Conformité RGPD des sites web
Le règlement général sur la protection des données (RGPD) encadre le traitement des données personnelles et concerne toute organisation qui traite les données de personnes se trouvant dans l’UE. Pour un site web, la question pratique est plus restreinte : ce qui peut se charger avant que le visiteur ait donné son accord, et si vous pouvez montrer ce qu’il a accepté.
- Union européenne, depuis mai 2018
- S’applique où que soit votre siège
- Le consentement doit être démontrable
À partir de 10 € par mois. Sans carte bancaire, sans facturation par visiteur.
Ce qu’exige le RGPD
Cinq obligations déterminent ce que doit faire une bannière de consentement. Le reste du règlement porte sur les traitements que vous effectuez ailleurs.
- Un consentement libre, spécifique, éclairé et univoque
- Refuser doit être aussi simple qu’accepter
- Rien de non essentiel ne se charge avant l’accord du visiteur
- Retirer son consentement est aussi simple que le donner
- Vous pouvez démontrer à quoi le visiteur a consenti, et quand
Cette page explique ce qu’exige la loi et ce que fait notre logiciel pour y répondre. Elle ne constitue pas un conseil juridique et ne peut pas vous dire si votre organisation est en conformité, car cela dépend de tout ce que vous traitez par ailleurs.
Ce que fait Consent Studio
Demande avant tout chargement
La bannière s’affiche en premier, et une balise que vous ajoutez dans le gestionnaire de balises attend par défaut la réponse du visiteur. Un script tiers déjà présent dans votre code HTML est retenu dès que vous le marquez avec sa catégorie, puis libéré quand cette catégorie est accordée. Le consentement préalable est l’exigence que la plupart des outils n’appliquent qu’en partie.
- Bloque par défaut
- Chaque balise
- Diffusion first-party
Rend le refus aussi simple que l’acceptation
Les boutons Refuser et Accepter figurent sur le même écran, avec le même poids, et c’est ainsi que la bannière est livrée. C’est sur ce point de l’interface que la CNIL et les autres autorités de protection des données de l’UE ont le plus souvent relevé des manquements et prononcé des sanctions.
- Poids égal
- Un clic dans les deux cas
- Retrait depuis le pied de page
Conserve une preuve que vous pouvez produire
Chaque choix est conservé avec un horodatage, rattaché à la version du texte de la bannière qui était à l’écran. Démontrer le consentement, c’est montrer ce que le visiteur a réellement vu, et non ce qu’indiquent vos réglages aujourd’hui.
- Horodaté
- Texte versionné
- Exportable
Là où les sites se trompent sur le consentement RGPD
Quatre défaillances expliquent l’essentiel de ce que notre première analyse relève sur le site d’un nouveau client, et aucune ne donne l’impression d’une panne.
La bannière s’affiche, mais rien n’est bloqué
Les balises de mesure d’audience et de publicité se déclenchent lors du chargement même qui affiche la bannière. Le visiteur voit une question à laquelle il n’a pas répondu, alors que sa réponse est déjà ignorée. C’est le constat le plus fréquent de tous, et il reste invisible sans analyse.
Refuser demande plus de clics qu’accepter
Un bouton « Accepter » bien en vue, et le refus caché derrière un lien « Gérer les préférences », puis un interrupteur, puis « Enregistrer ». La CNIL et les autres autorités de protection des données de l’UE ont jugé que cette asymétrie constituait en elle-même un manquement, indépendamment de ce que font ensuite les balises.
La preuve ne dit pas ce qui a été accepté
Une ligne de registre indiquant « oui au marketing » ne vaut pas preuve si la bannière a été reformulée deux fois depuis. Sans le texte qui l’accompagne, cette ligne établit que quelqu’un a cliqué, ce qui n’est pas ce que le règlement vous demande de démontrer.
Tout était correct à l’installation
Une configuration validée en mars ne couvre pas le pixel qu’une campagne a ajouté en juillet. Rien ne vous alerte, car une balise qui se déclenche sans consentement se comporte exactement comme une balise qui se déclenche avec.
Essential
10 €/par mois
Pour un site unique qui doit être conforme, et le rester.
