MEMO CONFORMITE DES SITES INTERNET

Le présent mémo a pour objectif de faire un point sur la règlementation applicable aux sites internet (non commerciaux) à jour de la règlementation RGPD relative à la protection des données à caractère personnel entrant en application à compter du 25 mai 2018.

Par conséquent les trois sujets ci-dessous sont développés :

les cookies
les mentions légales
les mentions relatives à la protection des données personnelles

CHAPITRE I : LES COOKIES

I. La notion de « cookies »

Qu’est-ce qu’un cookie ?

Il s’agit « d’informations stockées dans l’équipement terminal », qui sont déposées par un site internet sur le terminal d’un utilisateur. Le terme de cookies est à prendre au sens large et couvre l’ensemble des traceurs déposés et/ou lus, par exemple, lors de la consultation d’un site internet, de la lecture d’un courrier électronique, de l’installation ou de l’utilisation d’un logiciel ou d’une application mobile. La loi s’applique quel que soit le type de terminal utilisé.

La durée de vie des cookies

La Commission Nationale de l’Informatique et des Libertés (CNIL) recommande que le délai de validité du consentement au dépôt des cookies soit porté à 13 mois maximum. A l’expiration de ce délai, le consentement devra être à nouveau recueilli. Par conséquent, les cookies doivent avoir une durée de vie limitée à 13 mois après leur premier dépôt dans l’équipement terminal de l’utilisateur. Leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site.

II. Obligations légales en matière de cookies

Avant de déposer des cookies sur le terminal d’un internaute, les éditeurs de sites ou d’application doivent :

Informer l’internaute des finalités précises des cookies
Obtenir le consentement de l’internaute ou fournir à l’internaute un moyen de les refuser

Dans la majorité des cas, les éditeurs de site utiliseront un « bandeau d’information ». Toutefois, l’information de l’internaute et l’obtention de son consentement peuvent être effectuées via d’autres moyens, tels que l’affichage d’une bannière décrivant les finalités des cookies utilisés, des cases à cocher lors de l’inscription à un service en ligne permettant d’accepter le dépôt de cookies par catégories de finalités, des boutons permettant d’activer les fonctionnalités d’un service déposant des cookies (exemple : les plugins des réseaux sociaux).

1. L’information des internautes sur les finalités précises des cookies

L’information de l’internaute sur la finalité des cookies doit être :

précise: l’information doit porter sur un cookie précis associé à une finalité clairement définie,
préalable : l’information doit avoir lieu avant que les cookies soient déposés sur le terminal d’un internaute,
complète: permettre à l’internaute d’être parfaitement informé des différentes finalités de chaque cookie.

2. L’obtention du consentement ou le refus de l’internaute au dépôt des cookies

Le consentement doit être préalable à l’insertion ou à la lecture de cookies

Tant que la personne n’a pas donné son consentement, ces cookies ne peuvent être déposés ou lus sur son terminal. Il doit être requis à chaque fois qu’une nouvelle finalité vient s’ajouter aux finalités initialement prévues.

Le consentement doit être une manifestation de volonté de la part de l’internaute

Le principal changement avec le RGPD vis-à-vis des cookies est que ces derniers sont dorénavant considérés comme des données personnelles et rentrent pleinement dans la définition de l’article 4 qui considère les identifiants en ligne (les cookies persistants, associés uniquement au terminal) en tant que références directes ou indirectes à la personne physique. Le RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque » et par « une déclaration ou un acte positif clair ».

En conséquence :

▪ le consentement ne sera valide que si la personne exerce un choix réel, ce qui induit l’interdiction de boutons ou cases pré-coché(e)s. De ce fait, le fait de se rendre sur une autre page du site ou de cliquer sur un élément du site (image, lien, bouton « recherche », etc…) ne sera plus considéré comme un consentement.

▪ L’utilisateur doit pouvoir accepter ou refuser librement le dépôt des cookies. Le consentement ne peut être valable que si la personne concernée est en mesure d’exercer valablement son choix et n’est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement.

Le consentement doit pouvoir être effectué par finalité de cookies

L’internaute doit avoir la possibilité d’accepter ou de refuser les cookies par finalités (tel que la publicité, les réseaux sociaux, la mesure d’audience, etc…). Autrement dit, l’internaute doit avoir la possibilité d’exprimer son choix après la description de la finalité de chaque famille de cookies.

Elle peut par exemple se matérialiser sur l’écran de l’utilisateur de la façon suivante :

Le consentement doit pouvoir être retiré par l’internaute

Le RGPD précise que le consentement donné doit pouvoir être retiré à tout moment, et ce pour chaque cookie inscrit sur le terminal. Il faudra donc bannir la plupart des systèmes actuels où le bandeau s’évanouit une fois une action effectuée, le bandeau doit rester accessible afin que l’utilisateur puisse y retourner afin de retirer son consentement à certains cookies.

