2026-08-06

Audit RGPD : fermer le risque analytics pour de bon

Le questionnaire arrive dans votre boîte un mardi.

Douze onglets. L'un s'appelle Sous-traitants. Quelque part dedans, une ligne pour les statistiques web et une colonne demandant quelles données personnelles quittent l'organisation.

Vous savez que la réponse honnête est compliquée. Vous savez aussi qu'écrire cette réponse compliquée vous coûtera une semaine à courir après des gens qui ne dépendent pas de vous.

J'ai vu des responsables conformité résoudre ce problème deux fois. La première, ils se documentent jusqu'au bout. La seconde, ils remarquent qu'une des lignes peut simplement cesser d'exister.

Cet article porte sur la seconde approche. Il commence par ce que l'auditeur demande réellement, car on ne raccourcit pas un processus qu'on n'a jamais vu écrit.

Une remarque d'abord : ceci n'est pas un conseil juridique et ce qui s'applique à vous, c'est votre propre direction juridique qui le décide. C'est une carte des questions.

Les six questions sur les statistiques

Elles sont toujours les mêmes, à peu près dans cet ordre.

1. Quelles données personnelles l'outil traite-t-il ? Les adresses IP et les identifiants d'appareil en font partie. Ainsi que tout ce que vous poussez dans une dimension personnalisée et c'est là que se logent généralement les surprises.

2. Quelle est votre base légale ? Pour des statistiques non essentielles dans l'UE, c'est normalement le consentement et le consentement doit répondre à une exigence, pas seulement exister sous forme de case cochée.

3. Où vont les données ? Quelle entreprise, quel pays, quels serveurs.

4. Qui d'autre y a accès ? Sous-traitants ultérieurs, personnel du support, les propres statistiques de l'éditeur sur vos statistiques.

5. Combien de temps les conservez-vous ? Une durée que vous pouvez nommer et que l'outil applique réellement.

6. Pouvez-vous prouver tout ce qui précède ? C'est celle qui transforme une conversation de deux heures en un projet de deux semaines.

Notez que les cinq premières portent sur l'outil et la sixième sur vous.

Les documents que chaque réponse déclenche

Chaque oui crée un document que vous devez produire, tenir à jour et défendre.

• Une entrée au registre des traitements. L'article 30 du RGPD impose un registre des activités de traitement. Les statistiques sont une ligne, avec finalité, catégories de données, destinataires et durée de conservation.
• Un contrat de sous-traitance. L'article 28 en impose un avec chaque sous-traitant qui traite des données personnelles pour votre compte.
• Une analyse de transfert, si les données sortent de l'EEE. Le cadre d'adéquation actuel simplifie cela pour les destinataires américains certifiés, mais l'analyse reste un document avec un responsable.
• Des preuves de consentement. Vous devez pouvoir démontrer qu'il a été donné. Cela veut dire le conserver et pouvoir le produire pour un visiteur précis sur demande.
• Une analyse d'impact, si le traitement présente un risque élevé. Le profilage comportemental à grande échelle peut franchir cette limite.
• Une ligne dans la politique de confidentialité qui corresponde à tout ce qui précède et qui y corresponde encore quand quelqu'un modifie une balise.

Cela fait six documents vivants pour un seul outil. Aucun n'améliore votre marketing. Tous ont besoin d'un responsable.

« Garantir que les données personnelles sont automatiquement protégées dans tout système informatique ou pratique commerciale, de sorte que si une personne ne fait rien, sa vie privée reste intacte. »

Ann Cavoukian, Privacy by Design: The 7 Foundational Principles, sur la confidentialité comme réglage par défaut

Cavoukian a écrit cela en 2009. Le RGPD a ensuite codifié l'idée à l'article 25, protection des données dès la conception et par défaut.

Ce qu'il faut en retenir est structurel. Une protection qui dépend du bon réglage d'un paramètre par quelqu'un est plus faible qu'une protection qui existe parce qu'il n'y a rien à protéger.

Toujours là ? Bien, car c'est ici que les deux chemins se séparent.

Pourquoi documenter est le chemin coûteux

La documentation n'est pas une dépense unique. C'est un abonnement.

