Web Analytics : protection des données des utilisateurs

L’analyse Web est devenue centrale dans le domaine du marketing digital. De nombreux administrateurs Web ont adopté des outils tels que Google Analytics, Matomo (anciennement Piwik) ou Kissmetrics, qui permettent de comprendre comment un utilisateur se comporte sur un site Web. ÀA partir de ces données, les professionnels du marketing tirent des leçons sur le fonctionnement de leur site et observent s’il est suffisamment intuitif et efficace par rapport à leur processus commercial.

Mais alors que l’utilisation de ces outils d’analyse Web coule de source pour les marketeurs, les défenseurs des droits des consommateurs tirent la sonnette d’alarme sur leau sujet de la protection des données. Il n’est pas toujours clair pour les clients de savoir quelles données sont récupérées et dans quel but. Les points litigieux sont concernent surtout le traitement des données personnelles avec lesquelles les profils utilisateurs sont établis, et les informations qui peuvent en être déduites sur chacun des clients. Pourtant, des règles ont été établies et des solutions simples peuvent être mises en place. En fonction de l’outil de suivi que vous utilisez, il sera peut-être nécessaire d’utiliser un code de programmation pour se conformer à la législation.

Sommaire

Mesure d’audience : le cadre légal pour la protection des données
1. Mesure d’audience : les solutions du RGPD pour protéger les données
2. Utilisation des cookies et mesure d’audience : quels risques ?
Protection des données pour l’analyse Web avec Google Analytics, Matomo et etracker

Essayez gratuitement le serveur Cloud avec IONOS

Testez notre serveur Cloud gratuitement - Testez votre serveur Cloud chez IONOS pendant 30 jours !

REST API

Trafic illimité

Virtualisation VMware

Mesure d’audience : le cadre légal pour la protection des données

Comme l’explique notre article sur (la politique de confidentialité sur Internet (La politique de confidentialité sur Internet), vous êtes tenu en tant qu’administrateur de site de répondre aux exigences de la loi « informatique et liberté » pour préserver la sécurité des données de vos utilisateurs lorsque vous regroupez des informations les concernant. De même, les informations que vous pouvez recueillir grâce à des outils d’audience font l’objet de réglementations.

En principe, il n’y a rien à a objecteré à l’étude de l’activité de son site, à partir du moment où cela a été clairement expliqué aux consommateurs qui s’y aventurent, et que ces derniers ont formellement donné leur accord. Comme l’informe la CNIL (Commission nationale de l'informatique et des libertés) :

« laLa loi impose désormais aux responsables de sites et aux fournisseurs de solutions d'informer les internautes et de recueillir leur consentement avant l'insertion de cookies ou autres traceurs ».

Le Règlement général sur la protection des données (RGPD) attache une grande importance à l’information des utilisateurs. Cela signifie que les administrateurs de sites Internet doivent indiquer clairement quelles sont les données qu’ils stockent sur leur serveur et dans quel but. Il faudra donc éviter les politiques de confidentialités générales ou globales ; si vous souhaitez recueillir différentes données pour des objectifs différents, il faudra demander le consentement de l’utilisateur plusieurs fois (séparément pour chaque utilisation). Il n’est pas non plus permis, comme cela est si souvent le cas, de supposer que « qui ne dit mot consent ». Si les utilisateurs n’expriment pas leur avis en ce qui concerne l’enregistrement de leurs données, le RGPD impose de considérer le casce cas précis comme un refus. Il en va de même pour l’utilisation de cookies.

Mesure d’audience : les solutions du RGPD pour protéger les données

D’après le RGPD, les exploitants de sites Internet peuvent recueillir et traiter les données de leurs utilisateurs de deux manières :

par le biais d’une analyse Web explicitement approuvée par le visiteur ;
par le biais d’une analyse anonyme sur le Web.

Les administrateurs de sites Web qui obtiennent le consentement préalable de leurs visiteurs de créer des profils basés sur leurs données personnelles sont donc conformes à la loi sur la protection des données. À bien noter toutefois, cette demande de consentement doit apparaître dès que le visiteur accède au site. Il n’est pas possible de simplement fondre la déclaration de consentement dans les conditions générales. Au lieu de cela, une fenêtre pop-up s’ouvre la première fois que vous consultez un site Web. Par ailleurs, si l’accord est donné, il appartient à l’exploitant du site Web de rendre lesses données toujours accessibles à l’utilisateur qui peut en faire la demande.