Certains cookies sont toutefois dispensés du recueil de consentement.

III. Liste des cookies, dispensés ou non, du recueil de consentement préalable de l’internaute

1. Quels cookies sont exemptés de recueil du consentement préalable des internautes ?

En vertu de l’article 32-II de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par l’ordonnance de n°2011-1012 du 24 août 2011 relative aux communications électroniques, les règles évoqués ci-dessus ne s’appliquent pas à un cookie :

Qui a « pour finalité exclusive de permettre ou faciliter la communication par voie électronique » ;
Ou qui est « strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ».

Ainsi, par exemple, les cookies suivants ne sont pas concernés par ces règles d’information et de consentement préalable :

Les cookies qui sont utilisés comme « panier d’achat » sur un site marchand ;
Les cookies de « session utilisateur » permettant de lie les actions d’un utilisateur lorsque cela est nécessaire pour lui fournir le service qu’il demande ;
Les cookies qui ont pour unique finalité de contribuer à la sécurité du service demandé par l’utilisateur ;
Les cookies permettant d’enregistrer la langue parlée par l’utilisateur ou autre préférences nécessaires à la fourniture du service ;
Les cookies flash contenant des éléments strictement nécessaires pour faire fonctionner un lecteur média (audio ou vidéo), correspondant à un contenu demandé par l’utilisateur.

Cependant, même si une information préalable n’est pas nécessaire pour ce type de cookie, il est recommandé de fournir une information sur leur utilisation dans la politique de confidentialité du site web.

2. Quels cookies nécessitent le recueil du consentement préalable des internautes ?

Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :

Les cookies liés aux opérations relatives à la publicité ;
Les cookies des réseaux sociaux générés par les boutons de partage de réseaux sociaux lorsqu’ils collectent des données personnelles sans consentement des personnes concernées ;
Certains cookies de mesure d’audience. En effet, pour être exempté de demande de consentement, les cookies de mesure d’audience doivent respecter les conditions suivantes :
- Une information doit être donnée aux utilisateurs qui doivent pouvoir s’opposer au traitement ;
- Les données collectées ne doivent pas être recoupées avec d’autres traitements ;
- Le traceur déposé ne doit servir qu’à la production de statistiques anonymes et ne doit pas permettre le suivi de la navigation sur différents sites ;
- Il ne doit pas être conservé au-delà de 13 mois et ne doit pas être prolongé lors des nouvelles visites ;
- L’utilisation de l’adresse IP pour géo localiser l’usager ne doit pas permettre de déterminer sa rue.

IV. Conséquences du refus d’un cookie

La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service (l’accès à un site internet par exemple). Toutefois, il n’est pas concevable de proposer aux internautes de bloquer tous les cookies dans les paramètres de son navigateur. En effet, certains « first party » cookies (cookies déposés et lus par le site web consulté par l’internaute) sont essentiels au fonctionnement des sites web.

En conséquence, le refus de ces cookies peut avoir pour conséquence de priver l’internaute d’un accès à certains services.

CHAPITRE II : LES MENTIONS LEGALES

Tous sites internet édités à titre professionnel doivent obligatoirement indiquer les mentions légales suivantes :

la dénomination ou la raison sociale de l’entreprise ;
l’adresse exacte du siège social ;
le numéro d’inscription au registre du commerce et des sociétés (RCS) ;
le montant du capital social ;
l’adresse e-mail et le numéro de téléphone du principal contact ;
le nom du directeur de publication ;
le nom de l’hébergeur, sa dénomination ou raison sociale ainsi que son adresse et son numéro de téléphone ;
en cas d’activité commerciale : le numéro individuel d’identification fiscale → numéro de TVA intracommunautaire ;

CHAPITRE III : LE TRAITEMENT DES DONNES A CARACTERE PERSONNEL

La loi informatique et libertés de 78 ainsi que le règlement européen du 27 avril 2016 imposent une information claire des utilisateurs sur l’utilisation de leurs données personnelles. Cette information doit être effectuée pour chaque finalité de collecte des données personnelles. Par ailleurs dans certains cas la collecte desdites données doit faire l’objet d’un consentement express de la personne.

Par conséquent il convient dans un premier temps de déterminer :

quelles sont les données personnelles collectées via le site internet,
pour quelles finalités,
qui a accès à ces données et si celles-ci sont transférées à des tiers (société du groupe ou tiers ?)
quelles sont les durées de conservation
comment est recueilli le consentement des personnes
les modalités d’information des personnes de leur droit et des modalités pour l’exercer (droit d’accès, modification, rectification, suppression..)

Sur le site de BYCN, les données personnelles collectées sont :

via le formulaire de contact :
via la page carrière pour répondre à une offre d’emploi lors de la création d’un compte client.