L'outil sort une fonctionnalité et votre registre est périmé. Quelqu'un ajoute une balise pour une campagne et oublie de la retirer. Un sous-traitant change et personne ne prévient la personne qui tient le registre.

Puis il y a la part que personne ne budgète. Chacun de ces documents devra être retrouvé au prochain audit, au prochain contrat important et chaque fois qu'un client vous envoie son propre questionnaire fournisseur.

Dans une entreprise de trente personnes, c'est généralement le mi-temps de quelqu'un que personne n'a jamais nommé.

Le raccourci : supprimer la catégorie

Voici la version qui prend un après-midi au lieu d'un trimestre.

Si vos statistiques ne traitent aucune donnée personnelle et ne stockent rien sur le terminal du visiteur, la plupart des six questions s'effondrent.

• La question une a une réponse courte. Aucune donnée personnelle.
• La question deux disparaît. Il n'y a pas de traitement de données personnelles pour lequel chercher une base, ni de stockage sur le terminal exigeant un consentement au titre de l'article 82 de la loi Informatique et Libertés.
• La question trois tient en une ligne si les serveurs sont dans l'UE.
• La question cinq pèse moins quand les données conservées ne peuvent être rattachées à personne.
• La question six devient bien plus simple, car il n'y a aucune preuve de consentement à produire.

Vous n'avez pas amélioré la paperasse. Vous avez supprimé les lignes qui la produisaient.

C'est la différence entre une mesure et une suppression et les auditeurs traitent les deux très différemment. Une mesure doit être testée. Une suppression se vérifie une fois.

Ce qu'il reste malgré tout à faire

Je vous induirais en erreur en disant que la réponse est zéro paperasse.

Vous gardez l'entrée au registre des traitements, même si elle indique que les données ne sont pas personnelles, car l'analyse elle-même mérite d'être écrite.

Vous avez toujours besoin d'un contrat avec l'éditeur. Vous décrivez toujours l'outil dans votre politique de confidentialité et cette description doit toujours correspondre à la réalité.

Et vous avez toujours tous les autres systèmes du questionnaire. Les statistiques sont une ligne sur douze onglets. Bien la fermer signifie seulement que vous pourrez consacrer la semaine aux lignes qui demandent vraiment du jugement.

Comment le vérifier en dix minutes

Ne croyez aucun éditeur sur parole, moi compris. Vérifiez comme le ferait un auditeur.

Ouvrez votre site en fenêtre privée et regardez Cookies et Local storage dans les outils de développement. Vide veut dire vide.

Observez la requête envoyée par les statistiques. Regardez ce qu'elle contient. Si vous ne pouvez pas dire ce qui est envoyé, c'est votre réponse.

Demandez où sont les serveurs et obtenez le pays par écrit.

Demandez ce que l'éditeur fait de l'adresse IP du visiteur. La conserver et l'utiliser de façon transitoire pour en déduire un pays sont deux choses différentes et la différence compte.

Ces quatre vérifications produisent des preuves que vous pouvez joindre au dossier. Cela vaut plus que n'importe quelle page conformité sur le site d'un éditeur.

Là où StatJolt intervient

StatJolt est conçu pour que la ligne des statistiques cesse d'intéresser un auditeur.

Il ne dépose pas de cookies et n'écrit rien sur le terminal du visiteur : aucun consentement à recueillir, aucune preuve à produire.

Il ne collecte pas de données personnelles et ne construit pas de profils : la question de la base légale pour des données personnelles ne se pose pas.

Les serveurs sont dans l'UE, en Allemagne et en Finlande : la question du transfert ne se pose pas, quoi qu'il advienne du cadre d'adéquation actuel.

Pour votre questionnaire, cela transforme une ligne pleine de réserves en une ligne à réponse courte, accompagnée de preuves que vous pouvez vérifier vous-même en dix minutes.

Si vous ne lisez qu'un encadré

Un auditeur pose six questions sur les statistiques et chaque oui crée un document qu'il faut ensuite entretenir indéfiniment. Se documenter jusqu'au bout est un coût récurrent que personne dans l'entreprise n'assume vraiment. Retirer les données personnelles et le stockage sur le terminal fait s'effondrer la plupart des questions au lieu de les gérer et c'est la différence entre une mesure qu'un auditeur doit tester et une suppression qu'il vérifie une fois.

Retour