Celui qui crée un nouveau site Web ou une nouvelle boutique en ligne pense d'abord au design, aux modes de paiement et aux stocks. L'aspect RGPD vient souvent plus tard, ou pas du tout. Voici ce qui se produit concrètement : vous ne pouvez pas donner une réponse complète si un visiteur vous demande quelles données vous avez sur lui, vos contrats avec les partenaires d'hébergement et d'analyse font défaut, et les cookies sont peut-être placés avant qu'un visiteur n'ait donné son consentement. Ce ne sont pas des risques abstraits, mais des situations qui surviennent assez rapidement dans la pratique.
Il ne s'agit pas d'une seule amende ou d'un seul moment de contrôle. Il s'agit d'une série de lacunes où le règlement demande quelque chose, et qui ne deviennent visibles que lorsque quelqu'un les signale : un client, un partenaire commercial ou le visiteur lui-même.
La déclaration de confidentialité est la partie visible
Une déclaration de confidentialité manquante ou incomplète est généralement la première chose qui attire l'attention, même pour les visiteurs eux-mêmes. Mais la déclaration n'est que l'apparence. En arrière-plan, le RGPD exige notamment que vous sachiez quels tiers traitent les données en votre nom, et que vous établissiez des accords à ce sujet. Sans ces accords, vous n'avez pas la visibilité sur ce qu'un prestataire d'hébergement, un outil de messagerie ou un service de paiement fait exactement avec les données de vos visiteurs.
Cookies et outils de suivi sans consentement
Un site Web ou une boutique en ligne utilise souvent l'analyse, les pixels publicitaires ou les widgets de chat qui collectent des données dès le chargement de la page. Si cela se produit avant que le visiteur n'ait fait un choix, c'est anticiper le consentement que le règlement demande pour cela. C'est l'un des points que les autorités de contrôle examinent explicitement dans les directives générales, sans que cela ne dise quelque chose sur une situation individuelle.
Pas de contrat de traitement des données, pas de vue d'ensemble
Chaque outil qui traite les données de vos visiteurs ou clients — un système de suivi de colis, un outil d'infolettre, une plateforme d'avis — est généralement un sous-traitant. Le RGPD exige que vous ayez un contrat de traitement des données avec celui-ci. Si celui-ci fait défaut, vous manquez non seulement un document, mais aussi la vue d'ensemble de qui détient quelles données où. C'est précisément ce qu'un registre des activités de traitement rend visible, et c'est aussi ce qu'un client ou un donneur d'ordre peut demander. Si vous voulez voir à quoi ressemble un tel accord en pratique, vous pouvez parcourir la base de connaissances par sujet.
Si quelque chose tourne mal
Une boutique en ligne traite généralement plus de données qu'un site Web moyen : nom, adresse, données de paiement, parfois date de naissance. Si quelque chose tourne mal avec l'un des tiers qui traitent ces données, l'obligation de notification en cas de violation de données s'applique, avec l'horloge qui l'accompagne. Sans vue d'ensemble des outils qui traitent quelles données, il est difficile de déterminer rapidement si et comment y répondre. Vous pouvez obtenir une première indication de la situation en répondant à quelques questions courtes sur la situation.
Questions des visiteurs auxquelles vous ne pouvez pas répondre
Chaque visiteur et client a le droit de vous demander quelles données vous avez sur lui ou de demander la suppression. Sans registre et sans clarté sur les outils qui conservent les données, il est difficile de répondre complètement à une telle demande dans le délai que le règlement prévoit pour cela. Cela n'affecte pas seulement la relation avec ce seul visiteur, mais aussi l'image qu'un partenaire commercial ou un assureur se fait de votre entreprise si on lui demande.
Où cela pose généralement problème
En pratique, ce n'est rarement une seule grande lacune. C'est une accumulation : un contrat manquant ici, un cookie placé trop tôt là, pas de vue d'ensemble sur l'endroit exact où se trouvent les données. Chaque élément pris isolément semble insignifiant, mais ensemble, ils rendent difficile de donner une réponse complète à une question — d'un visiteur, d'un client ou d'une autorité de contrôle. Le lien entre cela et la sécurité de base des données, vous le lirez sur la page sur la sécurité des données.
Ce texte est une description générale et ne constitue pas un conseil juridique sur votre propre site web ou boutique en ligne. Pour l'évaluation de votre situation spécifique, vous pouvez vous adresser à un juriste ou à l'Autorité de protection des données.
Voulez-vous d'abord voir où en est votre propre site web ou boutique en ligne actuellement ? Le diagnostic rapide gratuit vous donne une indication en quelques minutes, sans qu'il soit nécessaire de créer un compte.