le prénom sont les exemples les plus évidents, mais la notion est bien plus large. Une adresse e-mail nominative, un numéro de téléphone, une photographie, un identifiant client ou une adresse IP peuvent aussi entrer dans cette catégorie.

L'identification indirecte compte tout autant. Plusieurs informations anodines prises séparément peuvent devenir identifiantes lorsqu'elles sont croisées : appareil utilisé, zone géographique, habitudes de navigation, historique d'achat ou identifiant déposé dans un cookie.

Les données dites sensibles ne peuvent en principe pas être traitées, sauf exception prévue par le droit, notamment avec un consentement explicite ou lorsqu'un texte autorise clairement le traitement. Sur un site classique, le bon réflexe est surtout de ne pas les demander sans nécessité réelle.

Les principes du RGPD à appliquer sur un site

Le RGPD n'interdit pas de collecter des informations. Il impose de le faire avec une finalité précise, des garanties adaptées et une information loyale des personnes concernées. Chaque formulaire, outil d'analyse ou service tiers mérite donc une vérification.

Une finalité claire et légitime

Avant de créer un champ de formulaire, posez une question concrète : à quoi cette donnée va-t-elle servir ? Une adresse e-mail peut être nécessaire pour répondre à une demande de contact. En revanche, demander la date de naissance pour télécharger un guide gratuit paraît difficile à justifier.

La finalité doit être annoncée. « Gérer votre demande », « créer votre compte », « assurer la livraison » ou « envoyer une newsletter avec votre accord » sont des formulations compréhensibles. À l'inverse, une phrase vague telle que « améliorer nos services » ne suffit pas toujours à expliquer un usage précis.

La minimisation des informations demandées

Le principe de minimisation signifie qu'un site ne collecte que les données adéquates, pertinentes et limitées à ce qui est nécessaire. Un formulaire de contact peut souvent se limiter au nom, à l'e-mail et au message. Chaque champ supplémentaire augmente la responsabilité du site et le risque en cas de fuite.

Une base légale pour chaque traitement

Traiter une donnée suppose une base légale. Le consentement est l'une d'elles, mais ce n'est pas la seule. L'exécution d'un contrat justifie, par exemple, la collecte de l'adresse de livraison d'un client. Une obligation légale peut imposer la conservation de certaines informations. L'intérêt légitime peut parfois être invoqué, à condition de ne pas porter une atteinte disproportionnée aux droits et libertés des personnes. [ En savoir plus ici ]

Le consentement est nécessaire lorsqu'aucune autre base ne convient, notamment pour de nombreux cookies non essentiels ou l'envoi de prospection électronique à des personnes qui ne sont pas déjà clientes, selon les situations. Il doit être libre, spécifique, éclairé et univoque. Une case précochée ou l'absence de refus ne valent pas consentement.

Cookies et traceurs : le consentement ne se présume pas

Les cookies strictement nécessaires au fonctionnement d'un service peuvent être déposés sans consentement préalable. C'est le cas, par exemple, d'un cookie conservant le choix de langue, le contenu d'un panier ou une session de connexion. Les traceurs publicitaires, de mesure d'audience non exemptée ou de personnalisation demandent généralement un accord préalable.

La bannière de consentement doit donner un vrai choix. Refuser doit être aussi simple qu'accepter, sans parcours inutilement compliqué. Le visiteur doit pouvoir modifier son choix facilement, et le site doit éviter de déposer les traceurs concernés avant l'accord.

Un bandeau cookies n'est pas un décor : c'est le point de contrôle qui permet au visiteur d'accepter, de refuser ou de paramétrer les usages non indispensables de ses données.

Dans la pratique, vérifiez les scripts ajoutés par votre thème, votre outil statistique, votre module de chat, votre plateforme publicitaire ou vos boutons de réseaux sociaux. Un plugin installé il y a longtemps peut déposer des traceurs sans que cela soit visible à l'écran.

Informer les visiteurs avec une politique de confidentialité lisible

La politique de confidentialité doit expliquer, dans un langage accessible, les traitements effectués par le site. Elle ne doit pas ressembler à un texte opaque copié-collé : elle doit correspondre aux outils réellement utilisés et aux parcours proposés aux visiteurs.

Une information complète mentionne habituellement l'identité du responsable de traitement, les finalités, les catégories de données concernées, la base légale, les destinataires, les durées de conservation, les éventuels transferts hors de l'Union européenne et les droits des personnes.

• Indiquer qui décide des usages des données collectées.
• Décrire chaque finalité avec des mots concrets.
• Préciser les services externes qui reçoivent des informations.
• Expliquer comment exercer un droit d'accès, de rectification ou d'effacement.
• Prévoir un moyen de contact dédié aux demandes liées aux données personnelles.

