Pour le RGPD et le tracking server-side, le serveur ne fait pas tout. Il faut aussi vérifier le consentement, les données envoyées et leur durée de conservation.
Cet article vous montre comment collecter ces données en respectant le RGPD.
Le tracking server-side, une architecture à part entière
Fonctionnement du flux
Le tracking server-side déplace une partie du traitement des événements vers un conteneur sur un serveur. Le navigateur envoie une requête. Le serveur la transforme, puis la distribue aux outils autorisés.
Le navigateur envoie les événements vers une adresse contrôlée par l’entreprise. Le conteneur serveur reçoit ces requêtes et applique des règles. Il transmet ensuite uniquement les données retenues aux destinataires.
Le navigateur reste présent dans le dispositif. Il peut exécuter un script, stocker un identifiant ou envoyer une requête avant le traitement serveur. Les balises non essentielles restent toutefois bloquées jusqu’au choix de l’utilisateur, et le serveur ne reçoit ni ne transmet d’événement soumis au consentement avant cette autorisation.
Traitement sur le serveur
Le serveur peut filtrer un paramètre, supprimer un identifiant ou modifier une valeur. Il peut aussi bloquer l’envoi vers un destinataire. Il limite les données transmises à chaque outil selon la finalité déclarée.
L’anonymisation côté serveur doit être effective et documentée. Supprimer une adresse IP ne suffit pas. D’autres informations peuvent encore identifier une personne ou relier plusieurs événements. Le filtrage serveur ne supprime pas les données déjà reçues ni celles inscrites dans les journaux techniques.
Le déplacement du traitement ne modifie ni la finalité ni la base légale du traitement des données personnelles, encadré par le RGPD. L’article 82 de la loi Informatique et Libertés encadre l’accès aux informations du terminal, notamment le dépôt de traceurs, qui reste distinct de cette base légale.
Points à vérifier sur le traitement serveur
- Lister les paramètres que le conteneur serveur filtre ou supprime.
- Contrôler que l’anonymisation de l’adresse IP est effective côté serveur.
- Documenter les données transmises à chaque outil selon la finalité déclarée.
- Identifier les cookies et traceurs que le navigateur pose avant le traitement serveur.
Les principes RGPD appliqués à la collecte
Définir les finalités
Chaque flux de données correspond à une finalité précise, comme la mesure d’audience, l’attribution d’une conversion publicitaire ou la personnalisation d’un contenu. Une même donnée ne peut pas être réutilisée pour une finalité incompatible.
La description du traitement précise les finalités, les catégories de données, les événements, les destinataires, les durées de conservation, les accès, les transferts et les mesures de sécurité. Elle figure au registre des traitements.
L’information est fournie au moment de la collecte, dans un langage compréhensible. Elle présente l’identité du responsable du traitement, les finalités, les catégories de données et les droits disponibles.
La durée de conservation dépend de la finalité. Une analyse ponctuelle justifie une suppression rapide, tandis qu’un historique de performance nécessite une durée plus longue. Aucune conservation indéfinie ne se justifie.
Limiter les données et les accès
Le principe de minimisation impose de transmettre uniquement les données nécessaires à l’événement. Un événement de consultation exclut donc l’adresse électronique, le contenu d’un formulaire et tout identifiant sans utilité analytique.
Les accès au conteneur, aux journaux techniques et aux exports sont limités selon les fonctions. Les droits d’administration restent séparés des droits de lecture et font l’objet d’une revue régulière. Chaque compte d’administration est individuel et utilise une authentification forte.
La mesure d’audience exemptée
La mesure d’audience peut bénéficier d’une exemption de consentement si elle est limitée à la mesure d’audience pour l’éditeur. Elle ne couvre ni le suivi sur plusieurs sites ou applications, ni le recoupement avec d’autres traitements, ni la transmission des données à des tiers.
Cette exemption ne couvre pas le suivi d’une personne sur plusieurs sites ou applications. Elle exclut également le recoupement avec d’autres traitements et la transmission des données à des tiers.
