Droit et conformité

Les exigences du RGPD pour la politique de confidentialité d'un site

Un lien vers une politique de confidentialité ne suffit pas à lui seul. La transparence exigée par le RGPD porte sur la capacité de la personne à comprendre le traitement réellement opéré au moment où ses données sont collectées.

Les informations de l'article 13

Selon les faits, une politique doit préciser l'identité et les coordonnées du responsable du traitement, le délégué à la protection des données, les finalités et les bases légales, les intérêts légitimes invoqués, les destinataires, les transferts hors de l'Union et leurs garanties, les durées de conservation, les droits des personnes concernées, le retrait du consentement, le droit de réclamation auprès d'une autorité de contrôle, le caractère obligatoire ou non de la fourniture des données, et l'existence d'une décision automatisée.

L'article 12 exige que cette information soit concise, transparente, compréhensible, aisément accessible et formulée en termes clairs et simples. C'est la raison pour laquelle AllyProof effectue une recherche sémantique multilingue, au lieu d'exiger un lien littéralement intitulé « Politique de confidentialité » ou « Datenschutzerklärung ».

Ce que vérifie AllyProof

Les profils Allemagne et UE/EEE utilisent le même moteur d'analyse RGPD, dans l'aperçu gratuit comme dans l'analyse authentifiée d'un site. Il :

• vérifie qu'une politique de confidentialité est atteignable depuis chaque page examinée ;
• repère la formulation de sept thèmes sélectionnés de l'article 13 : responsable du traitement et contact, finalités et bases légales, destinataires ou catégories de destinataires (le cas échéant), conservation, droits applicables des personnes concernées, droit de réclamation, et caractère obligatoire ou non de la fourniture des données avec ses conséquences ;
• repère séparément les signaux de traitement et les mentions correspondantes pour le consentement, les intérêts légitimes, les transferts internationaux et les décisions automatisées de l'article 22 produisant des effets juridiques ou comparables ; un simple profilage ne suffit pas à établir cette dernière condition ;
• compare les fournisseurs tiers observés par le navigateur aux destinataires décrits dans la politique ;
• vérifie qu'un choix de consentement observé peut être retiré par la suite ;
• consigne séparément le HTTPS, les contenus mixtes et certains comportements de tiers avant consentement.

Les formulations anglaises et allemandes bénéficient d'un traitement déterministe rapide. Un extracteur sémantique borné peut lire d'autres langues ; ses extraits doivent correspondre mot pour mot à la source. Les résultats portant sur le contenu d'une politique restent À examiner, même lorsque tous les motifs thématiques sont trouvés : repérer une formulation ne permet pas d'en vérifier l'exhaustivité, l'exactitude ni la pertinence pour chaque finalité de traitement. Si le modèle est indisponible ou si son entrée a été tronquée, le résultat le signale. Une condition de traitement non observée signifie inconnue, et non inapplicable.

L'absence du nom d'un fournisseur est un élément utile, qui peut révéler un écart entre la politique et le comportement réel, mais un domaine peut appartenir à un sous-traitant décrit sous une autre marque ou une autre catégorie : il nécessite donc un examen.

Ce que l'analyse ne peut pas établir

Un navigateur public ne peut vérifier ni le registre des traitements, ni les contrats de sous-traitance, ni les analyses d'impact, ni la gestion des violations de données, ni les suppressions effectives, ni le traitement des demandes d'exercice de droits, ni la sécurité côté serveur, ni les traitements opérés uniquement dans des systèmes internes. Il ne peut pas davantage déterminer, depuis le seul site public, si un délégué à la protection des données ou un représentant dans l'Union est juridiquement requis, ni si l'article 14 s'applique parce que les données ont été obtenues ailleurs qu'auprès du visiteur.

Les informations à plusieurs niveaux, celles déjà fournies à la personne (article 13, paragraphe 4) et les informations supplémentaires de l'article 14 supposent une analyse du contexte. Un élément non trouvé dans une page récupérée ne prouve pas une omission juridique. Ces limites expliquent pourquoi le produit rapporte des observations nommées plutôt qu'un score de « conformité au RGPD ».

Comment améliorer la politique

Construisez la politique à partir d'un inventaire de données à jour, et non d'un simple modèle. Reliez chaque formulaire, cookie, SDK, contenu embarqué, parcours de paiement et journal serveur à sa finalité, sa base légale, ses destinataires, sa durée de conservation et son mécanisme de transfert. Utilisez des titres hiérarchisés, des noms concrets et la langue que votre public peut raisonnablement comprendre. Réexaminez la politique chaque fois que les balises ou les prestataires changent.

Sources officielles

• RGPD, articles 12 et 13
• Lignes directrices du CEPD sur la transparence au titre du règlement 2016/679

Questions fréquentes

Une politique de confidentialité européenne doit-elle être en anglais ?

Aucune règle générale du RGPD n'impose l'anglais. L'information doit être concise, transparente, compréhensible, aisément accessible et formulée en termes clairs pour les personnes concernées. La langue appropriée découle du public réel et du contexte.

Nommer Google Analytics suffit-il à rendre une politique de confidentialité complète ?

Non. Une politique doit décrire les traitements pertinents, leurs finalités, leurs bases légales, les destinataires, les durées de conservation, les transferts et les droits applicables. Nommer un outil n'est qu'un élément de la transparence.