RGPD : les obligations d’un site de PME

Un client remplit votre formulaire de contact. Votre outil de statistiques enregistre sa visite. Une vidéo intégrée charge des données depuis un service extérieur. Sans que vous ayez rien décidé, votre site vient de traiter des données personnelles : nom, e-mail, adresse IP, comportement de navigation. Et pour peu qu'un client vous demande un jour « quelles données avez-vous sur moi ? », mieux vaut savoir répondre.

Le RGPD (règlement européen sur la protection des données, applicable depuis le 25 mai 2018) concerne toutes les organisations, y compris un simple site vitrine de PME. La CNIL, l'autorité française de contrôle, le rappelle dans son guide « RGPD en pratique : communiquer en ligne ». Bonne nouvelle : pour un site de PME, les obligations concrètes tiennent en dix points, tous réalisables sans jargon. Ce contenu est informatif et ne constitue pas un conseil juridique.

Où se cachent les données personnelles sur un site WordPress ?

Avant de se conformer, il faut voir ce que l'on collecte. Le tableau ci-dessous recense les sources les plus courantes et ce qu'il faut prévoir pour chacune.

Les 10 obligations concrètes, dans l'ordre

1. Cartographier les données collectées : le tableau ci-dessus est un bon point de départ.
2. Définir une finalité pour chaque donnée : pourquoi la collecte-t-on, et pour quel usage précis ?
3. Identifier la base légale de chaque traitement (consentement, exécution d'un contrat, obligation légale, intérêt légitime...) : elle détermine ce que vous devez demander ou afficher.
4. Informer les personnes : une politique de confidentialité claire, et une courte mention près de chaque formulaire. Ne la confondez pas avec les mentions légales, qui identifient l'éditeur du site et son hébergeur.
5. Recueillir le consentement quand il est requis, notamment pour les traceurs non essentiels : le visiteur doit pouvoir refuser aussi facilement qu'accepter, et rien ne doit être déposé avant son choix.
6. Collecter le minimum : chaque champ superflu d'un formulaire est une donnée de plus à protéger.
7. Fixer des durées de conservation et supprimer ce qui n'est plus utile.
8. Encadrer les sous-traitants (hébergeur, outil d'e-mailing, prestataire de maintenance ou d'agence) : ils traitent des données pour votre compte, ce qui appelle un cadre contractuel.
9. Sécuriser le site : HTTPS, mises à jour, comptes protégés, sauvegardes. Voir nos 20 mesures pour sécuriser WordPress.
10. Respecter les droits des personnes : accès, rectification, effacement, opposition. Prévoyez un contact et une procédure, car la réponse est attendue dans un délai d'un mois en règle générale.

Le registre des traitements et les violations de données

Le RGPD prévoit un registre des activités de traitement, document interne qui liste vos traitements, leurs finalités et leurs durées de conservation. En pratique, la plupart des organisations sont concernées, et la CNIL propose un modèle pour s'y retrouver. Un tableur bien tenu suffit.

Autre réflexe à connaître : en cas de violation de données susceptible d'engendrer un risque pour les personnes, une notification à la CNIL sous 72 heures est prévue. C'est l'une des raisons de savoir quoi faire quand un site est piraté.

Ce que nous faisons, et ce que nous ne faisons pas

Notre rôle d'agence à distance est technique : configurer le site pour qu'il ne dépose rien sans accord, sécuriser, maintenir. Nous ne rédigeons pas votre politique de confidentialité à votre place et nous ne remplaçons ni un juriste ni un délégué à la protection des données : ces documents engagent votre responsabilité. La partie technique fait, elle, partie de notre maintenance WordPress, et un contrat de maintenance encadre justement l'accès de votre prestataire aux données du site.

À lire aussi : Google Analytics et RGPD : où en est-on ? ; Remarketing Google Ads : bien le paramétrer ; Bandeau cookies RGPD : se mettre en conformité ; Site WordPress lent : diagnostic en 8 étapes.