Conformité pour un site à l’international : comment appliquer le RGPD, les cookies et les transferts de données
Cet article est un retour d’expérience technique et ne constitue pas un avis juridique. Pour toute question d’application de la loi ou d’évaluation des risques, consultez un conseil juridique spécialisé.
1. Distinguer d’abord les trois rôles
Dans un débat sur la conformité, le point le plus flou est souvent « qui suis-je ». Le RGPD distingue trois rôles, et vos obligations dépendent de la position que vous occupez :
| Rôle | Définition | Cas typique | Obligations principales |
|---|---|---|---|
| Responsable du traitement(Controller) | Celui qui détermine les finalités et les moyens du traitement | Votre site à l’international collecte des données de visiteurs et de clients | Disposer d’une base légale, informer, répondre aux droits des personnes |
| Sous-traitant(Processor) | Traite les données pour le compte du responsable | Le site que vous réalisez pour un client : le client est responsable | Traiter sur instruction du responsable, garantir la sécurité |
| Tiers(Third Party) | Détermine seul les finalités du traitement | Les outils d’analyse et les plateformes publicitaires que vous intégrez | Chacun assume sa propre responsabilité de responsable du traitement |
Cette distinction est particulièrement importante pour une entreprise à l’international, car elle détermine deux scénarios totalement différents :
| Situation | Qui vous êtes | Qui porte la responsabilité |
|---|---|---|
| Site à l’international que vous exploitez et dont vous collectez vous-même les données clients | Responsable du traitement | Vous-même |
| Site que vous créez et exploitez pour un client | Sous-traitant | Le client (mais vous devez fournir les capacités techniques de conformité) |
| Le site intègre des statistiques ou de la publicité tierces | Responsable du traitement (et transfert à des tiers) | Vous-même + des tiers |
La deuxième ligne est essentielle : Si vous créez des sites pour vos clients, votre obligation n’est pas de « rendre le client conforme à leur place », mais de « fournir des outils qui permettent de l’être »— par exemple un interrupteur pour désactiver le suivi, un contrôle des catégories de cookies, une capacité d’export des données. C’est aussi pourquoi, dans la conception de notre extension, la séparation des données techniques et des données personnelles est le réglage par défaut.
II. Quatre situations réglementaires à traiter
Un site destiné à l’international fait généralement face à quatre types d’exigences, qui portent sur des niveaux différents :
| Réglementation / situation | Ce qu’elle encadre | Impact sur le site |
|---|---|---|
| GDPR(UE) | Licéité du traitement des données personnelles, droits des personnes concernées | Base légale des formulaires et du suivi, information et consentement, droit à l’effacement |
| ePrivacy / règles sur les cookies(UE) | Consentement préalable requis pour les cookies non essentiels | La bannière cookies doit être réellement effective (refus = arrêt) |
| Lois des États américains(CCPA/CPRA, etc.) | Droit à l’information, droit de refus (opt-out), non-discrimination | Prévoir un mécanisme de refus de la « vente/du partage de mes informations personnelles » |
| Transferts transfrontaliers | Mécanismes de licéité pour les données sortant de l’UE | Emplacement des serveurs, zone de déploiement des outils tiers |
Ces quatre exigences ont un point commun : elles demandent toutes des mécanismes « opérationnels », et non un simple texte de déclaration. L’utilisateur doit pouvoir réellement refuser, réellement se retirer, réellement supprimer.
III. Catégories de cookies et traitement
C’est l’étape la plus courante et la plus facile à rater.
Traitement des trois catégories de cookies
| Catégorie | Exemples | Consentement préalable requis ? | Comportement après refus |
|---|---|---|---|
| Nécessaires (Strictly Necessary) | Session, état de connexion, jeton CSRF, préférence de langue | ❌ Non | Doivent continuer de fonctionner |
| Statistiques / analyse (Analytics) | Mesure d’audience, suivi des conversions | ✅ Oui | Ne doivent pas être chargés |
| Marketing / publicité (Marketing) | Pixels des plateformes publicitaires, balises de reciblage | ✅ Oui | Ne doivent pas être chargés |
L’erreur la plus fréquente
« Refus = arrêt » signifie que le script n’est pas chargé, et non qu’il est chargé sans envoyer de données.
