À qui appartient votre bandeau de cookies ?

Qui est responsable de la bannière de cookies au sein de votre organisation ?

Posez la question à voix haute lors d’une réunion : combien de nos visiteurs refusent leur consentement, et que savons-nous encore de notre propre site web lorsqu’ils le font ?

Dans la plupart des organisations, un silence s’installe. Non pas parce que la réponse est complexe, mais parce que personne autour de la table ne se sent responsable de cette question. La bannière de cookies est l’élément le plus consulté sur presque tous les sites web, et pourtant, c’est le seul qui n’a pas de responsable attitré.

Il ne s’agit pas d’un problème technique. C’est un problème organisationnel qui se dissimule sous des atours techniques ; voilà pourquoi il finit par atterrir entre les mains des mauvaises personnes.

En résumé

• La bannière est acquise en tant qu’outil de conformité, mais elle finit par devenir un élément opérationnel. Elle est examinée une fois, puis plus jamais.
• Quatre rôles différents interviennent dans les décisions la concernant, mais personne n’est responsable des conséquences concrètes qui en découlent.
• La solution ne réside pas dans une « meilleure » bannière, mais dans quatre questions auxquelles quelqu’un doit être en mesure de répondre.
• Cette même question de responsabilité se pose à un niveau plus profond, concernant vos outils d’analyse et vos données. La bannière n’en est que l’exemple le plus visible.

La bannière est examinée une fois, puis plus jamais

Le scénario est remarquablement constant. Un événement déclencheur survient : un audit, une nouvelle législation, une actualité ou la création d’un nouveau site web. Une plateforme de gestion du consentement est choisie, configurée et évaluée. Quelqu’un valide : « C’est juridiquement défendable. » Et le sujet est clos.

Dès lors, la bannière joue quotidiennement un rôle que plus personne ne surveille. Elle détermine quels visiteurs sont pris en compte (ou non), quelles pages peuvent être mesurées, et si les rapports que vous présenterez à votre direction dans six mois ont encore la moindre valeur. Il s’agit donc d’un élément opérationnel, quotidien et déterminant, alors qu’il a été traité comme un projet ponctuel.

On peut d’ailleurs le constater au moment où une bannière défaillante est enfin remarquée. C’est presque toujours par hasard, et presque toujours trop tard : quelqu’un remarque des chiffres anormaux, commence à creuser, et finit par découvrir qu’un problème a été introduit lors d’une mise à jour effectuée six semaines plus tôt.

Une idée reçue : « La bannière est finalisée dès qu'elle est conforme sur le plan juridique »

C'est cette idée reçue qui perpétue tout le mécanisme actuel.

La validation juridique constitue un minimum, et non un objectif en soi. Une bannière peut être parfaitement conforme tout en étant ignorée par la grande majorité de vos visiteurs ; vous vous retrouvez alors avec un site web dont vous ne savez presque rien. Ces deux réalités coexistent, mais les organisations ne se tiennent généralement responsables que de l'une d'entre elles.

Sous-jacente, une seconde idée reçue laisse penser qu'il faudrait choisir entre conformité et capacité de mesure. C'est un faux dilemme. Au-delà des options « demander le consentement et tout mesurer » ou « ne pas demander le consentement et ne rien mesurer », il existe une troisième voie : faire en sorte qu'une partie de vos mesures ne nécessite plus de consentement.

La possibilité d'adopter cette approche dans votre contexte, et jusqu'où vous pouvez aller, relève de votre responsable de la protection des données (DPO) et, pour toute organisation d'une certaine envergure, d'une analyse d'impact relative à la protection des données (AIPD). Il ne nous appartient pas d'en juger ; méfiez-vous d'ailleurs de tout prestataire qui vous affirmerait, sans nuance, qu'il n'y a aucun problème.

Chez Govanalytics, nous pouvons nous exprimer sur l'offre : nous avons conçu notre plateforme en partant du principe que cette troisième option doit exister, afin que cet arbitrage puisse, au moins, être envisagé. Or, dans la pratique, nous constatons que, au sein de nombreuses organisations, cette option n'est même pas évoquée. Elle n'est ni examinée ni rejetée : elle n'est tout simplement jamais soulevée, faute de personne dont ce serait la mission. C'est précisément là que réside le problème de responsabilité (ou « ownership »).

Notre position : confier la bannière à un seul responsable, garant des résultats

Notre position est claire : la bannière doit avoir un responsable unique, à savoir la personne qui répond des résultats générés par le site web. Il ne s'agit ni de la personne qui porte le risque juridique, ni de celle qui a techniquement mis en place la bannière.

Une objection sérieuse peut être soulevée : puisque le responsable de la protection des données (DPO) porte la responsabilité juridique, ne devrait-il pas être celui qui décide ? Certes, mais la responsabilité globale (« ownership ») et le droit de veto sont deux choses distinctes. Le responsable de la protection des données conserve, bien entendu, l'intégralité de son droit de veto. Ce qui ne devrait pas lui incomber, c’est la responsabilité de remarquer qu’une bannière a cessé de fonctionner après la dernière mise à jour, ou de déterminer à quelle question concernant le site web il est réellement nécessaire de répondre. C’est une tâche qui relève d’une autre responsabilité ; or, si personne n’en est explicitement chargé, elle n’est tout simplement pas effectuée.

