Marketing et RGPD : comment documenter vos outils et analytics

Vouloir consigner l'ensemble de vos actions marketing sous une étiquette unique « communication » est une erreur juridique. Chaque finalité répond à des règles différentes : - L'analyse d'audience pure peut bénéficier d'une exemption de consentement préalable si elle respecte les critères stricts fixés par la CNIL (art. 82 de la loi Informatique et Libertés). - La prospection commerciale par e-mail et la publicité ciblée relèvent de régimes distincts selon que vous vous adressez à des particuliers (consentement préalable obligatoire) ou à des professionnels (information et droit d'opposition). - La localisation des serveurs détermine l'existence d'un transfert de données hors de l'Union européenne et les garanties juridiques à fournir. Pour que votre registre soit clair et opposable, séparez vos flux en deux fiches opérationnelles.

Cette première fiche s'applique aux outils mesurant la fréquentation et les performances techniques de votre site (Matomo, Piwik PRO, Google Analytics 4, Piano Analytics). - Nom du traitement : Mesure d'audience et analyse de performance du site web. - Finalité principale : Établir des statistiques de consultation globales, analyser l'ergonomie, repérer les erreurs de navigation et adapter les capacités des serveurs. - Base légale (RGPD & traceurs) : • Intérêt légitime (art. 6.1.f RGPD) couplé à l'exemption de consentement traceurs (art. 82 LIL) : uniquement si l'outil est configuré pour l'exemption (adresse IP masquée, pas de suivi entre plusieurs domaines, données non réutilisées par l'éditeur du logiciel). • Consentement préalable (art. 6.1.a RGPD) : obligatoire si votre outil dépose des traceurs publicitaires, croise des données avec d'autres services ou ne satisfait pas aux critères d'exemption CNIL. - Catégories de données collectées : Adresse IP (tronquée ou anonymisée à la source), identifiant technique de session, type de navigateur (User-Agent tronqué), pages consultées, horodatage. - Personnes concernées : Visiteurs du site internet. - Destinataires des données : Équipe interne en charge du site et le prestataire technique fournissant la solution de mesure (sous-traitant). - Transfert hors Union européenne : • Aucun si les données sont hébergées dans l'Espace Économique Européen. • Sous-traitant certifié au Data Privacy Framework (DPF) ou Clauses Contractuelles Types de la Commission européenne en cas d'hébergement sur des serveurs américains. - Durées de conservation : • Traceurs sur le terminal de l'internaute : 13 mois maximum, sans renouvellement automatique lors des visites suivantes. • Données statistiques brutes associées : 25 mois maximum. - Mesures de sécurité techniques : Chiffrement TLS (HTTPS), troncature de l'IP dès la réception du paquet, purge systématique des paramètres marketing personnels dans les URL collectées.

Cette seconde fiche couvre vos formulaires de contact, vos abonnements à la lettre d'information et vos interactions CRM. - Nom du traitement : Gestion de la prospection commerciale et communication par e-mail. - Finalité principale : Répondre aux sollicitations commerciales, envoyer des informations sur vos services, gérer les désinscriptions et suivre la délivrabilité technique des envois. - Base légale : • Consentement préalable (opt-in) : obligatoire pour toute prospection par e-mail vers des particuliers (B2C) ou inscription volontaire à une newsletter. • Intérêt légitime (art. L. 34-5 du CPCE) : applicable en prospection interentreprises (B2B) si le message est directement lié à l'activité professionnelle du destinataire, avec possibilité d'opposition immédiate et sans frais (opt-out). - Catégories de données collectées : Identité (nom, prénom), coordonnées professionnelles (adresse e-mail, téléphone), nom de l'entreprise, date de soumission du formulaire, statut d'abonnement. (Rappel : les pixels espions traçant l'ouverture individuelle de chaque message pour du profilage exigent un consentement préalable). - Personnes concernées : Prospects ayant soumis une demande, abonnés à la lettre d'information, clients de l'entreprise. - Destinataires des données : Pôle commercial ou marketing interne, et plateforme d'envoi d'e-mails (sous-traitant). - Durées de conservation : Trois ans à compter du dernier contact actif émanant du prospect (demande d'information, clic sur un lien), ou suppression immédiate dès la notification de désinscription. - Mesures de sécurité techniques : Authentification à double facteur (2FA) sur la console de messagerie, contrôle strict des droits d'accès, protocoles d'authentification SPF, DKIM et DMARC configurés sur le nom de domaine.

1. La mention « conservation indéfinie » : La CNIL sanctionne systématiquement l'absence de terme précis. Toute durée inscrite au registre doit être chiffrée et justifiée par un motif précis. 2. Confondre audience et reciblage : Si vous implantez un pixel publicitaire (Meta, LinkedIn, Google Ads), celui-ci ne peut en aucun cas être rattaché à l'analyse d'audience exemptée. Il requiert une base légale distincte (consentement préalable) et une information claire sur votre bandeau. 3. Omettre l'accord de sous-traitance : Tout outil externe auquel vous confiez des données agit sous le statut de sous-traitant (art. 28 du RGPD). Vous devez vérifier l'existence d'un contrat de sous-traitance des données (Data Processing Agreement ou DPA) signé ou validé en ligne avec chaque prestataire.

Votre registre des activités de traitement doit évoluer avec vos pratiques : l'intégration d'un nouvel outil d'analytics, l'ajout d'un champ dans un formulaire ou le recours à un prestataire d'envoi d'e-mails exige une actualisation immédiate de votre documentation interne. Pour savoir concrètement où se situe votre site en matière de traceurs, d'accessibilité et d'obligations légales, notre scanner évalue votre exposition en deux minutes sur cinq référentiels clés. Et si vous souhaitez déléguer la mise en ordre de vos traitements, les professionnels indépendants du réseau vous accompagnent pour formaliser une conformité solide et pérenne. Testez votre site gratuitement en deux minutes sur ITWATCHYOU.