| Mise en œuvre | Conforme ? | Explication |
|---|---|---|
| Après le refus de l’utilisateur, le script de statistiques n’est pas chargé du tout | ✅ Conforme | Bonne pratique |
| Après le refus de l’utilisateur, le script est quand même chargé mais ne transmet rien selon un indicateur | ⚠️ Risque élevé | Le script s’est exécuté, il a pu déposer un cookie ou ouvrir une connexion |
| Après le refus de l’utilisateur, des « statistiques anonymes » sont quand même chargées | ⚠️ À évaluer | Selon la présence ou non de données personnelles ; par défaut, considéré comme soumis à consentement |
| La bannière n’a qu’un bouton « Accepter », ou le « Refuser » est caché dans une page secondaire | ❌ Non conforme | Le refus doit être aussi simple que l’acceptation |
La visibilité du bouton de refus est un point de vigilance des autorités. Si « Tout accepter » est un bouton bien visible alors que « Refuser » est en petits caractères gris ou exige d’ouvrir les réglages pour tout désactiver un par un, cela sera considéré en pratique comme une absence de consentement valable.
Liste de mise en œuvre
| # | Poste | Critères de validation |
|---|---|---|
| 1 | Inventaire des catégories de cookies | Recenser tous les cookies chargés par le site, avec leur catégorie et leur finalité |
| 2 | Bannière à trois boutons | « Tout accepter » / « Nécessaires uniquement » / « Paramètres » (visibilité équivalente) |
| 3 | Aucun chargement après refus | Testé : aucune requête d’analyse ou de publicité après un refus |
| 4 | Consentement révocable | Un lien « Paramètres des cookies » en pied de page permet de modifier le choix à tout moment |
| 5 | Preuve du consentement | Horodatage, version et choix effectué (pour la preuve) |
| 6 | Page Politique de cookies | Précisez la finalité, la durée de conservation et les tiers pour chaque catégorie de cookies |
4. Collecte des données
Les formulaires sont l’endroit où l’on collecte le plus directement des données personnelles, et aussi celui où les exigences de conformité sont les plus nombreuses.
| Poste | Exigence | Erreur fréquente |
|---|---|---|
| Finalité déterminée | Chaque champ collecté doit avoir une finalité explicable | Collecter la « taille de l’entreprise » sans savoir à quoi elle sert |
| Minimisation | Ne pas collecter de champs sans lien avec la finalité | Demander l’adresse, le code postal, le fax |
| Information | Lien vers la politique de confidentialité et mention brève avant l’envoi | Lien uniquement en pied de page, aucune mention près du formulaire |
| Base légale | Fondement explicite (consentement / exécution du contrat / intérêt légitime) | Question jamais envisagée |
| Case à cocher | En cas de consentement, la case doit être décochée par défaut | Case cochée par défaut (consentement invalide) |
| Partage avec des tiers | Si les données sont transmises à des tiers (ex. CRM), il faut le signaler | Flux de données non divulgué |
| Durée de conservation | Indiquer combien de temps les données sont conservées | Promesse de conservation illimitée |
Un cas concret à trancher :« Pourquoi avez-vous besoin de ce champ ? » — si la seule réponse est « ça pourrait servir plus tard », ce champ ne doit pas être collecté.La règle pratique du principe de minimisation : ne collecter que ce dont la finalité actuelle est claire.
5. Stockage et circulation des données
C’est la couche la plus souvent négligée, car elle n’apparaît pas sur la page.
5.1 Serveurs et localisation des données
| Poste | Points à vérifier |
|---|---|
| Emplacement de l’hébergeur | Localisation physique de la base de données et du stockage de fichiers : dans quel pays / quelle région |
| Emplacement des sauvegardes | Les sauvegardes sont-elles aussi stockées localement ? (oubli fréquent : sauvegardes synchronisées vers un cloud situé dans un pays tiers) |
| CDN | Le CDN enregistre-t-il l’IP d’origine ? Combien de temps les logs sont-ils conservés ? |
| Journal | Les logs d’accès au serveur contiennent des IP (données personnelles) : quelle durée de conservation et quel contrôle d’accès ? |
« Où sont stockées les sauvegardes ? » est un point d’oubli fréquent. La base principale est en Allemagne, mais les sauvegardes automatiques sont synchronisées vers un cloud dont la région par défaut est aux États-Unis : cela constitue un transfert transfrontalier, et la plupart des entreprises ne s’en rendent jamais compte.
