Comment ajouter Google Analytics à votre politique de confidentialité ?

Une politique de confidentialité¹ est une déclaration qui informe une personne concernée sur la manière dont ses données seront traitées. Dans le cas d'un site web, une politique de confidentialité informera le visiteur du traitement de ses données et des finalités de ce traitement (optimisation du site web, analyse de marché, etc.).

Lors de la création d'une entreprise ou de l'exploitation d'un site web, ce n'est pas la partie la plus excitante, mais il est important de cocher cette case. Pour vous faciliter la tâche, nous avons dressé une liste des éléments à prendre en compte.

1. Quel est l'objectif d'une politique de protection de la vie privée ?
2. Ai-je besoin d'une politique de confidentialité pour Google Analytics ?
3. Comment rédiger une politique de confidentialité ?
4. Exemple de politique de protection de la vie privée à plusieurs niveaux
5. Modèle de politique de confidentialité de Google Analytics
6. Quand ma politique de confidentialité doit-elle être affichée ?
7. Quelles informations ma politique de confidentialité doit-elle contenir ?
8. Réflexions finales

Entrons dans le vif du sujet !

Quel est l'objectif d'une politique de protection de la vie privée ?

L'objectif premier d'une politique de confidentialité est de fournir des informations à une personne concernée (en l'occurrence, le visiteur de votre site web) sur le traitement de ses données, conformément au principe de transparence².

Vous devez informer l'utilisateur du traitement de ses données - quelles données vous traitez, sur quelle base, dans quel but, etc. Vous devez également informer l'utilisateur des droits que lui confère le GDPR (comme demander l'effacement des données et déposer une plainte). Vous devez également faciliter l'exercice de ces droits en fournissant un point de contact pour toute demande ou question que l'utilisateur pourrait avoir.

N'oubliez pas qu'une politique de protection de la vie privée s'adresse directement à l'utilisateur. Les informations doivent être aussi claires et accessibles que possible³. Utilisez un langage simple et laissez le jargon aux avocats !

Ai-je besoin d'une politique de confidentialité pour Google Analytics ?

Oui, vous en avez besoin. Google Analytics collecte des cookies et des adresses IP, qui constituent des données à caractère personnel au sens du GDPR. Vous devez également obtenir le consentement des utilisateurs pour traiter les cookies, car ils relèvent de la directive "vie privée et communications électroniques"⁴. C'est le cas pour les cookies de première partie et de tierce partie (ces derniers sont associés à un domaine différent de celui que l'utilisateur visite et ont tendance à porter davantage atteinte à la vie privée).

Comment rédiger une politique de confidentialité ?

Ce n'est pas sorcier, mais ce n'est pas simple non plus. Votre politique de confidentialité doit contenir de nombreux éléments d'information spécifiques pour être conforme à l'article 13 du RGPD. 13 DU GDPR. En même temps, elle doit être concise, accessible et claire pour être conforme à l'article 12, paragraphe 1, du RGPD. 12(1) DU GDPR.

Il peut être difficile d'inclure toutes les informations requises tout en conservant une politique simple et accessible, mais une approche stratifiée⁵ peut vous aider à trouver un équilibre. Une politique de protection de la vie privée à plusieurs niveaux fournit d'emblée les informations les plus importantes. Elle renvoie le lecteur à d'autres ressources pour des informations plus détaillées (par exemple, en établissant un lien vers différentes pages ou vers les en-têtes pertinents d'une notice unique plus détaillée).

Exemple de politique de protection de la vie privée à plusieurs niveaux

Tout d'abord, un avertissement nécessaire : il ne s'agit pas d'un avis juridique et ne doit pas être considéré comme tel. Chaque avis doit être adapté à un site web spécifique. Veuillez ne pas copier-coller votre avis à partir de notre site ou de n'importe quel autre site Internet ! Si vous avez des connaissances en matière de droit de la protection de la vie privée, rédigez-en une vous-même ou demandez à un expert de le faire pour vous.

