Politique de confidentialité : une liste de services à jour

Ce que demande le RGPD

Lorsque tu collectes des données personnelles auprès d’une personne, l’article 13, paragraphe 1 du RGPD énumère ce que tu dois lui communiquer à ce moment-là. Le point e) mentionne « les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ». Un destinataire, selon l’article 4, point 9, est une personne, une autorité, un service ou un autre organisme qui reçoit communication de données personnelles, qu’il s’agisse ou non d’un tiers. Le point f) ajoute, le cas échéant, des informations sur un transfert vers un pays tiers. L’article 12, paragraphe 1 demande ces informations d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.

Le RGPD autorise les catégories de destinataires. Savoir si une catégorie comme « prestataires de mesure d’audience » suffit dans ton cas, ou s’il faut nommer chaque service, est une question juridique que ce guide ne tranche pas. Si ta politique de confidentialité nomme des services individuels, cette liste doit correspondre au site web.

Pourquoi la liste s’écarte

Le site web change plus souvent que la politique de confidentialité. Un nouveau plugin, un nouveau thème, une vidéo dans un article de blog, le passage à un autre outil de newsletter : chacun de ces changements peut ajouter ou retirer un destinataire. Souvent, plusieurs personnes travaillent sur un même site, et chaque changement paraît mineur. Personne ne met la politique à jour, parce que le changement ne ressemblait pas à un sujet de protection des données. Au bout d’un an, la politique peut décrire un site web qui n’existe plus.

Lacunes typiques

• Un plugin ou un thème charge une police, une carte ou un script depuis un serveur externe, et personne ne l’a remarqué.
• Un gestionnaire de balises ajoute un nouvel outil sans aucune modification du code du site web.
• Un rédacteur intègre une vidéo ou une publication de réseau social dans un seul article.
• Un outil a été retiré il y a des mois mais figure toujours dans la politique.
• Tu as changé de prestataire, par exemple pour la newsletter ou le chat, et la politique cite encore l’ancien.
• Un modèle ou un générateur de texte a ajouté des services que ton site n’a jamais utilisés.

Comment établir la vraie liste

1. 1Vérifie ce que le site web charge : ouvre les pages principales dans une fenêtre privée avec les outils de développement de ton navigateur, ou utilise une analyse. Note chaque serveur externe et le service qui se trouve derrière.
2. 2Vérifie ce qui est installé : les plugins et extensions de ton système de gestion de contenu, les balises de ton gestionnaire de balises et les intégrations dans tes contenus.
3. 3Vérifie qui d’autre reçoit des données : passe en revue les contrats et les factures de tes prestataires, y compris ceux qui n’apparaissent jamais sur le site web.
4. 4Compare cette liste avec la politique de confidentialité, service par service : est-il nommé, avec la bonne société, la finalité et, le cas échéant, le transfert vers un pays tiers ?
5. 5Compare-la aussi avec ton bandeau de consentement. Le bandeau a sa propre liste de services, et il devrait décrire la même réalité.

Le bandeau de consentement est une deuxième liste

Pour stocker des informations sur l’appareil du visiteur ou y lire des informations, comme les cookies, le § 25 TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques) exige en Allemagne un consentement fondé sur des informations claires et complètes. En Pologne, l’article 399 de la loi sur les communications électroniques exige que l’utilisateur soit d’abord informé, entre autres de la finalité, puis qu’il donne son accord. Les deux dispositions prévoient des exceptions pour ce qui est strictement nécessaire ou nécessaire à un service demandé. Si un service manque dans le bandeau, le visiteur ne peut pas décider à son sujet. Si un service retiré y figure encore, le bandeau décrit quelque chose qui n’a pas lieu.

Une routine de revue

Garde une courte note de chaque revue : la date, les pages vérifiées, ce que tu as trouvé et ce que tu as modifié dans la politique ou le bandeau. Tu pourras ainsi voir plus tard ce qui a été vérifié et quand. Désigne une personne responsable de la revue, pour qu’elle ne dépende pas du hasard. C’est une habitude que nous suggérons, pas une règle de la loi.

Travailler avec Do4U

La Vérification de la politique de confidentialité compare ta politique de confidentialité avec ton site web. Tu saisis la page d’accueil, si tu veux quelques autres pages du même site, et l’adresse ou le texte de ta politique de confidentialité. Do4U lit les pages et trouve les services tiers qu’elles chargent. L’IA de Do4U lit la politique de confidentialité et liste chaque service et destinataire qu’elle nomme, chacun avec une citation. Le code vérifie que chaque citation figure mot pour mot dans la politique et fait lui-même la comparaison. Tu obtiens trois listes : intégré mais non nommé, nommé mais non trouvé, et trouvé et nommé. La vérification est statique : elle n’exécute pas de JavaScript et ne lit que les pages que tu saisis.

Do4U trouve des indices, tu vérifies et tu décides. « Nommé mais non trouvé » peut signifier qu’un service se charge plus tard, sur d’autres pages ou en dehors du site web. Le résultat ne dit pas si ta politique de confidentialité est complète ou correcte.