Comment évaluer la conformité au RGPD ? Les points clés de l’auto-évaluation de la conformité d’un site web expliqués clairement

Que faut-il vérifier en premier pour déterminer si un site web respecte globalement les exigences du GDPR ?

　　L’erreur la plus fréquente pour évaluer la conformité au GDPR consiste à se concentrer uniquement sur la fenêtre contextuelle des cookies et la page de politique de confidentialité. Pour les responsables du contrôle qualité ou de la sécurité, l’important n’est pas seulement de savoir « si les informations sont indiquées », mais plutôt de vérifier si les données sont collectées légalement, si les utilisateurs en sont clairement informés, si elles sont transmises de manière appropriée et si cela peut être démontré.

　　Si le site s’adresse à des utilisateurs de l’Union européenne ou traite effectivement des données personnelles de l’UE, il est recommandé de commencer l’auto-évaluation par quatre points : quelles données personnelles sont collectées, sur quelle base, à qui elles sont transmises et si l’utilisateur peut retirer son consentement ou demander leur suppression. Cet ordre est très pratique, car de nombreux sites disposent d’un contenu apparemment complet, alors que les problèmes réels se trouvent dans les formulaires, les codes de suivi et les plug-ins tiers.

　　En bref, pour déterminer si un site est « globalement conforme », il ne faut pas regarder si les pages sont esthétiques, mais vérifier s’il est possible de suivre une donnée depuis son arrivée sur le site jusqu’à son stockage, son utilisation, son partage et sa suppression.

Le simple fait de publier une politique de confidentialité suffit-il pour être conforme ?

　　Non. La politique de confidentialité ne constitue qu’une partie de l’obligation d’information ; elle ne représente pas la conformité en elle-même.

　　Une politique de confidentialité exploitable doit au moins répondre à plusieurs questions essentielles : qui traite les données, quelles données sont traitées, dans quel but, sur quelle base juridique, pendant combien de temps elles sont conservées, si elles sont transférées à des tiers ou à l’étranger, et comment l’utilisateur peut exercer ses droits d’accès, de rectification, d’effacement et d’opposition.

　　Cependant, le problème de nombreux sites n’est pas l’absence d’informations, mais le fait que les informations publiées ne correspondent pas aux pratiques réelles. Par exemple, la page indique que les données sont « utilisées uniquement pour répondre aux demandes de contact », alors que les données des formulaires sont synchronisées en arrière-plan avec un CRM, une plateforme d’e-mail marketing et des outils de remarketing publicitaire ; ou bien elle indique qu’aucune donnée n’est « partagée avec des tiers », alors que des plug-ins externes de chat, de cartographie, de vidéo et des scripts d’analyse sont effectivement chargés. Cette incohérence entre les documents et les pratiques constitue en elle-même un point à haut risque.

Pourquoi un site peut-il ne pas respecter le GDPR malgré l’affichage d’une fenêtre contextuelle de cookies ?

　　Parce que l’essentiel ne réside pas dans le fait que la fenêtre apparaisse ou non, mais dans le comportement par défaut. Si des cookies non nécessaires sont déjà enregistrés sur l’appareil avant que l’utilisateur ait donné son consentement, une fenêtre contextuelle, même complète, ne suffit pas.

　　Lors du contrôle, il est recommandé de distinguer deux catégories de cookies :

• Cookies nécessaires : par exemple, ceux qui servent à maintenir la session de connexion ou le panier, ainsi qu’à assurer la sécurité de base ; ils peuvent généralement être installés lorsque le fonctionnement du site le nécessite.
• Cookies non nécessaires : tels que ceux utilisés pour les statistiques, le suivi publicitaire, le partage sur les réseaux sociaux ou les cartes thermiques et enregistrements de session ; ils nécessitent généralement l’obtention préalable d’un consentement valide.

　　Il faut également prêter attention à trois détails : le bouton de refus est-il clairement visible, le consentement par catégorie est-il possible et l’utilisateur peut-il modifier son choix ultérieurement ? N’afficher qu’un bouton « Accepter » sans bouton « Refuser », ou dissimuler profondément l’accès au refus, sont des problèmes fréquents.

Les formulaires sont-ils la partie d’un site qui pose le plus souvent problème ?

　　Généralement, oui. Les formulaires recueillent directement le nom, l’adresse e-mail, le numéro de téléphone, le nom de l’entreprise et la fonction ; ils peuvent parfois également collecter le budget, les besoins d’achat, la région et des fichiers joints. Dès que ces informations permettent d’identifier une personne, elles entrent dans le champ d’attention du GDPR.