Les mentions doivent être accessibles au bon moment. Près d'un formulaire de newsletter, un lien vers la politique de confidentialité et une explication courte sur l'usage de l'adresse e-mail évitent les ambiguïtés. Le visiteur ne devrait jamais devoir chercher longtemps ce qui sera fait de ses informations.

Les droits des personnes concernées

Le RGPD reconnaît plusieurs droits aux personnes dont les données sont traitées. Un site doit pouvoir répondre aux demandes dans les délais prévus par le règlement, après avoir vérifié l'identité du demandeur lorsque cela est nécessaire.

Ces droits ne sont pas absolus. Une entreprise peut parfois devoir conserver certaines données pour répondre à une obligation légale, régler un litige ou défendre ses droits. La réponse doit alors expliquer clairement ce qui est supprimé, conservé ou refusé, et pour quelle raison.

Sécuriser les données : des mesures concrètes

Le RGPD demande de mettre en place des mesures de sécurité adaptées aux risques. Pour un site, cela commence par des bases simples : connexion chiffrée en HTTPS, mots de passe robustes, mises à jour régulières, accès limités et sauvegardes contrôlées.

Un compte administrateur partagé entre plusieurs personnes rend les incidents difficiles à retracer. Mieux vaut créer un accès nominatif pour chaque intervenant, supprimer les comptes inutilisés et attribuer uniquement les droits nécessaires. Un rédacteur n'a pas besoin des mêmes autorisations qu'un administrateur technique.

1. Recenser les données

   Identifiez les formulaires, bases clients, listes d'e-mails, outils d'analyse, extensions et prestataires qui manipulent des informations personnelles.

2. Réduire les accès

   Limitez les droits d'administration et activez une authentification renforcée lorsque le service la propose.

3. Mettre à jour

   Maintenez le CMS, les extensions, les thèmes et les composants serveur à jour afin de corriger les failles connues.

4. Préparer un incident

   Documentez les contacts utiles, les sauvegardes disponibles et les actions à mener si une base ou un compte est compromis.

En cas de violation susceptible d'engendrer un risque pour les personnes, le responsable du traitement doit évaluer la situation et, lorsque les conditions sont réunies, notifier l'autorité de contrôle compétente. Si le risque est élevé, les personnes concernées peuvent aussi devoir être informées. Garder une trace des incidents aide à agir vite et à comprendre ce qui doit être corrigé.

Durée de conservation et sous-traitants

Conserver une donnée sans limite n'est pas compatible avec le RGPD. Chaque catégorie d'information doit avoir une durée de conservation cohérente avec sa finalité. Les messages reçus via un formulaire n'ont pas vocation à rester indéfiniment dans une boîte mail ; un compte inactif mérite une règle de revue ; les données de facturation répondent, elles, à des obligations de conservation spécifiques.

Le site doit aussi encadrer ses prestataires. Hébergeur, outil d'e-mailing, solution de paiement, CRM, service de support ou plateforme analytique peuvent agir comme sous-traitants lorsqu'ils traitent des données pour le compte du responsable de traitement. Un contrat ou des clauses adaptées doivent préciser leurs engagements : confidentialité, sécurité, assistance, sort des données à la fin de la prestation et recours éventuel à d'autres prestataires.

Lorsque des données sont transférées hors de l'Union européenne, une vigilance particulière s'impose. Le transfert doit reposer sur un mécanisme reconnu par le droit applicable et être documenté. Vérifier l'emplacement des serveurs et les garanties contractuelles fait partie des contrôles utiles, surtout pour les outils marketing très connectés entre eux.

Un registre et des habitudes qui rendent le site plus fiable

Le registre des activités de traitement permet de cartographier les usages des données personnelles. Il recense notamment les finalités, les catégories de personnes et de données, les destinataires, les durées de conservation et les mesures de sécurité. Même lorsqu'il n'est pas exigé dans toutes les configurations, il constitue un outil très pratique : il évite de découvrir trop tard qu'un formulaire alimente une liste oubliée ou qu'un prestataire conserve des exports.

Voyez cette cartographie comme le plan électrique d'un bâtiment : tant qu'aucun problème ne survient, elle semble secondaire ; au premier incident, elle permet de savoir où couper, quoi vérifier et qui prévenir. La conformité se construit dans les détails : un champ inutile supprimé, un accès retiré, une mention clarifiée ou une liste de diffusion nettoyée réduisent concrètement les risques.

Un audit périodique des formulaires, cookies, comptes utilisateurs et services externes maintient ces bonnes pratiques dans le temps. Le RGPD n'est pas une page juridique figée : il accompagne chaque nouvelle fonctionnalité susceptible de collecter, croiser ou partager des informations sur vos visiteurs.