Un guide pratique de Analyse Web conforme à GDPR sans consentement

Ce guide explique Analyse Web conforme à GDPR sans consentement de manière pratique, avec un accent sur les décisions d'analytics respectueuses de la vie privée.

L’analyse Web sans consentement est possible dans certains cas, mais les conditions sont plus strictes que ce que suggèrent de nombreux articles de blog. La question n’est pas de savoir si l’outil se dit sans cookie. La question est de savoir si l’accès aux appareils non essentiels est évité et le traitement des données personnelles, ou s’il existe une autre base juridique valable pour un traitement limité.

Il s’agit d’un aperçu des risques juridiques et non d’un conseil juridique. Les équipes opérant dans des secteurs réglementés ou dans plusieurs pays EU doivent valider leur configuration avec un avocat.

Les deux questions de consentement

Il y a deux questions distinctes :

1. L'outil d'analyse stocke-t-il des informations sur l'appareil du visiteur ou accède-t-il à des informations à partir de celui-ci ?
2. L'outil d'analyse traite-t-il les données personnelles ?

La première question vient des règles ePrivacy. L'article 5, paragraphe 3, de la directive ePrivacy exige le consentement pour stocker ou accéder à des informations sur des équipements terminaux, sauf exception. Les Directives 2/2023 finales de EDPB indiquent clairement que cela ne se limite pas aux cookies.

La deuxième question vient de GDPR. Si l'analyse traite des données personnelles, vous avez besoin d'une base légale, de transparence, de minimisation, de limites de conservation et de processus relatifs aux droits des personnes concernées. Le consentement est une base légale, mais pas la seule. Cependant, lorsque ePrivacy nécessite un consentement pour le mécanisme de collecte, ce consentement détermine souvent également l'analyse GDPR en aval.

Quand l'analyse sans consentement est la plus Plausible

L’analyse sans consentement est plus défendable lorsque l’outil :

• ne définit pas de cookies
• n'utilise pas localStorage, sessionStorage, IndexedDB ou un stockage similaire
• ne prend pas d'empreintes digitales sur les appareils
• n'utilise pas d'identifiants d'utilisateur persistants
• ne collecte pas les adresses brutes IP dans les rapports
• paramètres de requête de suppression ou de liste blanche
• utilise uniquement des rapports agrégés
• ne partage pas de données avec les réseaux publicitaires
• ne combine pas les données analytiques des clients
• maintient la rétention courte

Les guides de mesure d'audience de CNIL constituent une référence utile pour ce type de configuration. Il autorise des exemptions limitées en matière de mesure d'audience uniquement dans des conditions strictes et indique que la plupart des offres de mesure d'audience à grande échelle ne sont pas éligibles, quelle que soit la configuration.

Les intérêts légitimes ne constituent pas une solution de contournement en matière de cookies

Certaines équipes déclarent : « Nous nous appuyons sur des intérêts légitimes pour l'analyse. » Cela peut être pertinent sous GDPR pour un traitement limité, mais cela ne remplace pas les exigences de consentement de ePrivacy lorsque l'outil stocke ou accède aux informations sur l'appareil de l'utilisateur.

En d’autres termes : si vos analyses nécessitent un cookie non essentiel, vous ne pouvez généralement pas éviter le consentement aux cookies en invoquant des intérêts légitimes.

Qu'en est-il des journaux du serveur ?

Les journaux de serveur de base peuvent être nécessaires à la sécurité, au débogage et à la fourniture de services. Les analyses construites à partir de journaux peuvent présenter moins de risques que le suivi basé sur un navigateur, mais elles ne sont pas automatiquement anonymes. Les adresses IP peuvent être des données personnelles en vertu de la loi EU, et des journaux détaillés peuvent révéler un comportement.

Si vous utilisez des journaux à des fins d'analyse :

• séparer les journaux de sécurité des rapports d'analyse
• tronquer ou anonymiser rapidement les adresses IP
• exclure les chemins sensibles
• limiter la rétention
• restreindre l'accès
• agréger avant de déclarer

Ne transformez pas discrètement les journaux de sécurité en un produit d’analyse comportementale.

Qu’en est-il des identifiants hachés ?