　　Pour vérifier la conformité d’un formulaire, il est possible de suivre la logique suivante :

1. Les champs sont-ils nécessaires ? Si le numéro de téléphone mobile n’est pas indispensable, il ne doit pas être obligatoire par défaut.
2. La finalité est-elle clairement indiquée avant l’envoi ? Par exemple, s’agit-il d’établir un devis, d’assurer un suivi après-vente ou de souscrire à des communications marketing ?
3. L’abonnement marketing fait-il l’objet d’une case distincte ? La demande de contact ne peut pas être liée au consentement marketing.
4. La transmission est-elle chiffrée ? La page du formulaire et l’interface de soumission doivent toutes deux utiliser HTTPS.
5. Des contrôles d’accès et une durée de conservation sont-ils définis en arrière-plan ?

　　De nombreuses équipes rendent les indications affichées côté interface très complètes, mais la redirection automatique des e-mails en arrière-plan, l’accumulation prolongée de fichiers exportés depuis les formulaires et l’utilisation partagée de comptes de test constituent autant de faiblesses en matière de sécurité et de conformité.

Jusqu’à quel niveau faut-il contrôler les outils tiers ?

　　Il faut au minimum pouvoir « les identifier, les expliquer clairement et les désactiver ». Les outils tiers courants d’un site comprennent les outils d’analyse statistique, les pixels publicitaires, le service client en ligne, les abonnements e-mail, les CDN, les lecteurs vidéo, les plug-ins cartographiques et les composants de réseaux sociaux. Ils ne sont pas nécessairement tous illégaux ; le problème est que de nombreuses entreprises ignorent totalement quelles données ces outils récupèrent concrètement.

　　Lors de l’auto-évaluation, il ne faut pas se contenter d’examiner ce qui est écrit dans le code source de la page ; il faut aussi vérifier les requêtes réseau réelles, le moment du chargement des scripts et la destination des données. Les responsables de la sécurité s’intéressent généralement aux éléments suivants :

Quelle est l’erreur d’appréciation la plus fréquente pour un site marketing destiné au marché européen ?

　　Une erreur fréquente consiste à penser que le GDPR ne concerne pas l’entreprise lorsque le serveur du site n’est pas situé en Europe. En réalité, l’évaluation ne dépend pas uniquement de l’emplacement du serveur ; il faut également déterminer si des produits ou services sont proposés à des utilisateurs de l’UE, ou si leur comportement fait l’objet d’un suivi.

　　Par exemple, le fait que le site prenne en charge les langues de l’UE, diffuse des publicités en Europe, accepte les paiements en euros, recueille les demandes de renseignements de visiteurs européens ou effectue du suivi de remarketing peut suffire à rendre le GDPR applicable. Pour les sites destinés à générer des prospects à l’international, plus le parcours marketing est complet, moins il est possible de réduire la conformité à « compléter la page juridique ». La création du site, le SEO, la diffusion publicitaire et les statistiques de données forment une seule chaîne ; il est préférable d’examiner ensemble les méthodes de collecte côté interface, les règles de conservation en arrière-plan et les autorisations des interfaces tierces. C’est également un point qui doit souvent être traité conjointement avant le lancement de nombreux projets intégrés de création de sites et de services marketing.

Lors d’un audit interne, les responsables du contrôle qualité ou de la sécurité doivent-ils commencer par les documents ou par les systèmes ?

　　Il faut d’abord établir une liste, puis vérifier les documents et les systèmes par recoupement. L’examen des seuls documents peut laisser de côté la mise en œuvre technique, tandis que l’examen du seul système rend difficile l’évaluation de l’exhaustivité des bases de traitement.

　　Une méthode pratique consiste à commencer par dresser la liste des activités de traitement des données : points d’entrée des pages, noms des champs, finalités de collecte, systèmes destinataires, emplacements de stockage, durées de conservation, méthodes de suppression et tiers concernés. Cette liste doit ensuite être comparée à la politique de confidentialité, aux paramètres des cookies, à la configuration des autorisations, aux traces consignées dans les journaux et aux accords conclus avec les fournisseurs.

