Ce module vous propose une synthèse de ce qu’il faut savoir pour mettre en conformité son site internet avec le Règlement Général pour la Protection des Données (RGPD).
Rappels sur la RGPD
Le Règlement Général pour la Protection des Données est une réglementation européenne en vigueur depuis le 25 mai 2018. L’organisme en charge de son respect en France est la CNIL : la Commission Nationale de l’Informatique et des Libertés.
Le but de cette réglementation est d’assurer à tout individu le contrôle et la protection des données à caractère personnel qu’il dissémine (notamment) lors de ses navigations sur internet.
Qu’est-ce qu’une donnée à caractère personnel ?
Toute donnée qui permet d’identifier directement ou indirectement un individu :
- nom, prénom, adresse email ou numéro de téléphone, et tout type de donnée démographique (fonction professionnelle, sexe, âge…) ou géographique (localisation, lieu de travail…) ;
- les informations purement numériques d’un internaute (adresse IP), ou ses data comportementales (actions menées sur un site web, comme les visites ou les clics) ;
- les données partagées par l’internaute, comme la mise en ligne d’une photo ou un like.
Ce que la législation prévoit
Le RGPD comporte trois volets importants à prendre en compte :
- L’amélioration du consentement de l’utilisateur lorsqu’un site web récolte ses données à caractère personnel. Que ce soit via des formulaires, ou bien vis-à-vis des cookies, le visiteur doit être informé qu’il partage ses données, et savoir explicitement à quelles fins.
- La traçabilité et la haute sécurité des données des utilisateurs. La législation durcit les lois existantes en matière de failles de sécurité de la data, et rend l’entreprise qui les récolte responsable de leur bon stockage et de leur protection.
- Le droit de l’internaute à rectifier, modifier, supprimer ou recueillir ses données à caractère personnel, et ce à tout moment.
Ce qu’il faut faire sur votre site internet
1/ Mettre à jour ses conditions d’utilisation et sa politique de confidentialité
Vous devez intégrer sur votre site web des mentions d’information claires et transparentes pour les utilisateurs :
- la politique de confidentialité de votre site ;
- les conditions générales d’utilisation et de vente (dans le cas d’une boutique en ligne, sujet non abordé ici).
1.1 La page présentant votre politique de confidentialité doit être accessible en page d’accueil
Vous devez créer une page spécifique présentant votre politique de confidentialité, page qui sera accessible depuis un lien placé dans votre pied de page (tout en bas de votre site), et qui doit expliquer concrètement ce que vous faites avec les données personnelles des internautes.
Vous devez y faire apparaître :
- vos coordonnées, ainsi que l’éditeur du site, et son hébergeur ;
- quelles données vous récoltez lors d’une inscription, demande de contact, demande de devis, etc. sur votre site web : nom, prénom, email, téléphone, adresse postale, adresse IP…
- Dans quel but vous collectez ces données : communication par newsletters, facturation, suivi du comportement de l’utilisateur sur le site…
- Combien de temps vous stockez ces données : vous pouvez garder les données marketing 3 ans maximum, et les données liées à la facturation des commandes 6 ans maximum.
- Les mesures de sécurité que vous avez mises en place pour assurer la protection de ces données, ainsi que la manière dont vos contacts peuvent exercer leur droit de modification ou de suppression de ces données.
2/ Mettre à jour ses formulaires
Les éléments qui vont sans doute être le plus impactés par le RGPD sur le web sont les formulaires (par exemple formulaire de contact ou de demande de devis). Il s’agit en effet d’un point de contact-clé entre vous et vos visiteurs, où ils partagent avec vous des données à caractère personnel.