Le hachage n'anonymise pas automatiquement les données. Si la même entrée produit le même résultat et que vous pouvez relier les visites au fil du temps, le résultat peut toujours être des données personnelles pseudonymes. Les sels rotatifs, les fenêtres courtes et la dérivation unidirectionnelle réduisent les risques, mais n'excusent pas un suivi illimité.

Utilisez les clés de visite dérivées uniquement lorsque cela est nécessaire, alternez-les fréquemment et évitez de les utiliser sur plusieurs sites ou sur de longues périodes.

Un arbre de décision pratique

Posez ces questions :

1. L'outil définit-il ou lit-il quelque chose sur l'appareil de l'utilisateur ?
   • Si oui, cochez le consentement ePrivacy ou une exemption restreinte.
2. L'outil crée-t-il un identifiant stable ?
   • Si oui, traitez-le comme un suivi et évaluez le risque GDPR.
3. L'outil envoie-t-il des données à un tiers ?
   • Si oui, examinez le rôle du fournisseur, son objectif, les transferts et la réutilisation.
4. Les données sont-elles utilisées à des fins publicitaires, de personnalisation ou de profilage ?
   • Si oui, le consentement est probablement requis et le risque pour la vie privée est élevé.
5. Peut-on répondre à la même question commerciale avec des données agrégées ?
   • Si oui, collectez moins.

Que mettre dans votre avis de vie privée

Même si vous n’avez pas besoin d’une bannière de consentement, soyez transparent. Expliquer:

• quel outil d'analyse utilisez-vous
• quelles données sont collectées
• si des cookies sont utilisés
• si les données sont partagées avec des tiers
• période de conservation
• comment les utilisateurs peuvent s'opposer ou poser des questions

La priorité à la vie privée ne signifie pas invisible.

Liste de contrôle des preuves sans consentement

Avant de qualifier l'analyse d'analyse sans consentement, conservez les preuves de quatre affirmations : pas de stockage ou d'accès non essentiel sur l'appareil, pas d'identifiant de visiteur ou d'empreinte digitale stable, pas de publicité ou de réutilisation entre sites, et pas de données personnelles au-delà de ce qui est nécessaire pour une mesure globale. Ajoutez à l'enregistrement des captures d'écran de stockage du navigateur, des exemples de charge utile réseau, des paramètres de conservation et la documentation du fournisseur.

Puis retestez après des modifications du marketing ou du gestionnaire de balises. Le statut sans consentement n'est pas permanent si quelqu'un ajoute un pixel, un ID persistant, une exportation au niveau de l'utilisateur ou une nouvelle destination.

L'essentiel

Le cas d’analyse sans consentement le plus solide est simple : pas de stockage dans le navigateur, pas d’empreintes digitales, pas d’identifiants personnels dans les rapports, pas de réutilisation des publicités, rétention courte et mesure globale limitée à un objectif.

Si votre outil d’analyse doit reconnaître les personnes au fil du temps, enrichir les audiences publicitaires ou combiner les données de plusieurs sites, ce n’est pas la même chose. Cela peut toujours être légal avec le consentement et les contrôles appropriés, mais il ne s’agit pas d’analyses sans consentement axées sur la vie privée.

Documentez le cas sans consentement

Si vous décidez que les analyses peuvent être exécutées sans consentement, documentez le raisonnement sur une seule page. Indiquez si l'outil stocke ou lit les informations sur l'appareil, si les adresses IP sont collectées ou tronquées, si les identifiants sont stables, si les rapports sont regroupés, où les données sont traitées, qui les reçoit et la période de conservation.

Joignez des preuves techniques : captures d'écran de stockage du navigateur, exemples de requêtes réseau, exemples de charge utile d'événement et documentation du fournisseur. Planifiez ensuite une nouvelle vérification après les modifications du produit. Le statut sans consentement peut être perdu si quelqu'un ajoute des empreintes digitales, les IDs utilisateur, des exportations publicitaires ou une intégration de gestionnaire de balises. Il ne s’agit pas de créer de la paperasse pour le plaisir ; il s'agit d'empêcher une implémentation étroite de devenir discrètement un suivi ordinaire.