5.2 Outils tiers
| Type d’outil | Points de conformité |
|---|---|
| Analyse d’audience | L’IP d’origine est-elle transmise ? Un accord de traitement des données est-il proposé ? Où sont situés les serveurs ? |
| Plateforme publicitaire | L’outil se charge-t-il avant l’obtention du consentement ? Transmet-il les données du formulaire ? |
| Plateforme e-mailing | Les données clients y sont-elles importées ? Un accord de traitement des données existe-t-il ? |
| Support / chat | Les conversations sont-elles enregistrées ? Où sont-elles stockées ? |
| Polices / cartes / vidéos intégrées | Une requête est-elle envoyée au tiers (ce qui transmet l’IP du visiteur) ? |
La dernière ligne mérite une attention particulière : Pour « charger plus vite », beaucoup de sites utilisent des polices web ou des composants cartographiques fournis par un CDN tiers.Ces requêtes transmettent l’IP du visiteur au tiers— dans l’Union européenne, des décisions de justice ont déjà jugé qu’il s’agissait d’un transfert de données personnelles, nécessitant une base de conformité.La solution : héberger localement les polices et les ressources critiques.
5.3 Mise en œuvre technique des droits des personnes concernées
Le RGPD impose de répondre aux demandes des personnes concernées : accès, rectification, effacement, portabilité, opposition. Cela suppose des capacités techniques correspondantes :
| Droit | Capacité technique requise |
|---|---|
| 访问 | Pouvoir exporter l’intégralité des enregistrements de cette personne concernée par e-mail / identifiant |
| Rectification | Pouvoir modifier les enregistrements concernés |
| Supprimer | Pouvoir supprimer ou anonymiser les enregistrements concernés (y compris la stratégie de traitement des sauvegardes) |
| Portabilité | Pouvoir exporter dans un format courant (CSV / JSON) |
| Opposition | Pouvoir marquer et arrêter tout traitement ultérieur (par exemple marketing) |
L’effacement est le point le plus délicat techniquement, car les données sont généralement réparties entre plusieurs systèmes (base de données du site, CRM, plateforme e-mail, outils d’analyse). La marche à suivre recommandée :établir une « cartographie des données », qui recense chaque système contenant des données personnelles et la méthode d’effacement associée — cette liste fait gagner un temps considérable lors du traitement d’une demande d’effacement.
VI. Erreurs courantes et liste d’autocontrôle
Six erreurs courantes
| # | Erreur | Risque |
|---|---|---|
| 1 | La fenêtre pop-up n’a qu’un bouton « Accepter », refuser n’est pas simple | Consentement invalide, point de contrôle fréquent |
| 2 | Les scripts de suivi se chargent encore après un refus | Infraction caractérisée, et la preuve est vérifiable (requêtes réseau) |
| 3 | Polices / cartes / vidéos intégrées transmettent l’IP à des tiers | Transfert de données sans consentement |
| 4 | Sauvegardes synchronisées vers un cloud étranger sans évaluation | Transfert transfrontalier non divulgué |
| 5 | Case de consentement cochée par défaut dans les formulaires | Consentement considéré comme invalide |
| 6 | Politique de confidentialité issue d’un modèle, en décalage avec la pratique réelle | Déclaration non conforme à la réalité, responsabilité aggravée |
L’article 6 est le plus fréquent. Beaucoup de sites à l’international utilisent une politique de confidentialité générée à partir d’un modèle, dont les outils mentionnés ne correspondent pas à ceux réellement déployés (ou qui ne mentionnent pas du tout les outils réellement utilisés).Du point de vue du régulateur, « dire et faire des choses différentes » est plus grave que « oublier un élément ».
