RGPD pour votre site web : cookies, contenus externes, formulaires et politique de confidentialité

Presque tous les sites web traitent des données personnelles : noms et adresses e-mail issus d'un formulaire, commandes, comptes, mais aussi adresses IP et cookies. Le RGPD (Règlement général sur la protection des données) s'applique à ces données et, pour les cookies, la Telecommunicatiewet (loi néerlandaise sur les télécommunications) s'applique également. Découvrez ici les points auxquels vous devez être attentif pour votre propre site.

Cet article ne constitue pas un avis juridique. Il présente les grandes lignes telles que les explique l'Autoriteit Persoonsgegevens (AP). En cas de doute sur votre situation, consultez les pages de l'AP ou faites appel à un spécialiste.

Cookies et consentement

Une bannière de cookies demande ce consentement. Selon l'AP, vous expliquez quels cookies vous utilisez et dans quel but, refuser est aussi simple qu'accepter, et aucune case n'est cochée par défaut. Une bannière qui charge déjà le code de suivi avant que le visiteur ait fait son choix n'est pas conforme. Choisissez une extension de cookies qui bloque réellement les scripts, et vérifiez-le dans les outils de développement de votre navigateur (F12, onglet Réseau).

Vous souhaitez compter vos visiteurs sans bannière ? Consultez Mesurer l'audience sans bannière de cookies.

Contenu externe

Lorsqu'une page charge un élément provenant d'un tiers, le navigateur de votre visiteur le récupère auprès de ce tiers. Celui-ci voit alors au minimum l'adresse IP, même sans cookies. Passez donc en revue ce que votre site charge depuis l'extérieur :

• Polices provenant d'un service externe : hébergez-les sur votre propre hébergement.
• Vidéos : utilisez le mode d'intégration respectueux de la vie privée de la plateforme, ou une image qui ne charge la vidéo qu'après un clic.
• Cartes : une image avec un lien vers la carte.
• Captchas, fenêtres de chat et widgets : choisissez une variante sans service externe, ou chargez-les uniquement après consentement.
• Avatars dans les commentaires : dans WordPress, ils passent par défaut par Gravatar. Désactivez-les si vous n'en avez pas besoin (Réglages > Discussion).

Ce qui reste doit être mentionné dans votre politique de confidentialité.

Formulaires

• Ne demandez que ce dont vous avez besoin. Pour une demande de rappel, un nom et un numéro de téléphone suffisent.
• Veillez à ce que votre site fonctionne uniquement en https : consultez Activer et renouveler un certificat SSL et résoudre les problèmes.
• De nombreuses extensions de formulaire enregistrent chaque envoi dans la base de données, en plus de l'e-mail. Définissez une durée de conservation, ou désactivez l'enregistrement si l'e-mail suffit. Le journal d'une extension SMTP contient lui aussi les envois.
• L'inscription à la newsletter fait l'objet d'une case distincte, non cochée par défaut.

La politique de confidentialité

Dans votre politique de confidentialité, vous indiquez notamment aux visiteurs :

• qui vous êtes et comment vous joindre ;
• quelles données vous traitez, dans quel but et sur quelle base légale ;
• avec qui vous les partagez, et si elles sont transférées en dehors de l'UE ;
• combien de temps vous les conservez ;
• quels sont leurs droits, comme l'accès et l'effacement, et qu'ils peuvent déposer une plainte auprès de l'AP ;
• quels cookies et services externes votre site utilise.

Lors de l'installation, WordPress crée un brouillon de page Politique de confidentialité et propose des exemples de textes dans Réglages > Confidentialité. C'est un point de départ, pas un texte prêt à l'emploi. Placez un lien vers la politique de confidentialité dans le pied de page et à côté de chaque formulaire. Dans Outils, vous pouvez exporter ou effacer les données personnelles d'un utilisateur si quelqu'un en fait la demande.

Si vous créez votre site avec AI Builder, celui-ci peut rédiger une politique de confidentialité à partir du contenu de votre site et afficher une bannière de cookies pour les services de tiers. Relisez toujours le texte et complétez ce qui manque.

L'accord de sous-traitance avec votre hébergeur

Si vous confiez le traitement de données personnelles à un tiers, comme votre hébergeur, un service d'e-mail ou une extension liée à un service cloud, ce tiers est un sous-traitant. Vous devez alors conclure un accord de sous-traitance. Avec WebOké, vous en disposez déjà : il est annexé à nos conditions générales. Consultez Accord de sous-traitance : où le trouver ? Pour les autres services que vous utilisez sur votre site, réglez cela avec le service concerné.

En cas de problème, comme un piratage ou une fuite de sauvegarde, il peut s'agir d'une violation de données que vous devez signaler. Consultez Violations de données sur le site de l'AP et Au secours ! Mon site a été piraté. Comment résoudre le problème et l'éviter ?

Un plan d'action en bref

1. Dressez la liste de tout ce qui, sur votre site, traite des données personnelles : formulaires, comptes, commandes, commentaires, statistiques, newsletter.
2. Examinez ce que votre site envoie à des tiers lors du chargement.
3. Supprimez ce qui n'est pas nécessaire et remplacez ce qui peut être plus respectueux de la vie privée.
4. Demandez le consentement pour ce qui reste et qui le nécessite réellement.
5. Concluez les accords de sous-traitance et rédigez ou révisez votre politique de confidentialité.
6. Réexaminez le tout chaque année, ainsi qu'après chaque nouvelle extension ou chaque nouveau service.

Le choix en matière de cookies sur weboke.nl est décrit dans Cookies sur WebOké : consulter ou modifier votre choix. Cet article concerne notre site, pas le vôtre.

Pour aller plus loin sur le site de l'Autoriteit Persoonsgegevens

• Cookies : mettre en place une bonne politique
• Règles de base pour des bannières de cookies claires
• Droit à l'information

Envie d'en savoir plus ? Suivez le cours WordPress gratuit, leçon 9.3 RGPD : cookies, formulaires et politique de confidentialité.