Quatre rôles, quatre décisions et une place vacante

Il est utile de définir clairement qui décide de quoi. En somme, quatre rôles sont représentés autour de la table :

• La communication ou le marketing choisit souvent le prestataire et est responsable de la portée et des résultats. La décision qui leur incombe : à quelle question concernant notre site web voulons-nous pouvoir répondre, et quel est le strict minimum requis pour y parvenir ?
• Le responsable de la protection des données (DPO) assume les risques et dispose d’un droit de veto. La décision qui lui incombe : quelles catégories définir, sur quelle base juridique s’appuyer et quels éléments considérer comme « strictement nécessaires » ?
• L’équipe informatique ou web assure l’intégration technique et la maintenance. La décision qui lui incombe : à quel stade du parcours le consentement est-il recueilli, et quels prestataires cela autorise-t-il à accéder au site ?
• L’approvisionnement gère le contrat. La décision qui lui appartient : où les données sont stockées, comment vous les extrayez et ce que vous conservez lorsque vous annulez.

Et puis le siège vide. Pour ce qui ressort à l’autre bout, la mesurabilité elle-même, la plupart des organisations n’ont pas de rôle défini. Ce n’est la faute de personne en particulier ; cela n'est tout simplement jamais devenu le travail de qui que ce soit. Mais le résultat est que la seule personne qui aurait pu voir quelque chose qui n’allait pas n’existe pas.

Les quatre questions

Vous n'avez pas besoin d'une réorganisation pour résoudre ce problème. Quatre questions en une seule réunion suffisent pour voir où se situe l'écart.

1. Quelle part de nos visiteurs refuse, et depuis quand le savons-nous ? Si la réponse est une estimation, ou « probablement quelque part autour de tel ou tel pourcentage », vous ne la mesurez pas. Cela peut être mesuré.
2. Que mesurons-nous encore lorsque quelqu'un refuse ? Il existe trois réponses honnêtes : rien, quelque chose de regroupé ou une mesure sans cookie. Toutes les trois sont défendables. Ne pas savoir de laquelle des trois il s’agit ne l’est pas.
3. Qui remarque quand la bannière ne fonctionne plus après une mise à jour ? Continuez à demander jusqu'à ce que vous entendiez un nom. "Nous le verrons dans les chiffres" n'est pas un nom.
4. Si nous changeons de fournisseur l'année prochaine, qu'est-ce que nous perdons ? C'est ici qu'intervient la question qu'un responsable de la sécurité pose toujours et à laquelle "nous sommes conformes au RGPD" ne répond jamais : où sont ces données ce soir, qui peut y accéder et à qui appartiennent ces données à la fin du contrat. Ce n'est pas un certificat, c'est une adresse.

La question qui reste sans réponse indique le rôle qui vous manque. C'est tout le diagnostic.

La même question, une couche plus profonde

Tout ce qui précède concernant la bannière s'applique à chaque composant qui prend des décisions en votre nom sur votre propre site Web. La bannière n’est que l’exemple le plus visible, et donc le point de départ le plus simple.

Posez la même question à propos de vos analyses. Pas « qui gère le compte », mais : à qui appartiennent ces données à la fin du contrat, qui peut y accéder aujourd'hui et que conservez-vous si votre fournisseur modifie ses prix ou supprime progressivement une fonctionnalité sur laquelle vous vous appuyiez. Ce dernier n’est pas hypothétique. Cela arrive, et cela arrive généralement aux organisations qui n’avaient pas de réponse au préalable.

Nous ne sommes pas neutres ici, alors nous le dirons. Govanalytics est basé sur la pile open source d8a.tech, de sorte qu'un client peut toujours continuer lui-même, même sans nous. Ce n’est pas une faveur et ce n’est pas un argument de vente. C’est la seule manière pour que la réponse à la question « à qui appartient ceci » ne dépende pas de notre bonne volonté, et c’est le genre de réponse qu’un responsable de la sécurité souhaite entendre.

Vous pouvez appliquer ce test à n’importe quel fournisseur, y compris nous et y compris votre CMP. Ne leur demandez pas s'ils sont conformes, car tout le monde dit qu'ils le sont. Demandez où se trouvent les données, qui peut y accéder et ce que vous conservez lorsque vous partez. Quiconque ne peut pas répondre en une seule phrase n’a pas la réponse.

Vous pouvez vérifier à quoi ressemble une telle réponse sur ce même site. La Liste des sous-traitants de Consent Studio indique pour chaque partie de qui il s'agit, dans quel pays, dans quel but et quelles données transitent, avec une liste distincte pour les visiteurs et pour les clients. Pour les visiteurs dans l'UE, deux exigences s'appliquent simultanément : les données restent dans les États membres de l'UE et la partie traitante est une entité juridique européenne sans société mère en dehors de l'UE. C’est sur cette deuxième exigence que la plupart des promesses des « régions de l’UE » échouent encore.

Ce qui rend cette liste utile, ce n’est pas que tout semble parfait. C'est que les lignes inconfortables sont là aussi : un outil américain de gestion de projet interne, et un CDN qui utilise également des nœuds hors UE pour les visiteurs hors UE. Une réponse à la question d'adresse qui ne fait que paraître belle n'est généralement pas une réponse mais une brochure. C'est le genre de document que vous devriez demander à chaque fournisseur, et il en dit long lorsqu'il n'existe pas.

Que pouvez-vous faire avec ça

Mettez ces quatre questions à l’ordre du jour de la prochaine réunion où les communications, la confidentialité et l’informatique se retrouveront dans la même salle. C'est généralement le seul moment du trimestre où ces trois-là sont ensemble, alors profitez-en.

Ensuite, nommez un propriétaire et donnez-lui deux choses : il ne peut pas légalement changer la bannière par lui-même, et c'est lui qui répond aux deux premières questions chaque trimestre. C'est une tâche trimestrielle d'une demi-heure, et c'est la différence entre savoir et deviner.

Et si vous constatez que la deuxième question ne peut pas trouver de réponse parce que personne ne sait ce qui est encore mesuré en cas de refus : c'est exactement le moment de découvrir que vous avez le choix.