- Pages et affichages illimités
- 200 000 actions de consentement par mois
- La stack complète, pas une version allégée
Professional
36 €/par mois
Pour les équipes en croissance pilotées par la donnée, et les agences qui les accompagnent.
Essayer Professional gratuitementEnterprise
Dès 250 €/par mois
Pour un volume, ou une obligation, hors de portée d’un forfait standard.
Découvrir EnterpriseAgences et revendeurs
Achetez au tarif partenaire et refacturez chaque site client au prix que vous fixez.
Découvrir le programme partenairesSecteur public
Administrations, santé et éducation s’appuient sur Enterprise.
Voir Enterprise
Déployé là où s’appliquent des règles comme celles-ci, dans plus d’un pays
D’autres règles susceptibles de s’appliquer à vous
Questions fréquentes sur le RGPD
Le RGPD s’applique-t-il à mon site si mon entreprise n’est pas établie dans l’UE ?
Oui, si vous proposez des biens ou des services à des personnes se trouvant dans l’UE ou si vous suivez leur comportement, ce qui inclut la mesure d’audience des visiteurs venus de l’UE. Le lieu d’immatriculation de votre entreprise ne tranche pas la question. L’endroit où se trouvent vos visiteurs, si.
Faut-il un consentement pour les cookies de mesure d’audience ?
Dans presque tous les cas, oui, car la mesure d’audience n’est pas strictement nécessaire pour fournir la page que le visiteur a demandée. Certaines autorités de contrôle ont décrit des conditions strictes pour une mesure first-party réellement respectueuse de la vie privée, et la plupart des mises en œuvre ne les remplissent pas.
Une bannière de cookies suffit-elle à elle seule ?
Non. La bannière pose la question, et le règlement porte sur ce qui se passe ensuite : rien de non essentiel ne peut se charger avant la réponse, la réponse doit ensuite être respectée, et vous devez pouvoir démontrer ce qu’elle était. Une bannière que rien ne fait respecter ne remplit aucune de ces trois conditions.
Quelle est la différence entre le RGPD et l’AVG ?
Aucune sur le fond. AVG est le nom néerlandais du même règlement, et DSGVO son nom allemand. C’est une seule et même loi : voilà pourquoi il y a une page et non trois, et pourquoi l’ancienne page néerlandaise distincte redirige désormais ici.
Combien de temps dure un consentement ?
Le règlement ne fixe aucune durée, et redemander le consentement à intervalle raisonnable est la pratique courante. Ce qui compte davantage, c’est que le retrait reste aussi simple que l’a été l’accord, ce qui suppose en pratique de pouvoir rouvrir la bannière depuis chaque page plutôt que par un lien de réglages enfoui.
Consent Studio nous rend-il conformes ?
Aucun outil ne le peut à lui seul, et tout fournisseur qui prétend le contraire cherche à vous vendre quelque chose. Consent Studio assure la part qui revient à une plateforme de consentement : demander comme il se doit, faire respecter la réponse par chaque balise, conserver la preuve et vous prévenir quand le site change. Ce que vous traitez ailleurs reste de votre ressort.
Où nos données de consentement sont-elles stockées ?
À Amsterdam, sur une infrastructure détenue et exploitée par Scaleway, une entreprise française. Ici, la propriété compte davantage que l’emplacement : Scaleway est une entreprise française indépendante, et non la filiale européenne d’un groupe américain, si bien que ni Scaleway ni nous ne relevons du CLOUD Act américain. Consent Studio est lui-même conçu aux Pays-Bas, à capitaux néerlandais.
Lancez-vous avec The Full Consent Stack
Tout ce dont vous avez besoin, en une seule offre. Consent Studio traite et stocke les données de consentement des visiteurs de l’UE sur l’infrastructure d’entreprises européennes, au sein de l’UE (Scaleway, France ; Bunny, Slovénie). C’est vous qui décidez, dans Launcher, quelles balises envoient ensuite des données, et vers où.
Lire la documentation
Notre centre d’aide détaille pas à pas chaque intégration, extension et modèle, captures d’écran à l’appui. Il est rédigé et tenu à jour par l’équipe qui développe Consent Studio.