Il existe donc deux traitements car deux finalités différentes.

La mise en conformité du site peut se faire de deux façons :

soit traiter les données personnelles dans les « mentions légales » regroupant l’ensemble des traitements,
soit traiter les principes généraux du traitement des données personnelles dans l’onglet « mention légale » et les mentions spécifiques au traitement dans les formulaires concernées.

Par conséquent, ci-dessous une proposition de texte avec l’ensemble des mentions qui doivent figurer (à valider ensuite selon l’option retenue) :

Le site www.bouygues-construction.com collecte et traite vos données conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

Vous êtes informés qu’un mécanisme de suivi de navigation peut être mis en œuvre lors de vos visites sur le site Internet www.bouygues-construction.com.

Chaque formulaire ou téléservice du site www.bouygues-construction.com limite la collecte des données personnelles au strict nécessaire (minimisation des données) et indique notamment :

quels sont les objectifs du recueil de ces données (finalités) et la durée de conservation de celles-ci;
si ces données sont obligatoires ou facultatives pour la gestion de votre demande ;
qui pourra en prendre connaissance
vos droits et les modalités d’exercice ;

Pour toute information ou exercice de vos droits sur les traitements de données personnelles gérés par notre société, vous pouvez vous adresser :

• par courrier à :
Bouygues Construction
Direction de la Communication
Contact CNIL, Challenger
1 avenue Eugène Freyssinet
78065 St Quentin-en-Yvelines
France.

• par courrier électronique en cliquant ici.

Pour le formulaire de contact

Bouygues Construction collecte au moyen de ce formulaire vos données personnelles afin de pouvoir apporter une réponse à votre demande d’information. La collecte se limite aux données nécessaires au traitement des demandes et sont destinées à être utilisées uniquement par notre société et seront rendues accessibles à nos prestataires techniques pour les stricts besoins de leur mission.

Vos données sont susceptibles d’être conservées pendant les durées suivantes [ à confirmer]

A l’issue de ces durées, les données seront archivées pendant une durée n’excédant pas les délais de prescription légale et/ou les obligations légales de conservation applicables. Une fois ces délais expirés, les données seront détruites.

Vos données sont utilisées sur la base de votre consentement, que vous pouvez retirer à tout moment sans remettre en cause la licéité initiale de l’utilisation de vos données.

[Variante dans le cas où les données collectées sont ensuite utilisées dans le fichier clients/prospects, la finalité ci-dessus doit être précisée :

Bouygues Construction collecte au moyen de ce formulaire vos données personnelles afin de pouvoir apporter une réponse à votre demande d’information et pour assurer le suivi de ses relations avec les personnes susmentionnées (suivi de la relation client, réalisation d’opérations de fidélisation et de prospection, amélioration du service rendu, etc.). Elles sont conservées xx ans à compter de leur collecte.

Vos données sont utilisées par notre société et ses filiales et seront rendues accessibles à nos prestataires techniques pour les stricts besoins de leur mission.

Vos données sont utilisées sur la base de votre consentement, que vous pouvez retirer à tout moment sans remettre en cause la licéité initiale de l’utilisation de vos données. Le cas échéant les données indispensables sont signalées lors de la collecte [ à indiquer par un *].]

Nous vous rappelons que vous disposez d’un droit d’accès, de rectification sur les données erronées vous concernant, et, dans les cas prévus par la règlementation, d’opposition, de suppression de certaines de vos données, d’en faire limiter l’usage ou de solliciter leur portabilité en vue de leur transmission à un tiers [OPTION applicable en France mais également de définir le sort de vos données après votre mort].

Pour exercer vos droits, il vous suffit d’adresser un email à l’adresse suivante :[ à compléter] et d’y joindre, le cas échéant, toute pièce permettant de justifier votre identité et votre demande.

Pour le formulaire/création du compte dans le cadre d’une remise d’offre

Bouygues Construction collecte au moyen de ce formulaire vos données personnelles afin de gérer votre candidature à un poste au sein de la société et d’en assurer le suivi. Ces données seront conservées jusqu’à ce qu’une décision soit prise concernant votre candidature, puis, en cas de réponse négative, pendant une durée de xx [ à confirmer par les RH] ans afin de permettre à la société de tenir les anciens candidats informé(e)s de l’ouverture de tout nouveau poste pouvant correspondre à leur profil. En cas de réponse positive, les données seront ensuite traitées conformément aux règles applicables en matière de ressources humaines par la société.

Vos données sont utilisées sur la base de votre consentement, que vous pouvez retirer à tout moment sans remettre en cause la licéité initiale de l’utilisation de vos données.

Pour exercer vos droits, il vous suffit d’adresser un email à l’adresse suivante :[ à compléter] et d’y joindre, le cas échéant, toute pièce permettant de justifier votre identité et votre demande.