Pour ces traceurs, la CNIL recommande une durée de vie limitée à 13 mois, sans prolongation automatique, et une conservation des informations d’audience limitée à 25 mois. Les utilisateurs doivent être informés.
Vérifications avant la collecte
- Rattacher chaque flux à une finalité précise.
- Vérifier que la description du traitement figure au registre des traitements.
- Contrôler que l’information est affichée au moment de la collecte.
- Fixer une durée de conservation distincte pour chaque finalité.
- Limiter les accès au conteneur, aux journaux et aux exports.
- Configurer la durée de vie des traceurs d’audience à 13 mois maximum.
Les points essentiels de la conformité
Le consentement commande le déclenchement
Le site transmet uniquement les événements compatibles avec l’état du consentement. Les balises non essentielles soumises au consentement restent bloquées jusqu’à l’acceptation de la finalité correspondante.
Le bandeau présente l’acceptation et le refus de manière équivalente. Un refus accessible après plusieurs écrans ne constitue pas un choix présenté avec la même simplicité.
Points à vérifier sur le bandeau
- Refus disponible au même niveau que l’acceptation, dès le premier écran
- Balises non essentielles bloquées tant que l’utilisateur n’a pas fait son choix
- Consentement distinct pour l’analyse publicitaire, la personnalisation et la mesure d’audience
Le consentement reste séparé par finalité. L’analyse publicitaire, la personnalisation et la mesure d’audience soumise au consentement peuvent être acceptées indépendamment.
La réduction des données
Le filtrage serveur complète cette réduction. Il ne constitue pas le seul contrôle, car une donnée a déjà circulé jusqu’au serveur et peut avoir été enregistrée dans des journaux techniques.
Les champs de formulaire, les adresses électroniques, les numéros de contrat et les identifiants publicitaires nécessitent une règle explicite. Chaque champ est associé à une finalité et à un destinataire.
La protection des prestataires
Le responsable du traitement conserve la maîtrise des finalités et des choix de collecte. Il retient uniquement des sous-traitants présentant des garanties suffisantes et vérifie leurs mesures techniques, leur politique de sécurité, leurs certifications et leur capacité à assister l’entreprise en cas d’incident.
Le contrat définit l’objet, la durée, la nature et la finalité du traitement. Il précise aussi les types de données, les catégories de personnes, les instructions documentées et les conditions de recours à un sous-traitant ultérieur.
Le chiffrement protège les transmissions entre le navigateur, le serveur et les destinataires. Le chiffrement des données stockées s’ajoute lorsque les journaux contiennent des données personnelles.
La sous-traitance ne transfère pas la responsabilité de conformité. Le responsable du traitement conserve la maîtrise des finalités et des choix de collecte. Le contrat précise les instructions documentées, les destinataires et les conditions de recours à un sous-traitant ultérieur.
Consentement, cookies et base légale
Recueillir et gérer le consentement
Le recueil et la gestion du consentement reposent sur cinq exigences :
- Un acte positif clair : une case précochée, le silence ou la simple poursuite de la navigation ne suffisent pas à autoriser un traceur soumis au consentement.
- Un bouton de refus disponible avec une visibilité et un nombre d’actions comparables à ceux du bouton d’acceptation, sur mobile comme sur ordinateur.
- Un retrait possible à tout moment, depuis un lien ou un module accessible sur le service, avec une procédure aussi simple que celle d’acceptation.
- Après un retrait, des balises qui cessent de produire de nouveaux événements, et des identifiants ou données déjà stockés traités selon la procédure de suppression, d’anonymisation ou de limitation.
- Un choix transmis au conteneur serveur avec chaque requête ou conservé dans un mécanisme fiable, avec une règle distincte pour l’acceptation, le refus et l’absence de choix.
Choisir la base légale
Le consentement aux cookies et la base légale du traitement constituent deux obligations distinctes. Le consentement encadre l’accès au terminal et le déclenchement des traceurs soumis à cette exigence. La base légale justifie le traitement des données personnelles reçues.
Le traitement peut reposer sur le consentement, le contrat, une obligation légale, une mission d’intérêt public, la sauvegarde des intérêts vitaux ou l’intérêt légitime, selon la finalité. Les balises soumises au consentement restent bloquées jusqu’à l’accord correspondant.
