Comment construire une analytique web conforme au RGPD sans cookies

Exploiter un service d'analytique respectueux de la vie privée signifie chercher constamment des moyens d'améliorer la protection de la vie privée des utilisateurs tout en fournissant une analytique web utile. Le défi central est de fournir des comptages de visites uniques et de pages vues totales sans perturber l'expérience du visiteur. Aucun propriétaire de site web ne souhaite afficher des pop-ups intrusifs de consentement aux cookies à moins que la loi ne l'exige.

Voici un aperçu technique de la manière dont une analytique sans cookies et respectueuse de la vie privée peut être mise en oeuvre.

Éviter les technologies similaires aux cookies

Pour atteindre une pleine conformité avec la directive ePrivacy, y compris le PECR et les autres transpositions nationales, un outil d'analytique doit éviter toutes les formes de technologies similaires aux cookies :

1. Cookies
2. localStorage
3. sessionStorage
4. Données dérivées de l'« équipement terminal » (fuseau horaire, dimensions de l'écran, etc.)

Ces contraintes sont en fait raisonnables du point de vue de la vie privée. Inspecter les données stockées sur l'appareil d'un visiteur semble intrusif, ces limitations techniques s'alignent donc bien avec une philosophie respectueuse de la vie privée.

Suivre les visites sans cookies

Toute plateforme analytique significative a besoin de la capacité de distinguer entre les visites uniques et les pages vues brutes. Les comptages de pages vues seuls, sans données de visites, fournissent des insights limités sur les véritables schémas de trafic.

Le traitement de certaines données personnelles (spécifiquement les adresses IP et les chaînes User-Agent, telles que définies par le RGPD) est autorisé selon les six bases juridiques du règlement. Les opérateurs de sites web peuvent s'appuyer sur l'intérêt légitime quand il n'y a pas de risque pour la personne concernée et quand une anonymisation appropriée est appliquée.

L'approche consiste à combiner plusieurs points de données pour générer un hash unique par visiteur :

1. Une valeur de sel rotative liée à l'adresse IP et à l'identifiant du site
2. L'adresse IP elle-même
3. La chaîne User-Agent
4. Le nom d'hôte (le domaine du site web)
5. Un identifiant spécifique au site

Ces entrées sont traitées par un algorithme de hachage SHA256, produisant une sortie comme : cd3f1ed906bb12b62dd5eff809aa1778211a02d1c11992476f0c9977c0db0646

Les hash résultants sont mathématiquement irréversibles. Il est important de noter que le hachage diffère fondamentalement du chiffrement. Les données chiffrées peuvent être déchiffrées avec la bonne clé, alors que le hachage est strictement unidirectionnel.

La rotation quotidienne de la chaîne de sel à minuit ajoute une couche supplémentaire de protection contre les avancées futures en puissance de calcul et les attaques par tables arc-en-ciel.

Le résultat est un hash anonymisé stocké dans la base de données qui ne peut pas être utilisé pour identifier un individu.

Conformité Schrems II

Suite à l'arrêt Schrems II de 2020, les fournisseurs d'analytique opérant à l'international doivent également répondre aux exigences de transfert de données de l'UE. Puisque plusieurs autorités européennes de protection des données ont jugé Google Analytics non conforme, toute alternative respectueuse de la vie privée doit démontrer une conformité robuste.

Une approche efficace consiste à créer une infrastructure européenne isolée où aucun trafic de l'UE ne quitte jamais les serveurs basés dans l'UE. Les données subissent des rondes supplémentaires de hachage utilisant des clés de chiffrement stockées exclusivement sur l'infrastructure de l'UE avant de toucher tout service hors UE. L'accès à ces serveurs peut être restreint aux ingénieurs basés dans l'UE ou dans des pays ayant des décisions d'adéquation RGPD, comme le Canada. Même les systèmes CI/CD peuvent être auto-hébergés au sein de l'UE pour maintenir un isolement complet.

Le rôle de l'anonymisation

L'objectif du hachage des données des visiteurs est de garantir qu'aucun individu ne puisse jamais être identifié à partir des données analytiques collectées. C'est le fondement d'une analytique véritablement respectueuse de la vie privée.

La conformité au RGPD, au CCPA et au PECR ne devrait pas être une réflexion après coup. Le considérant 26 du RGPD fournit des orientations clés :

Considérant 26	Analyse
Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés, tels que l'individualisation.	Avec un hachage approprié, une personne physique ne peut pas être individualisée. Les mises à jour de pages vues se font dans des transactions de base de données uniques, et les journaux de requêtes ne sont pas conservés.
Il convient de prendre en considération l'ensemble des facteurs objectifs, tels que les coûts de l'identification et le temps nécessaire à celle-ci.	Le cassage par force brute d'un hash de 256 bits coûterait environ 10^44 fois le PIB mondial -- rendant l'identification inversée essentiellement impossible avec la technologie actuelle ou prévisible.
Les principes de protection des données ne devraient pas s'appliquer aux informations anonymes ou aux données personnelles rendues anonymes de telle sorte que la personne concernée ne soit plus identifiable.	Les données correctement hachées rendent les individus non identifiables, plaçant potentiellement une telle analytique en dehors du champ d'application du RGPD.
Le présent règlement ne concerne pas le traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche.	Même si le RGPD était jugé applicable, il existe un intérêt commercial légitime à comprendre les performances du site web via des statistiques agrégées et anonymisées.

Réflexions finales

Construire une analytique sans cookies tout en fournissant des métriques de visites significatives est réalisable grâce à une application soignée des techniques de hachage et d'anonymisation. Certaines plateformes analytiques sans cookies ne suivent que les pages vues, omettant entièrement les données de visites uniques. Pour les entreprises qui dépendent de la compréhension des schémas de trafic, les visites uniques représentent une métrique critique que les techniques de préservation de la vie privée décrites ici peuvent fournir efficacement.