Ceci étant dit, voici un exemple de modèle de politique de confidentialité à plusieurs niveaux :

Chez awesomewebsite.com, nous utilisons Google Analytics pour collecter des données. Nous avons besoin de ces données pour comprendre comment vous utilisez notre site web afin d'en améliorer la conception et les fonctionnalités. Nous avons également besoin de ces données pour tirer le meilleur parti de nos campagnes de marketing.

Avec votre accord, Google Analytics traitera et collectera vos données personnelles (cookies et adresse IP) afin de nous fournir des informations précieuses. Google Analytics transférera vos données aux États-Unis et les conservera pendant 6 mois. Pour en savoir plus sur les règles de transfert de données de Google, cliquez ici.

Vous disposez de certains droits sur vos données : par exemple, vous pouvez exiger que nous les supprimions ou que nous vous en fournissions une copie. Nous assumons la responsabilité du traitement de vos données. Nous sommes disponibles pour répondre à toute question et traiter toute demande de votre part. Cliquez ici pour en savoir plus sur vos droits et sur la manière dont vous pouvez nous contacter.

Veuillez exprimer votre préférence en matière de cookies :

1. Je consens au traitement des cookies non essentiels
2. Je refuse le traitement des cookies non essentiels Nous ne lirons ni n'écrirons de cookies sans votre consentement.

Modèle de politique de confidentialité de Google Analytics

Chez awesomewebsite.com, nous utilisons Google Analytics pour collecter des données. Nous avons besoin de ces données pour comprendre comment vous utilisez notre site web afin d'en améliorer la conception et les fonctionnalités. Nous avons également besoin de ces données pour tirer le meilleur parti de nos campagnes de marketing.

Vous devez indiquer toutes les finalités pour lesquelles vous traitez les données et les distinguer clairement les unes des autres. Il ne s'agit que d'un exemple : si vous recueillez des données à caractère personnel à d'autres fins, vous devez le mentionner.

Avec votre accord, Google Analytics traitera et collectera vos données personnelles (cookies et adresse IP) pour nous fournir des informations précieuses. Google Analytics transférera vos données aux États-Unis et les conservera pendant x mois. Pour en savoir plus sur les règles de transfert de données de Google, cliquez ici.

Ce lien vous permet d'expliquer que Google Ireland Ltd. transfère des données à Google LLC et qu'ils utilisent des clauses contractuelles standard pour protéger les données. Vous devez préciser ce que cela signifie en langage clair. Par exemple :

Les clauses contractuelles types sont des clauses juridiques rédigées par la Commission européenne. Elles font partie d'un contrat entre Google Ireland Ltd. et Google LLC, et Google LLC doit les respecter. Les clauses contractuelles types indiquent à Google LLC ce qu'elle peut et ne peut pas faire avec vos données.

Il n'est pas nécessaire de reproduire le contenu des clauses, mais vous pouvez fournir un lien vers la documentation de Google.

Veuillez noter que le fait de fournir ces informations ne rend pas le transfert de données licite. Google Analytics est pratiquement interdit dans quatre pays de l'UE (Autriche, France, Italie et Danemark) parce que les transferts de données entre Google Ireland et Google LLC ont été jugés contraires au chapitre V du GDPR, et d'autres pays pourraient suivre. Il n'y a rien que vous puissiez faire de réaliste à ce sujet: si vous utilisez Google Analytics, vous acceptez un risque de non-conformité. Nous avons écrit davantage sur le sujet ici.

Un débat s'est ouvert sur la question de savoir si toutes les versions de Google Analytics sont jugées illégales ou seulement la version actuelle (Universal Analytics). La réponse courte est que les violations s'appliquent aux deux versions de Google Analytics. Nous avons écrit plus longuement sur ce sujet dans ce blog.

Vous disposez de certains droits sur vos données : vous pouvez par exemple exiger que nous les supprimions ou que nous vous en fournissions une copie. Nous assumons la responsabilité du traitement de vos données. Nous sommes disponibles pour répondre à toute question et traiter toute demande de votre part. Cliquez ici pour en savoir plus sur vos droits et sur la manière dont vous pouvez nous contacter.