L’intérêt légitime exige une analyse en trois temps :
- L’entreprise identifie son intérêt.
- Elle vérifie la nécessité du traitement.
- Elle le met en balance avec les droits et les attentes raisonnables des personnes.
L’intérêt légitime ne permet pas de déposer un traceur soumis au consentement sans accord préalable. Il peut justifier le traitement de données déjà collectées légalement, mais ne dispense pas du respect de l’article 82 ni des règles applicables aux traceurs.
Mettre en place un tracking server-side conforme
Préparer le dispositif
La préparation suit cinq étapes, réalisées avant toute configuration technique :
- Le traitement est décrit en détail : finalités, données, événements, destinataires, durées, accès, transferts et mesures de sécurité figurent dans un même document.
- Les rôles sont attribués entre le responsable du traitement, l’équipe marketing, l’équipe technique, l’hébergeur et les fournisseurs. Cette répartition indique qui décide, qui configure et qui exécute.
- L’inventaire des traceurs, tags, événements et flux précise, pour chaque élément, le déclencheur, la donnée envoyée, la finalité, le destinataire et la base légale retenue.
- Chaque élément est classé selon trois situations : fonctionnement strictement nécessaire, mesure d’audience répondant aux critères d’exemption, ou traitement nécessitant un consentement préalable.
- Les conditions d’une analyse d’impact relative à la protection des données sont examinées. La présence d’au moins deux critères, comme la surveillance systématique, le profilage ou le croisement de données, peut rendre l’AIPD nécessaire.
Configurer les flux
Le site transmet uniquement les événements compatibles avec l’état du consentement. Les balises publicitaires et d’analyse soumises au consentement restent bloquées tant que l’utilisateur n’a pas accepté la finalité correspondante.
Le navigateur envoie les événements au serveur et peut exécuter un script, stocker un identifiant ou envoyer une requête avant le traitement serveur. Le conteneur serveur réalise les transformations, le routage et le filtrage, puis transmet uniquement les données retenues aux destinataires.
Les champs sensibles ou inutiles sont associés à une finalité et à un destinataire. Une règle explicite de suppression s’applique aux champs concernés avant l’envoi à un destinataire tiers, avec une trace vérifiable dans les journaux techniques.
Une balise publicitaire déclenchée avant le choix de l’utilisateur transmet des données sans base légale valable.
Contrôler et documenter
Quatre points de contrôle encadrent la mise en service :
- Chaque événement est testé avec un consentement accepté, refusé, retiré et indéterminé. Le contrôle vérifie la réception dans le conteneur et la transmission effective à chaque destinataire.
- Les champs reçus sont comparés aux champs transmis. Un événement peut être correctement déclenché tout en envoyant une donnée excessive à un outil secondaire.
- Les durées de conservation s’appliquent aux bases analytiques, aux journaux serveur, aux exports et aux sauvegardes. Une suppression dans l’outil final ne suffit pas si une copie reste accessible ailleurs.
- La preuve du consentement est conservée avec la version du bandeau, la finalité présentée, la date du choix et le statut transmis au conteneur.
Sécuriser le serveur, les prestataires et les transferts
Prestataires et sécurité
La localisation du serveur ne suffit pas à définir le régime applicable. La chaîne complète doit être examinée. Elle inclut les sous-traitants ultérieurs, les équipes qui accèdent aux données et les lieux d’administration.
La procédure d’incident prévoit une alerte rapide. Elle indique les interlocuteurs à contacter et les informations à transmettre. Elle précise l’assistance attendue des sous-traitants pour évaluer la violation dans les délais réglementaires.
Les accès d’administration utilisent une authentification forte. Chaque compte est individuel. Les journaux d’accès permettent d’identifier les opérations réalisées sur les données et les configurations.
Contrôles avant de valider la chaîne
- Lister les sous-traitants ultérieurs et leur pays d’implantation.
- Identifier les équipes qui accèdent aux données.
- Repérer les lieux d’administration du serveur et des outils.
