Un simple site Web de présentation avec seulement un formulaire de contact peut souvent être mis en conformité en un jour : une déclaration de confidentialité, une banneau de consentement aux cookies et une brève vérification du prestataire d'hébergement. Une boutique en ligne avec un prestataire de paiement, un outil d'expédition, un système de lettre d'information et des pixels publicitaires prend rapidement deux à quatre semaines, notamment parce que vous devez vérifier pour chaque outil s'il existe un contrat de traitement des données et s'il est en place.
Le facteur de ralentissement le plus important est rarement la rédaction de la déclaration de confidentialité elle-même. Cela peut se faire en une heure. Le temps s'investit dans l'identification des outils qui fonctionnent en arrière-plan, qui gère le contrat de traitement des données correspondant et l'attente de la réaction d'un fournisseur à ce sujet.
Où le temps s'investit vraiment
Pour un nouveau site Web, cela commence par un inventaire : quels services tiers traitent les données des visiteurs ou des clients. Pensez au prestataire d'hébergement, à un outil d'analyse, à un widget de chat, à un prestataire de paiement, à un partenaire d'expédition et éventuellement à un réseau publicitaire. Pour chacun de ces tiers, la question se pose : existe-t-il un contrat de traitement des données et correspond-il à ce que l'outil fait réellement.
Ensuite vient l'inventaire des cookies : quels cookies sont placés, par qui, et un consentement est-il nécessaire. Ce n'est que lorsque cette vue d'ensemble est complète que la déclaration de confidentialité peut être correcte sur le plan du contenu et que la banneau de consentement aux cookies peut afficher les bonnes catégories. Celui qui omet ces étapes et rédige la déclaration de confidentialité en premier doit souvent la réviser par la suite. Dans le banque de connaissances par sujet pour chaque outil largement utilisé, se trouve la réponse courte à la question de savoir si un contrat de traitement des données est nécessaire, avec la référence dans le texte de la Régulation.
Ce qui prolonge le délai dans la pratique
Le plus grand délai réside généralement non pas chez vous, mais chez le fournisseur. Les grands fournisseurs SaaS bien connus ont généralement un contrat de traitement des données prêt que vous pouvez télécharger vous-même ou accepter numériquement. Chez les petits ou les fournisseurs spécialisés, vous devez parfois le demander activement, et cela peut prendre des jours ou des semaines avant d'obtenir une réponse.
Un deuxième délai se crée lorsque le marketing, l'informatique et le propriétaire de l'entreprise ne sont pas à la table au même moment. Le service marketing choisit un nouvel outil, l'informatique ne sait pas qu'il a été ajouté et personne ne vérifie s'il existe un contrat de traitement des données. Quand on s'en aperçoit, l'outil tourne souvent depuis des mois.
Un troisième facteur est l'incertitude sur la répartition des rôles : une partie est-elle un sous-traitant, s'agit-il d'une responsabilité conjointe ou la partie traite-t-elle les données à ses propres fins. Cette question ne peut pas toujours être répondue en cinq minutes, et en cas de doute, il est conseillé de demander au fournisseur lui-même comment il envisage son rôle ou de soumettre la question à un avocat.
Ce que vous pouvez accélérer vous-même
L'itinéraire le plus rapide consiste à faire le travail dans le bon ordre : d'abord cartographier les outils, puis demander ou vérifier les contrats de traitement des données, et seulement ensuite aligner la déclaration de confidentialité et la banneau de consentement aux cookies sur ce qui se passe réellement. Un registre automatiquement rempli à partir d'une bibliothèque d'outils connus permet d'économiser du temps, car une grande partie du travail d'investigation est déjà fait pour les services SaaS largement utilisés. Dès qu'un nouvel outil est ajouté, il est conseillé de le documenter immédiatement dans le registre des activités de traitement plutôt que de le laisser en suspens jusqu'à un moment de révision.
Il est aussi utile de déterminer à l'avance qui au sein de l'entreprise est responsable de la demande de contrats de traitement des données manquants. Sans un propriétaire clair de ce processus, une demande en attente à un fournisseur reste souvent bloquée.
Quand cela prend plus de temps que prévu
Dans une boutique en ligne avec de nombreux composants distincts — un portail de retour séparé, un système d'avis indépendant, un outil de service client externe — chaque composant compte séparément. Une nouvelle chatbot IA sur le site soulève également sa propre question sur la destination des données saisies par les visiteurs et qui les traite. En cas de doute quant à savoir si une nouvelle fonctionnalité nécessite une évaluation des risques plus approfondie, il est judicieux de la faire évaluer séparément ; cela sort du cadre de cet article.
L'aspect sécurité d'un nouveau site web coûte également du temps : une bonne estimation des mesures techniques appropriées dépend de ce que le site ou la boutique en ligne traite exactement. Un aperçu de ce dont il s'agit se trouve sur la page sur sécurité de la vie privée et des données.
Le délai d'exécution n'est donc pas un chiffre fixe, mais le résultat du nombre de composants distincts qu'un site ou une boutique en ligne possède et de la rapidité avec laquelle les fournisseurs réagissent. Celui qui l'estime à l'avance évite qu'un lancement soit retardé parce qu'un accord de traitement manque au dernier moment.
Vous souhaitez rapidement voir où se situe actuellement votre site ou votre boutique en ligne ? L'analyse rapide gratuite donne en quelques questions une première indication, et l' questions fréquemment posées répondent à une grande partie des questions distinctes qui surgissent au cours de ce processus.