　　Certaines équipes disposent de documents de procédure très détaillés, mais leurs systèmes contiennent encore d’anciennes bases de formulaires qui ne sont jamais nettoyées, des comptes d’anciens employés qui n’ont pas été récupérés ou des données réelles de clients copiées dans l’environnement de test. Pour les fonctions de sécurité, ces points méritent souvent d’être traités avant le contenu des pages.

Quelles preuves est-il préférable de conserver à l’avance lors de l’auto-évaluation de la conformité au GDPR ?

　　Tous les problèmes ne peuvent pas être résolus par des explications verbales ; il faut conserver autant que possible des traces vérifiables. Les documents importants comprennent notamment : les enregistrements de consentement aux cookies, l’historique des versions de la politique de confidentialité, la liste des outils tiers, les registres des activités de traitement des données, le processus de traitement des demandes des utilisateurs, la répartition des autorisations des comptes, ainsi que les enregistrements des opérations de suppression ou d’anonymisation.

　　Voici une expérience concrète : lors de la refonte d’un site, de l’intégration d’un nouveau plug-in ou de la modification des champs d’un formulaire, la conformité peut être compromise discrètement. Si les registres de modifications sont trop succincts, il devient ensuite très difficile de rechercher l’origine d’un problème. Même pour une page marketing, le contenu relatif à la confidentialité, la stratégie de marquage et les modifications des interfaces doivent être intégrés à la liste de contrôle avant mise en ligne.

　　À ce propos, lorsque des supports de formation internes ou des contenus de connaissances concernent des procédures institutionnelles, il faut également veiller à ce que leur mode d’intégration et leur contexte soient appropriés. Un contenu tel que Étude de la gestion financière des infrastructures hospitalières dans le contexte du nouveau système comptable peut ne pas constituer en lui-même un risque élevé s’il s’agit simplement d’une page de présentation de documents ; ce qu’il faut réellement vérifier, c’est si la page comporte un formulaire, des scripts de suivi, une collecte d’informations via téléchargement ou des redirections vers des liens externes.

Si une non-conformité est détectée, faut-il d’abord désactiver la fonctionnalité ou compléter les documents ?

　　Cela dépend du niveau de risque, mais le principe est clair : en cas de collecte continue illégale ou de traitement de données déjà déclenché sans consentement, il faut d’abord maîtriser le risque, puis compléter les documents.

　　Voici quelques situations à traiter en priorité :

• Les scripts publicitaires ou d’analyse commencent à suivre l’utilisateur avant qu’il ait donné son consentement.
• Le formulaire recueille des informations sensibles sans rapport avec l’activité.
• Les données sont transmises en clair par e-mail ou via une interface.
• L’origine d’un plug-in tiers est inconnue et celui-ci continue d’envoyer des données de visiteurs vers l’extérieur.

　　Ces problèmes ne peuvent pas être réglés simplement en modifiant la politique de confidentialité. Il faut d’abord suspendre les scripts concernés, désactiver les champs, limiter les accès et interrompre les synchronisations, puis compléter les informations, les autorisations et les enregistrements. C’est le bon ordre de traitement.

Une seule vérification suffit-elle pour être tranquille à long terme ?

　　Non. La conformité au GDPR d’un site n’est pas un état définitif, mais plutôt le résultat d’une maintenance continue. Les sites marketing sont particulièrement concernés : ils sont fréquemment modifiés, utilisent de nombreux plug-ins, comportent de nombreuses pages d’atterrissage et disposent de parcours publicitaires longs. Un site conforme aujourd’hui ne le sera pas nécessairement encore le mois prochain.

　　La méthode la plus fiable consiste à intégrer le rythme des contrôles aux processus quotidiens : effectuer une vérification avant la mise en ligne d’une nouvelle page, lors de l’ajout d’un nouvel outil tiers, lors de la modification des champs d’un formulaire et réaliser en plus une revue générale chaque trimestre. Pour les responsables de la sécurité, le plus important n’est pas de mémoriser parfaitement les clauses, mais de mettre en place un mécanisme de contrôle capable de détecter les écarts, de suivre les responsabilités et de corriger rapidement les problèmes.

　　En définitive, la question la plus utile à se poser pour déterminer si un site respecte le GDPR n’est pas « la page est-elle suffisamment complète ? », mais plutôt « d’où vient cette donnée personnelle, où va-t-elle, pourquoi est-il possible de la traiter et qui peut le prouver ? ». Une fois ces quatre points clarifiés, il est généralement possible d’avoir une bonne vision de l’état de conformité du site.