Vous y trouverez des informations sur le droit d'accès⁶, le droit de retirer son consentement⁷, le droit à l'effacement⁸, le droit d'introduire une réclamation dans l'État membre où la personne concernée vit ou travaille⁹, et éventuellement le droit d'opposition¹⁰. Si vous traitez des données à caractère personnel sans consentement¹¹, veillez à préciser les catégories de données que l'utilisateur peut vous demander d'effacer. Précisez également que c'est vous qui êtes responsable du traitement des demandes, et non Google.

Vous devez toujours fournir les coordonnées de votre organisation et, si vous disposez d'un DPD et d'un représentant de l'UE, vous devez également les contacter. Les informations de contact sont très importantes dans la pratique. Ne vous contentez pas de remplir un courriel et de l'oublier : veillez à ce que les demandes soient transmises à quelqu'un qui les traitera effectivement ! Les entreprises sont souvent condamnées à des amendes si elles ne répondent pas rapidement aux demandes.

Si vous disposez d'un DPD, dirigez l'utilisateur vers lui pour toute demande - le traitement de ces demandes fait partie du travail du DPD. Si vous n'avez pas de DPD, la bonne pratique consiste à charger quelqu'un de votre organisation de répondre aux demandes. Indiquez un contact direct dans votre politique de confidentialité¹² afin que les demandes ne soient pas oubliées dans le courrier de l'organisation.

Veuillez indiquer votre préférence en matière de cookies :

• Je consens au traitement des cookies non essentiels
• Je refuse le traitement des cookies non essentiels Nous ne lirons ni n'écrirons de cookies sans votre consentement.

Ce choix doit être présenté en termes clairs et non trompeurs : oui ou non. Si l'utilisateur dit "non", respectez sa décision et ne lui montrez plus la bannière des cookies.

Un utilisateur peut vouloir accepter des cookies à des fins spécifiques ; par exemple, il peut accepter des cookies de première partie pour l'optimisation du site web et refuser des cookies de marketing de tierce partie. L'inclusion d'une option de "personnalisation" est acceptable si l'option de refus de tous les cookies est visible, facilement accessible et clairement formulée. N'obligez pas les utilisateurs à passer par cinq paramètres de cookies différents pour dire "non", et n'imposez pas de choix confus comme "accepter" ou "personnaliser".

De nombreuses entreprises ne conçoivent pas elles-mêmes les bannières de cookies et font appel à une plateforme de gestion des consentements. Les mêmes suggestions s'appliquent : en bref, assurez-vous que vos bannières de cookies sont claires et qu'elles permettent aux utilisateurs de refuser facilement leur consentement.

Enfin, si vous collectez des données personnelles sans consentement, vous devez également inclure cette information. Par exemple, vous pouvez ajouter une dernière phrase telle que : "Nous collecterons tout de même certaines données si vous n'avez pas donné votre accord :

Nous continuerons à collecter certaines données si vous ne donnez pas votre consentement. Cliquez ici pour en savoir plus.

Dans le lien, vous pouvez préciser quelles données vous collectez et sur quelle base juridique¹³.

Quand ma politique de confidentialité doit-elle être affichée ?

Si vous utilisez Google Analytics, vos règles de confidentialité doivent s'afficher dès que l'utilisateur arrive sur votre site web¹⁴. Vous devriez également l'inclure sur votre site web afin que les utilisateurs qui reviennent puissent accéder facilement à l'information.

D'un point de vue pratique, il est judicieux de fusionner votre politique avec votre bannière relative aux cookies, comme nous l'avons fait dans notre modèle. Vous avez de toute façon besoin d'une bannière relative aux cookies, et une fenêtre contextuelle gênante vaut mieux que deux.

Par ailleurs, le GDPR prévoit que le retrait du consentement doit être aussi facile que son obtention¹⁵. Votre site web doit donc permettre aux utilisateurs de retirer facilement leur consentement d' une manière ou d'une autre. La manière n'a pas vraiment d'importance, tant que l'option est sans problème et facilement accessible. Il peut donc être pratique d'inclure un bouton de retrait ou une option similaire dans la politique affichée sur votre site web. Mais n'oubliez pas que ce mécanisme de refus ne peut pas lui-même recueillir le consentement: vous devez toujours le faire dans votre bannière de cookies !