Liste d’autocontrôle avant mise en ligne
| # | Point de contrôle | Critère de validation |
|---|---|---|
| 1 | La liste des cookies correspond à la réalité | Vérifier avec les outils de développement du navigateur, sans omission |
| 2 | Les trois boutons de la fenêtre pop-up sont également visibles | Conserver une capture d’écran comme preuve |
| 3 | Aucune requête d’analyse / publicitaire après un refus | Tester réellement avec le panneau réseau des outils de développement |
| 4 | Un point de retrait est disponible | Cliquable dans le pied de page, permet de modifier les choix |
| 5 | Polices et ressources statiques hébergées localement | Aucune requête vers un domaine tiers (ou évaluation de conformité effectuée) |
| 6 | Aucune case cochée par défaut dans les formulaires, avec lien vers la politique | Vérifier formulaire par formulaire |
| 7 | La politique de confidentialité mentionne les tiers réellement utilisés | Comparer point par point avec la liste des outils |
| 8 | La cartographie des données est établie | Avec systèmes, données concernées, méthode d’effacement, responsable |
| 9 | L’emplacement des sauvegardes et des journaux est confirmé | Avec durée de conservation et contrôle d’accès |
| 10 | Le processus de réponse aux demandes d’effacement a été testé | Tester au moins une fois le processus complet |
FAQ — Questions fréquentes
| Mise en œuvre | Peut-on être dispensé du consentement ? |
|---|---|
| Aucun cookie, aucun suivi inter-sites, aucune conservation de l’IP brute | Plutôt considéré comme nécessaire / à faible risque |
| Utiliser un cookie pour générer un identifiant visiteur (même sans nom) | Consentement généralement requis |
| Conserver l’IP brute pour des statistiques géographiques | Consentement requis (l’IP est une donnée personnelle) |
| Élément | Qui pilote |
|---|---|
| Contenu réel de la politique de confidentialité | Le client (vous fournissez le modèle et l’assistance technique) |
| Capacités techniques de conformité (bannière, refus, export) | Vous (cela fait partie de la qualité de la livraison) |
| Accord de traitement des données (DPA) | Signé par les deux parties |
| Mesure | Explication |
|---|---|
| Limitation de la durée de conservation | À définir selon le besoin (par ex. 30 à 90 jours), avec suppression automatique à l’échéance |
| Contrôle des accès | Journaux accessibles uniquement aux personnes qui en ont besoin |
| Limitation de la finalité | Usage limité à la sécurité et à l’exploitation, aucune création de profils visiteurs |
| Évaluation des transferts hors UE | L’emplacement des serveurs de journaux doit être intégré à l’évaluation des transferts |
| Niveau | État | Diagnostic |
|---|---|---|
| Conformité de forme | Une bannière et une politique existent, mais le suivi continue après un refus | ❌ Risque maximal (la preuve d’une information sans mise en œuvre) |
| Conformité de base | Bandeau fonctionnel, politique alignée sur la réalité, possibilité de retirer son consentement | ✅ Objectif raisonnable pour la plupart des sites à l’international |
| Conformité complète | Ajouter la cartographie des données, la procédure de suppression, les registres de consentement, l’évaluation des transferts hors UE | ✅ Recommandé si vous visez des clients européens |
Pour conclure
Dans une activité à l’international, la conformité est souvent vue comme un « problème juridique » ou comme un bandeau à ajouter avant la mise en ligne. Mais d’un point de vue technique, c’est en fait la qualité de mise en œuvre de trois chaînes :
- Collecte : ne collecter que le nécessaire, expliquer l’usage, permettre le retrait
- Stockage : savoir où sont les données, combien de temps elles sont conservées, qui peut y accéder
- Transfert : savoir à qui les données sont confiées, dans quel pays elles vont, sur quelle base légale
Une fois ces trois chaînes clarifiées, la politique de confidentialité peut être écrite en cohérence avec la réalité, et vous pouvez fournir des preuves si on vous interroge.
La conformité n’a pas seulement pour valeur d’« éviter les sanctions » : elle fait aussi partie de la confiance. Lorsqu’ils évaluent un fournisseur, les clients B2B à l’étranger intègrent de plus en plus souvent la rigueur du traitement des données dans leurs appels d’offres et leurs grilles d’audit fournisseurs —un fournisseur qui falsifie même le consentement aux cookies inspire difficilement confiance pour tenir d’autres engagements.