RGPD : minimiser coûte moins cher que consentir
Le bandeau de cookies est traité comme la mise en conformité. C'est l'inverse : il est la conséquence d'un choix technique évitable.
La conformité est presque toujours abordée par la fin : un bandeau, une politique de confidentialité de six pages, et le sujet est classé.
Le bandeau n’est pas une mesure de conformité. C’est le prix à payer pour un choix technique antérieur — celui de déposer des traceurs.
Ce qui déclenche le bandeau
Le consentement est requis pour ce qui n’est pas strictement nécessaire au service : traceurs publicitaires, partage avec des régies, mesure d’audience détaillée, boutons de réseaux sociaux qui pistent avant même le clic.
Un site qui n’en dépose aucun n’a rien à faire consentir. Il n’a donc pas de bandeau, pas de gestion de préférences, pas de registre de consentement à conserver, et pas de risque d’implémentation défaillante — la source principale de sanctions en la matière.
Le raisonnement vaut au-delà des cookies : chaque donnée non collectée est une donnée qui n’a pas à être sécurisée, conservée, purgée, ni restituée en cas de demande d’accès.
Mesurer sans déposer de traceur
L’objection habituelle est la perte de la mesure d’audience. Elle est partiellement infondée.
Les solutions de mesure sans cookie, exemptées de consentement sous conditions, donnent les pages vues, les sources de trafic et les parcours. Ce qu’elles ne donnent pas — le suivi individuel entre sessions — est précisément ce qui déclenche l’obligation.
Pour un site vitrine, l’écart entre les deux est faible. Pour un commerce en ligne avec attribution publicitaire, il est réel, et le consentement devient un choix assumé plutôt qu’un réflexe.
Les durées de conservation, presque toujours absentes
C’est le point le plus souvent manquant, et l’un des plus simples à traiter. Chaque catégorie de données a une durée, écrite, et une purge automatique qui l’applique.
Trois ans après le dernier échange pour une demande commerciale, treize mois pour une donnée de mesure, la durée légale pour ce qui relève de la comptabilité. Une purge qui n’existe que dans la politique de confidentialité n’existe pas.
Les sous-traitants oubliés
L’hébergeur, le service d’envoi de courriels, l’outil de formulaire, la solution de discussion en ligne : chacun traite des données pour votre compte, et chacun doit figurer au registre avec un contrat adapté.
Le formulaire de contact hébergé chez un tiers gratuit est le cas le plus fréquemment ignoré.
L’ordre qui fait gagner du temps
Recenser ce qui est collecté, supprimer ce qui ne sert pas, fixer une durée pour le reste, et seulement ensuite rédiger la politique de confidentialité.
Écrire le document en premier conduit à décrire des traitements supprimables, et à s’engager publiquement sur des pratiques non appliquées.