Quelles informations ma politique de confidentialité doit-elle contenir ?

Votre politique de confidentialité doit contenir toutes les informations requises par l'art. 13 DU GDPR. Dans le cas de Google Analytics, il s'agit des informations suivantes

• la finalité et la base juridique du traitement
• les coordonnées du responsable du traitement, du délégué à la protection des données et du représentant de l'UE (le cas échéant)
• les droits de l'utilisateur en tant que personne concernée (y compris le droit d'introduire une réclamation)
• si les données seront divulguées à des tiers
• si les données seront transférées en dehors des États-Unis, et avec quelles garanties
• la durée de conservation des données.

Vous pouvez considérer l'art. 13 comme une liste de contrôle que vous pouvez passer en revue pour vous assurer que votre politique est conforme. En fait, nous avons rédigé notre modèle en pensant à cet article. Mais il ne suffit pas de couvrir toutes les informations : comme nous l'avons dit, ces informations doivent être fournies sous une forme claire et accessible.

Réflexions finales

Notre modèle fournit les informations dans le cadre d'une bannière de cookies parce que c'est pratique. Mais pour être clair, une politique de confidentialité ne concerne pas seulement les cookies: si vous collectez d'autres données personnelles, vous devez également en informer l'utilisateur.

Un dernier mot : en matière de protection de la vie privée, il existe un fossé important entre la théorie et la pratique. De nombreux sites web fournissent des informations moins complètes que nécessaire, et très peu de sites web permettent de retirer facilement son consentement. Vous pouvez donc vous en sortir, mais vous ne serez toujours pas conforme au GDPR.

Conclusion : Oubliez les informations requises à vos risques et périls (et vous vous sentirez mal dans votre peau).

... et si (la plupart de) ces informations n'étaient pas nécessaires ? ... et s'il existait un outil d'analyse fournissant des données d'analyse web sans nécessiter de politique de confidentialité détaillée ? ... et si vous pouviez obtenir des informations sur le trafic de votre site web sans avoir besoin d'un cookiebanner ?

Oui, c'est possible... Nous avons créé Simple Analytics dans cette optique. Nous voulions créer un outil d'analyse web qui fournisse des informations sur le trafic d'un site web sans avoir besoin de cookies pour collecter des données personnelles. Nous croyons en la création d'un web indépendant et convivial pour les visiteurs de sites web. Si vous êtes d'accord avec cette idée, n'hésitez pas à nous essayer.

¹ : Pour être pédant, il s'agit en fait d'un avis de confidentialité. Une politique de confidentialité est un document interne qui énonce des règles et des lignes directrices sur le traitement des données à caractère personnel au sein d'une organisation. Les deux termes sont souvent utilisés de manière interchangeable, même par les professionnels de la protection de la vie privée ² : Art. 5(1) DU RGPD ³ : Art. 12(1) DU RGPD ⁴ : Art. 5, paragraphe 3, de la directive "vie privée et communications électroniques" ⁵ : Lignes directrices du WP29 sur la transparence en vertu du règlement 2016/679, par. 35 et 36. ⁶ : Art. 15 DU GDPR ⁷ : Art. 7, PARAGRAPHE 3, DU GDPR ⁸ : Art. 17 DU GDPR ⁹ : Art. 77 DU GDPR. Voir également WP29, Lignes directrices sur la transparence en vertu du règlement 2016/679, annexe, p. 39. ¹⁰ : Cela ne s'applique que si vous traitez des données sur la base d'un intérêt légitime : voir l'art. 21 DU RGPD. ¹¹ : Oui, cela peut être licite - mais pas pour les cookies. Voir l'art. 6(1) GDPR et notre blog sur le consentement¹² : Pour être clair, vous devez toujours inclure les coordonnées générales de votre organisation ¹³ : Les bases juridiques sont un sujet complexe. Notre blog sur le consentement aborde brièvement le principe de légalité et quelques bases juridiques autres que le consentement. Nous reviendrons peut-être sur ce sujet à un moment donné ¹⁴ : Art. 13 GDPR ¹⁵ : Art. 7(3) GDPR.