Le RGPD est la référence mondiale de la réglementation sur la vie privée. C'est une loi de l'UE, mais elle touche toute entreprise qui a des visiteurs de l'UE. Pour les statistiques, le RGPD est clair : il vous faut un consentement explicite avant de suivre la plupart des comportements des utilisateurs, vous devez documenter votre base légale et vous devez respecter le droit des utilisateurs d'accéder à leurs données et de les supprimer. Comprendre le RGPD est la base pour construire des statistiques conformes partout dans le monde.
Les exigences clés du RGPD pour les statistiques
Le RGPD définit les données personnelles au sens large : tout ce qui peut identifier une personne, directement ou indirectement. Une adresse IP est une donnée personnelle. Un cookie unique est une donnée personnelle. Les adresses e-mail, numéros de téléphone et identifiants relèvent tous du RGPD. Pour les statistiques, cela veut dire que presque tout suivi déclenche des exigences du RGPD.
L'exigence de consentement
Le RGPD exige un consentement explicite et éclairé avant de pouvoir collecter la plupart des données personnelles. Cela signifie : l'utilisateur doit accepter activement (pas simplement ne pas refuser), il doit comprendre ce à quoi il consent (pas caché dans du jargon juridique), et le consentement doit être libre (pas contraint). Pour les statistiques, cela veut en général dire un bandeau de cookies qui explique clairement le suivi effectué et obtient un clic actif sur « J'accepte ».
Le consentement est la base légale la plus courante pour les statistiques sous le RGPD. Certaines entreprises invoquent plutôt un « intérêt légitime », mais les tribunaux l'ont considérablement restreint. Pour la plupart des usages statistiques, partez du principe qu'il vous faut un consentement.
L'intérêt légitime comme alternative
Certaines finalités statistiques (détection de fraude, sécurité du site, suivi de performance de base) peuvent être autorisées au titre de l'« intérêt légitime » sans consentement explicite. Mais l'intérêt légitime exige : le besoin de l'entreprise doit être réel, la collecte de données doit être proportionnée à ce besoin, et les droits à la vie privée des utilisateurs ne doivent pas l'emporter sur votre intérêt. La plupart des statistiques échouent à ce test. Partez du principe qu'il vous faut un consentement pour la plupart du suivi.
L'accord de traitement des données
Si vous utilisez un outil de statistiques tiers (comme Google Analytics), il vous faut un accord de traitement des données (DPA) avec ce fournisseur. Le DPA établit que le fournisseur est votre sous-traitant, pas un responsable de traitement indépendant. Sans DPA, vous pouvez être tenu responsable des pratiques du fournisseur. Avec un DPA, la responsabilité est clairement définie.
Les droits des utilisateurs sous le RGPD
Le RGPD donne aux personnes six droits principaux qui touchent les statistiques : le droit de savoir quelles données vous détenez (droit d'accès), le droit de faire corriger des données inexactes, le droit de faire supprimer des données (droit à l'oubli), le droit de limiter le traitement, le droit à la portabilité des données et le droit de s'opposer au traitement.
Droit d'accès
Les utilisateurs peuvent demander toutes les données que vous détenez sur eux. Vous devez répondre sous 30 jours avec un dossier complet. Pour les statistiques, cela veut dire qu'il vous faut des systèmes pour retrouver et présenter les données d'un utilisateur donné. Si vos statistiques sont stockées de façon difficile à retrouver, vous avez un problème de conformité au RGPD.
Droit à l'oubli
Les utilisateurs peuvent demander la suppression de leurs données. Vous devez vous y conformer sous 30 jours (avec quelques exceptions pour les obligations légales). Pour les statistiques, cela veut dire que vous devez pouvoir supprimer les enregistrements d'un utilisateur. Si vos données statistiques sont agrégées ou anonymisées, c'est plus facile. Si elles sont liées à des identités individuelles, il faut des systèmes de suppression.
Droit d'opposition
Les utilisateurs peuvent s'opposer à tout traitement de leurs données. Vous devez arrêter (sauf motif légal impérieux de continuer). Pour les statistiques, cela veut dire qu'il faut un moyen simple pour les utilisateurs de refuser le suivi. Le refus doit être aussi facile à utiliser que l'acceptation.
La conformité au RGPD en pratique
La conformité au RGPD pour les statistiques exige : une politique de confidentialité claire et facile à trouver ; un bandeau de cookies demandant un consentement explicite avant le suivi ; un accord de traitement des données avec votre fournisseur de statistiques ; des systèmes pour répondre aux demandes d'accès et de suppression sous 30 jours ; et la possibilité pour les utilisateurs de retirer leur consentement à tout moment.
Infractions courantes au RGPD dans les statistiques
Cases de consentement pré-cochées : l'utilisateur doit cliquer activement pour consentir. Une case déjà cochée n'est pas un consentement valable.
Consentement groupé : les utilisateurs doivent consentir séparément aux statistiques. Vous ne pouvez pas regrouper le consentement aux statistiques, au marketing et à d'autres finalités dans un seul interrupteur.
Pas d'accord avec le fournisseur : utiliser un outil de statistiques tiers sans DPA est une infraction. Les pratiques du fournisseur sont votre responsabilité.
Pas de refus possible : si le consentement est exigé pour le suivi, les utilisateurs doivent avoir un moyen clair de refuser. Les liens de refus cachés ne comptent pas.
Suppression impossible : promettre de supprimer des données sans avoir les systèmes pour le faire est une infraction. La suppression doit être techniquement possible.