En outre, les utilisateurs doivent pouvoir revenir sur leur consentement à tout moment. Ce retour doit être aussi simple à effectuer que le consentement lui-même. Dès que l’utilisateur change d’avis et l’exprime, l’exploitant de site Web doit cesser le traitement de ses données. Toutefois, les données qui ont déjà été collectées et traitées ne doivent pas nécessairement être effacées. Ce n’est le cas que si l’utilisateur demande explicitement la suppression.

Note

le RGPD exige de répéter la demander de consentement des utilisateurs tous les six mois. Par conséquent, le consentement de l’utilisateur doit être daté. Autrement, votre système d’analyse Web risque de ne pas être conforme à la règlementation.

Le RGPD donne également aux utilisateurs un droit à l’information : ces derniers ont le droit de savoir quelles données ont été stockées jusqu’à présent. Pour les administrateurs de site, il est donc important de pouvoir à tout moment communiquer toutes les informations recueillies. Le règlement accorde 30 jours pour traiter une demande. Les entreprises de Web analytics ne sont par ailleurs pas autorisées à analyser des données elles-mêmes, car les utilisateurs n’ont généralement pas donné leur consentement. Le consentement n’est normalement accordé qu’à l’administrateur du site.

Être conforme au règlement nécessite donc de gros efforts pour les entreprises qui doivent obtenir le consentement de leurs visiteurs. Il existe un risque que le taux de rebond augmente légèrement du fait de cet obstacle. Dans la pratique, beaucoup d’entreprises optent pour une solution différente. Une alternative est en effet l’analyse Web anonyme. Les informations qui sont recueillies dans le cadre d’une visite sur le site sont enregistrées séparément des données directement liées à l’utilisateur (comme par exemple l’adresse IP, le nom ou le compte de l’utilisateur). Le recoupement ultérieur des données enregistrées séparément n’est pas non plus autorisé sans un accord clair de l’utilisateur.

Note

dans le cas où vous ne seriez pas sûr si les informations que vous enregistrez relèvent de données anonymes ou personnelles, avancez avec prudence. Le législateur parle de données anonymes seulement lorsqu’il n’est pas possible de les attribuer à une personne, même après coup.

Pour se conformer à la réglementation RGPD, vous pouvez également décider de masquer les IP. Ainsi, les derniers chiffres de l’adresse IP ne sont pas visibles. ÉEtant donné que les outils d’analyse classiques récupèrent et traitent automatiquement les adresses IP des utilisateurs, par exemple avec la géolocalisation, il est généralement nécessaire de procéder à des configurations. Vous trouverez dans cet article des instructions détaillées pour les outils de tracking Google Analytics, Matomo et etracker.

Mais avant -tout, vous trouverez ci-dessous quelques points auxquels il est important de faire tout particulièrement attention.

Opt-in

La demande de consentement pour le traitement des données personnelles doit s’effectuer par le biais de l’u opt-in. Il n’est pas possible de s’appuyer sur un consentement tacite ou sur une procédure opt-out. Tant que l’utilisateur n’a pas accepté explicitement l’enregistrement de ses données, il n’est pas est impossible d’enregistrer les données personnelles. Cela signifie également que des informations telles que celles autour de la première visite de l’internaute sur votre site ne peuvent pas être stockées : un enregistrement est seulement possible après accord.

Remarque

étant donné que le RGPD n’est entré en vigueur que récemment et que tous les détails du texte de la loi n’ont pas encore été clairement formulés, certaines ambiguïtés subsistent. Par exemple, il n’est actuellement pas très clair de savoir si la procédure d’opt-in est également nécessaire uniquement pour une analyse Web. Les premières procédures judiciaires sur le sujet clarifieront probablement le RGPD en détail.

L’obligation d’information

À partir du moment où des techniques de suivi sont utilisées sur le site Web, les administrateurs de site sont tenus d’informer les utilisateurs que leur comportement est évalué et mesuré sous forme de profil d’utilisateurs. Ils doivent également indiquer aux utilisateurs dans quelle mesure cela est fait et dans quel but. La déclaration de protection des données doit par ailleurs être accessible aux visiteurs à tout moment et depuis toute page secondaire. Il est donc recommandé de les intégrer dans la navigation ou dans la zone de pied de page du site Web.