Chaque formulaire doit inclure les éléments suivants :
- l’indication claire de la fonction du formulaire (par exemple : « Inscrivez-vous à ma newsletter ») ;
- une case à cocher indiquant que l’utilisateur consent à partager ses données (“J’autorise l’entreprise X à enregistrer mes données”) ;
- un lien vers la page présentant votre politique de confidentialité (par exemple : « Vous affirmez avoir pris connaissance de notre politique de confidentialité (lien) ») ;
- l’information comme quoi l’utilisateur peut se désinscrire ou accéder à ses données aisément et à tout moment (par exemple : « Vous pouvez vous désinscrire à tout moment à l’aide des liens de désinscription ou en nous contactant à l’adresse xxx@monptitbusinessbienetre.com« ).
Notez également que vous ne pouvez plus demander à un contact de vous laisser des données qui n’ont aucun rapport avec ce pour quoi il s’inscrit. Si vous lui demandez par exemple de s’inscrire à une newsletter, inutile de lui demander son sexe ou encore son âge.
3/ Mettre à jour ses formulaires
Les commentaires sont un autre autre point de contact entre vous et vos visiteurs, où ils vous laissent potentiellement des données. Les commentaires sont généralement présents sur un site comportant un forum de discussion ou un blog. Sur ce point, deux possibilités s’offrent à vous pour être sûr de récolter le consentement de ceux qui souhaitent s’y exprimer :
- n’autoriser la publication de commentaires que lorsque l’utilisateur est connecté à son compte ;
- ajouter un message-type de consentement “J’ai lu et accepte la politique de confidentialité de ce site” dans l’espace des commentaires.
4/ Mettre en place un processus de sécurisation / modification / suppression des données
Il est de votre responsabilité de protéger les données de vos contacts, mais aussi de permettre à ceux-ci d’avoir un droit de regard dessus.
4.1 La suppression des données
Avec le RGPD, chaque type de données a désormais une durée légale de conservation spécifique. Vous n’avez plus le droit de garder indéfiniment une donnée client ou utilisateur sans l’utiliser, juste “au cas où”. Les données marketing, par exemple, comme indiqué plus haut, ne peuvent être conservées que 3 ans maximum après le dernier contact avec l’individu.
4.2 La modification des données
Il vous faut mettre en place une procédure simple qui permette à vos utilisateurs de :
- retirer leur consentement ;
- accéder à leurs données ;
- les modifier ;
- demander à les effacer ;
- demander à les transférer vers un tiers (on appelle cela le “droit à la portabilité”).
Il est ainsi conseillé de créer une page spécifique dédiée à cette procédure sur votre site, contenant un formulaire de demande précis (ou d’intégrer ce formulaire dans la page présentant votre politique de confidentialité).
Incluez cette page (par un lien à cliquer) non seulement à votre pied de page, mais à tous les points de contact où vos utilisateurs sont susceptibles de vouloir retirer leur consentement. Pensez donc à faire de même sur vos e.newsletters, e.mailings, etc.
Puis, à réception de chaque demande :
- de retrait de consentement, il vous faudra supprimer ou modifier les données personnelles de l’internaute au plus vite et sur l’ensemble de vos lieux de stockage ;
- de portabilité des données, vous devrez exporter toutes les données que vous possédez dans un format lisible par une machine, afin que la personne puisse transmettre ses données à une autre entité sans avoir à les ressaisir.
4.3 La protection des données
Il vous faudra également vous assurer que vous garantissez efficacement la sécurité des données de vos contacts. Par exemple :
- protection de votre email professionnel contre le piratage, par exemple par un changement régulier de votre mot de passe ou un système de connexion nécessitant votre téléphone portable ;
- protection des données stockées sur votre ordinateur par un cryptage ou un verrouillage des données par un mot de passe.
Il vous faudra informer la CNIL dans les 72 heures en cas de faille de sécurité. Dans certains cas, il vous faudra même informer l’utilisateur concerné, notamment si la faille est susceptible d’engendrer un risque élevé pour ses droits et libertés.
5/ Instaurer un registre interne de traitement des données
Toute entreprise traitant des données utilisateurs à caractère personnel doivent tenir un registre de traitement des données… Heureusement les praticiens pour la plupart en sont dispensés car ils ne collectent que quelques dizaines de contacts par mois !