Le RGPD et les transferts de données
Le RGPD restreint le transfert des données de résidents de l'UE hors de l'UE, sauf si des protections équivalentes existent. Si votre fournisseur de statistiques stocke les données aux États-Unis, il vous faut un mécanisme juridique (clauses contractuelles types, règles d'entreprise contraignantes) pour rendre le transfert conforme au RGPD. C'est un point douloureux fréquent pour les équipes statistiques. De nombreux outils américains proposent désormais des serveurs dans l'UE ou des garanties de résidence des données pour résoudre cela.
En quoi le consentement RGPD diffère-t-il de l'intérêt légitime ? Pourquoi ne pas s'appuyer sur l'intérêt légitime pour les statistiques ?
Le consentement est un accord explicite (opt-in). L'intérêt légitime consiste à affirmer que vos besoins business l'emportent sur les préoccupations de vie privée. Les tribunaux ont restreint l'intérêt légitime parce que les entreprises en ont abusé. Pour les statistiques : le suivi des pages vues pour la performance peut relever de l'intérêt légitime. Un suivi comportemental détaillé probablement pas. Les autorités de l'UE disent : si c'est pour du marketing ou de l'analyse comportementale, obtenez un consentement. Ne présumez pas que l'intérêt légitime fonctionne. Approche sûre : considérez que les statistiques exigent un consentement.
Que signifie concrètement une explication claire dans un bandeau de cookies ?
Clair veut dire un langage simple et lisible, pas du jargon juridique. Spécifique veut dire que vous indiquez ce que vous suivez, sans formules vagues comme « améliorer votre expérience ». Exemple de vague : « Nous utilisons des cookies statistiques. » Exemple de clair : « Nous utilisons Google Analytics pour mesurer les visites de pages, les clics sur les boutons et le temps passé sur la page afin d'améliorer le site. » Incluez : le nom de l'outil, ce qu'il collecte, pourquoi vous le collectez, la durée de conservation et si vous le partagez avec des tiers. Test : une personne non technique pourrait-elle comprendre ce que vous suivez sans cliquer vers votre politique de confidentialité ? Si oui, c'est assez clair.
Ai-je besoin d'un DPA avec Google Analytics, ou seulement avec des fournisseurs spécialisés ?
Il vous faut un DPA avec tout outil qui traite des données personnelles. Google Analytics traite des données personnelles (IP, sessions, identifiants d'utilisateur), donc oui. Google fournit un DPA automatiquement via ses conditions. Vérifiez : connectez-vous à Google Analytics et confirmez que vous avez accepté leur avenant de traitement des données. Les fournisseurs de statistiques spécialisés traitent aussi des données personnelles, donc il vous faut des DPA avec eux. La plupart fournissent des DPA dans leurs conditions ou en documents séparés. Règle : si le fournisseur touche à des données personnelles, il vous faut un DPA. Si vous ne pouvez pas en obtenir, n'utilisez pas ce fournisseur.
Quelle est la différence entre les clauses contractuelles types et les décisions d'adéquation ?
Ce sont deux mécanismes pour transférer légalement des données de l'UE hors de l'UE. Une décision d'adéquation signifie que l'UE a jugé qu'un pays offre une protection de la vie privée équivalente (les États-Unis n'en ont pas). Les clauses contractuelles types (CCT) sont des contrats qui engagent les fournisseurs aux normes de l'UE. Différence pratique : les décisions d'adéquation sont plus simples, les CCT demandent des contrats. Pour les statistiques, la plupart des fournisseurs (dont Google) proposent des CCT dans leurs DPA. Vérifiez auprès de votre fournisseur : propose-t-il des clauses contractuelles types pour les transferts de données de l'UE ? Si oui, utilisez-les. Sinon, n'utilisez que des fournisseurs avec stockage des données dans l'UE.
Si je reçois une demande d'accès aux données, que dois-je fournir exactement depuis les statistiques ?
Tout ce que vous avez sur cette personne dans un format lisible. Depuis Google Analytics : toutes les sessions et tous les événements (si vous suivez des identifiants d'utilisateur) ou des identifiants de session. Incluez : dates, pages visitées, événements déclenchés, temps passé sur la page, toute donnée d'identification personnelle (noms, e-mails). Depuis d'autres systèmes : cartes de chaleur, enregistrements de sessions, suivi comportemental. Exportez en PDF ou en HTML, pas en extractions brutes de base de données. L'utilisateur doit comprendre sans connaissances techniques. Si vous ne pouvez pas retrouver facilement les données d'un utilisateur, vous avez un problème RGPD. La plupart des plateformes permettent l'export par utilisateur. Si la vôtre ne le permet pas, changez de plateforme ou construisez un export sur mesure.
Mon concurrent n'a pas de bandeau de cookies et suit les utilisateurs. Comment est-il conforme au RGPD ?
Soit : (1) Il n'est pas vraiment conforme et espère que les régulateurs ne le repèrent pas (risqué). (2) Il soutient que son suivi relève de l'intérêt légitime (les tribunaux sont sceptiques). (3) Il ne suit que des données anonymisées ou agrégées (pas de consentement nécessaire). (4) Il ne suit que des cookies essentiels (connexion, CSRF : pas de consentement nécessaire). (5) Il opère là où l'application du RGPD est faible. Réalité : beaucoup violent le RGPD sans jamais se faire prendre. Mais le risque est réel : une seule plainte déclenche une enquête et des amendes. Approche intelligente : partez du principe que le RGPD s'applique si vous avez des visiteurs de l'UE, mettez en place le consentement correctement, ne comptez pas sur la non-conformité de vos concurrents.