Le droit de s’opposer

Un autre point important pour une analyse Web conforme à la protection des données est la possibilité de s’opposition. Les utilisateurs doivent pouvoir revenir sur leur consentement donné à tout moment. La procédure doit être aussi simple que celle pour donner son accord de collecter des informations personnelles. Dès réception de l’opposition, l’enregistrement des données prend fin pour l’utilisateur concerné.

Contrat avec les sous-traitants pour le traitement des données

Si les administrateurs de sites utilisent des outils de suivi Web qui stockent les données personnelles des utilisateurs sur des serveurs externes, le RGPD prévoit un contrat de traitement électronique des données. La coopération avec le sous-traitant est donc bien encadrée. Le contrat fait référence à la collecte, au traitement et à l’utilisation de données à caractère personnel par un prestataire de services externe. Sont stipulés alors dans un tel accord les droits et obligations des deux parties contractantes.

Utilisation des cookies et mesure d’audience : quels risques ?

Pour analyser votre trafic et mieux saisir le parcours des internautes sur votre site, des cookies (ou traceurs) sont installés par les outils de mesure d’audience. L’utilisation de ces cookies sont encadrés par la loi. Attention toutefois à ne pas mélanger tous les types de traceurs. Certains outils jugés techniquement nécessaires pour le service, comme pour les paniers d’achat ou la configuration de langues ne nécessitent pas de mesures spécifiques.

La directive 2009/136/CE de l’Union Européenne codifie les règles relatives à l’utilisation des traceurs et les obligations d’avertissement de leur utilisation. Depuis 2014, la CNIL a commencé activement à contrôlé les sites internet, les exposant à une éventuelle amende de 150 000 euros en cas de non-respect de la loi. Ainsi, la commission vérifie que l’accord des internautes est sollicité pour l’utilisation des cookies (tout du moins ceux visant à tracer leur comportement). De plus, la requête formulée au visiteur doit être répétée au moins tous les 13 mois.

Vous avez ainsi sûrement remarqué des barres d’informations sur la plupart des sites marchands (voire quasiment la totalité) visant à obtenir votre accord pour l’utilisation de cookies. On voit typiquement apparaître des bandeaux tels que : « En poursuivant votre navigation sur notre site, vous acceptez l'utilisation de cookies pour vous proposer des contenus personnalisés en fonction de vos centres d'intérêt et mesurer la fréquentation de nos services». Ce message doit pouvoir s’ensuivre d’un lien pour en savoir plus et ajuster ses paramètres.

Protection des données pour l’analyse Web avec Google Analytics, Matomo et etracker

En voyant venir l’introduction du RGPD, les développeurs des outils de tracking se sont efforcés d’offrieroffrir e donner des possibilités depour rendre leur outil conforme. En principe toutefois, il incombe à l’exploitant du site Internet de veiller à ce que les conditions du cadre juridique pour l’analyse Web soient respectées.

Voici les exemples de Google Analytics, Matomo et etracker qui montrent comment l’on peut s’en sortir avec les configurations.

Google Analytics

Même le spécialiste de la collecte de données Google a adapté son service d’analyse Web aux nouvelles réglementations de l’UE. Toutefois, il est nécessaire de procéder vous-même aux ajustements suivants pour vous assurer que votre analyse Web est conforme aux exigences de protection des données :

Contrat pour le traitement des données : Google a la position d’un contractant en tant que fournisseur de Google Analytics. Les administrateurs de sites sont donc tenus d’établir un contrat avec le sous-traitant avant d’utiliser l’outil. C’est possible de le faire en ligne.
Conservation des données : dans les paramètres, Google vous permet de faire effacer automatiquement les données stockées au bout d’un certain temps. Sélectionnez la période la plus courte.
Anonymisation des adresses IP : l’anonymisation des adresses IP des utilisateurs peut être réalisée avec Google Analytics grâce à l’extension de code « anonymizeIp ». Cette dernière doit être insérée par vos soins dans le code de programmation de l’outil. Vous trouverez davantage d’informations dans le support assistance de Google sur l’anonymisation. L’outil de tracking peut être utilisé selon deux variantes (Analytics ou Universal Analytics) et le code de programmation va en dépendre. Si vous procédez à des analyses classiques (« Analytics »), l’extension sera insérée par la fonction _anonymizelp de la bibliothèque JavaScript ga.js :

var _gaq = _gaq || [];
_gaq.push (['_setAccount', 'UA-XXXXXXX-YY']);
_gaq.push (['_gat._anonymizeIp']);
_gaq.push (['_trackPageview'])