- Définir les coordonnées des interlocuteurs en cas d’incident.
- Activer l’authentification forte sur tous les accès d’administration.
- Conserver les journaux d’accès pour retracer les opérations.
Transferts et risques
Un transfert hors de l’Espace économique européen exige un niveau de protection suffisant. Il peut s’appuyer sur une décision d’adéquation, des clauses contractuelles types ou des règles internes contraignantes.
Avec des clauses contractuelles types, l’entreprise évalue la législation du pays destinataire. Elle examine aussi ses pratiques. Des mesures complémentaires, comme le chiffrement ou la pseudonymisation, peuvent être nécessaires.
Une AIPD est réalisée avant la mise en œuvre lorsque le traitement présente un risque élevé. Elle décrit le traitement et évalue sa nécessité et sa proportionnalité. Elle prévoit ensuite des mesures de réduction des risques.
Mesurer le fonctionnement sans confondre mesure et conformité
Contrôles techniques
Trois contrôles permettent de vérifier le fonctionnement :
- Les requêtes reçues par le conteneur serveur : URL utilisée, type d’événement, statut du consentement et origine.
- Les événements produits : paramètres reçus, transformations effectuées, champs supprimés et tags déclenchés.
- La séparation des parcours d’acceptation, de refus et de retrait. Un parcours refusé empêche les traitements soumis au consentement, y compris après un changement de page.
Indicateurs à suivre
Les indicateurs techniques et juridiques ont des objectifs distincts. Le volume d’événements décrit l’activité du dispositif. Le statut de consentement vérifie, lui, le respect des règles de déclenchement.
| Indicateur | Ce qu’il mesure | Où le vérifier | Délai de réaction |
|---|---|---|---|
| Requêtes reçues | Fonctionnement du point d’entrée serveur et volume d’appels | Journaux du conteneur et outil de supervision | Immédiat |
| Événements transmis | Données réellement envoyées à chaque destinataire | Journaux serveur et outils de destination | Quelques minutes |
| Taux de blocage avant consentement | Respect du verrouillage des tags non essentiels | Tests automatisés et rapports de contrôle | À chaque version |
| Statut accepté ou refusé | Transmission correcte du choix utilisateur | Plateforme de gestion du consentement et conteneur | Immédiat |
| Champs supprimés | Application des règles de minimisation | Journaux filtrés et tests de données | À chaque événement |
| Durée de conservation | Respect des périodes prévues | Bases analytiques, sauvegardes et journaux | Selon la fréquence de revue |
| Traceurs d’audience exemptés | Respect des critères d’usage limité et d’information | Audit de configuration et documentation | À chaque changement |
Ce qui marche
Vérifier que le statut de consentement accompagne chaque événement transmis.
À éviter
Se fier au volume d’événements seul pour juger de la conformité.
Les erreurs qui fragilisent la conformité
Erreurs de consentement
Trois erreurs fragilisent le dispositif :
- Le traitement serveur ne rend pas la collecte automatiquement conforme : il améliore le contrôle des flux, mais les obligations relatives au consentement, à l’information, aux finalités et à la conservation restent applicables.
- La poursuite de la navigation ne vaut pas accord. L’absence d’action ou la fermeture du bandeau est traitée comme une absence de consentement pour les traceurs concernés.
- Un consentement global pour plusieurs finalités réduit la précision du choix. Les finalités publicitaires, analytiques et de personnalisation sont décrites séparément lorsque leurs traitements diffèrent.
Erreurs de collecte et de transfert
La transmission d’un identifiant ou d’un champ personnel répond à un besoin précis. Une donnée conservée par habitude élargit la surface d’exposition. Elle complique aussi la justification du traitement.
Le filtrage serveur ne supprime pas les risques liés aux journaux, aux sauvegardes et aux accès d’administration. Ces composants suivent les mêmes règles de conservation et de sécurité.
Le tracking server-side ne dispense pas des obligations du RGPD. Avant la mise en service, chaque événement est testé avec un consentement accepté, refusé, retiré et indéterminé. Le taux de blocage avant consentement est suivi à chaque version.