Avec Universal Analytics, en revanche, il faut utiliser la fonction ga('set', 'anonymizeIp', true de la bibliothèque JavaScript analytics.js :

ga('create', 'UA-XXXXXXX-X', 'exemple.fr');
ga('set', 'anonymizeIp', true);
ga('send', 'pageview');

Politique de confidentialité et droit d’opposition : conformément aux conditions d’utilisation de Google Analytics, les administrateurs de sites Internet sont tenus d’indiquer qu’ils utilisent l’outil dans leur politique de confidentialité. La déclaration doit notamment informer les visiteurs de la possibilité de s’opposer à l’enregistrement des données. Pour une plus grande précision, vous pouvez insérer un lien vers le module de navigateur fourni par Google pour la désactivation de Google Analytics.
Supprimer les anciennes données : les données qui ont été collectées de manière non conformes au RGPD doivent être toutes supprimées sans exception. Dans ce cas, nous vous recommandons de créer directement un nouveau compte Google Analytics pour le site Web concerné.

Matomo (Piwik)

Comme pour le leader du marché, les paramètres pour la protection des données chez Matomo, plus connu sous son ancien nom Piwik, doivent également être ajustés pour vous rendre conformes à la législation européenne, Contrairement à Google Analytics, les données ne sont pas stockées sur un serveur externe avec l’outil open-source Matomo. Un contrat pour le traitement des données n’est donc pas nécessaire, tout du moins pas avec Matomo. Cependant, comme vous stockez probablement vos données personnelles sur un serveur loué, vos CGU doivent être clairement établies avec votre hébergeur.

Anonymisation des adresses IP : par défaut, Matomo doit en principe déjà procéder à l’anonymisation des adresses IP. Pour vous assurer que le réglage est tout de même bien établi, vérifiez les paramètres. Ces derniers vous permettent notamment de spécifier combien d’octets (entre 1 et 3) doivent être anonymisés.
Conservation des données : Matomo vous permet d’effacer régulièrement les données collectées, par exemple après 6 mois. En utilisant les options du menu, vous pouvez également supprimer toutes les anciennes données si elles n’ont pas été enregistrées conformément au RGPD. Vous trouverez plus d’informations dans les FAQ de Matomo.
Déclaration de protection des données et droit d’opposition : la possibilité de revenir sur son consentement qui est obligatoire dans votre déclaration sur la protection des données peut être mise en œuvre sur Matomo par un iframe opt-out. Vous trouverez tous les détails sur le site de l’outil.

<iframe frameborder="no" width="600" height="200" src="http://exemple.tld/index.php?module=CoreAdminHome&action=optOut&lang=de"></iframe>

De plus, Matomo respecte l’exigence « dDo not track », fonctionnalité qu’il ne faut toutefois pas désactiver.

etracker

Tous les réglages de protection des données peuvent être effectués avec etracker sans toucher au code de programmation. Le respect du RGPD de l’outil est en effet l’atout de vente de cette entreprise venue tout droit d’Allemagne.

Contrat pour le traitement des données : les administrateurs de sites Web qui font confiance à etracker ont la possibilité d’utiliser un contrat préétabli pour fixer les conditions des deux parties. En quelques clics, le contrat est validé.
Anonymisation des adresses IP : etracker active par défaut l’anonymat des adresses IP. Il n’est pas nécessaire d’ajouter du code.
Déclaration de protection des données et droit d’opposition : etracker permet aux exploitants de sites Web de se conformer facilement aux normes en vigueur en matière de protection des données, en mettant à disposition un exemple de texte adapté à la situation juridique européenne. Ce texte comprend notamment un lien pour revenir sur son choix. Les paramètres permettent également de mettre en place une solution opt-in.
Supprimer les anciennes données : si des données personnelles d’utilisateurs ont été enregistrées selon une configuration non conforme avant l’application du RGPD, vous devez les supprimer d’etracker sans exception.