« Conforme au RGPD » : cette mention figure dans presque toutes les brochures de logiciels, mais la conformité en matière de protection des données ne résulte pas d’une simple étiquette, mais de la combinaison entre les fonctionnalités du logiciel, le lieu d’hébergement et des processus rigoureux. Ce guide explique concrètement ce à quoi les commerçants doivent prêter attention lorsqu’ils choisissent un système de boutique en ligne.
En bref
- La conformité au RGPD est une caractéristique de l’exploitation, et pas seulement du logiciel : le système de boutique en ligne, l’hébergement et les processus doivent être en adéquation.
- L’emplacement du serveur est déterminant pour les questions de transfert vers des pays tiers : un hébergement en Allemagne ou dans l’UE simplifie considérablement la situation juridique.
- Fonctionnalités obligatoires : consentement « opt-in » pour les cookies, outils d’accès aux données et de suppression, « double opt-in », paramètres par défaut favorisant la minimisation des données.
- « Privacy by Design » signifie que la protection des données est un paramètre par défaut, et non une configuration a posteriori.
Qu’est-ce qui rend un système de boutique en ligne conforme au RGPD ?
À strictement parler, un logiciel ne peut à lui seul être « conforme au RGPD » : c’est toujours le commerçant, en tant qu’exploitant, qui en est responsable. Le système de boutique en ligne peut toutefois faciliter ou entraver la conformité. Trois niveaux s’imbriquent : le logiciel (fournit-il les outils nécessaires ?), l’hébergement (où se trouvent les données, qui y a accès, existe-t-il un contrat de sous-traitance ?) et les processus (les droits des personnes concernées sont-ils réellement respectés ?). Si l’on se contente d’examiner la liste des fonctionnalités, on passe à côté des deux autres niveaux.
Pourquoi l’emplacement du serveur a-t-il de l’importance ?
Les données à caractère personnel ne peuvent être transférées vers des pays tiers hors de l’UE que sous certaines conditions particulières – la Cour de justice de l’Union européenne a considérablement renforcé les exigences relatives aux transferts vers les États-Unis dans son arrêt Schrems II (C-311/18). Pour les commerçants, cela signifie que chaque composant cloud américain présent dans leur infrastructure (hébergement, CDN, outils d’analyse) engendre des charges de vérification et de documentation. L'hébergement en Allemagne ou dans l'UE auprès d'un fournisseur européen simplifie structurellement la situation : la question des clauses contractuelles types et des analyses d'impact relatives au transfert ne se pose alors même pas pour le cœur de la boutique en ligne.
Quelles fonctionnalités le système de boutique en ligne doit-il offrir ?
| Exigences | Comment les reconnaître |
|---|---|
| Consentement aux cookies (opt-in) | Le suivi ne démarre qu’après un consentement actif – les cases pré-cochées sont interdites depuis l’arrêt Planet49 de la CJUE (C-673/17). |
| Droits des personnes concernées | L'accès aux données, l'exportation et la suppression des données clients doivent être possibles sans intervention manuelle sur la base de données. |
| Double opt-in | Les inscriptions à la newsletter ne deviennent effectives qu’après réception d’un e-mail de confirmation. |
| Minimisation des données | Masquage des adresses IP dans les statistiques, durées de conservation configurables, commande en tant qu’invité sans obligation de créer un compte. |
| Sous-traitance | Le fournisseur d'hébergement/de logiciels met à disposition un contrat de sous-traitance conformément à l'article 28 du RGPD. |
| Chiffrement et accès | TLS systématique, système de rôles et de droits dans le backend, accès administrateur consignés. |
« Privacy by Design » : qu'est-ce que cela signifie concrètement ?
L'article 25 du RGPD exige la protection des données dès la conception et des paramètres par défaut respectueux de la vie privée. Concrètement, cela signifie que, par défaut, la boutique en ligne ne collecte que les données nécessaires à l'achat : le suivi est désactivé jusqu'à ce que le client donne son consentement ; les formulaires ne comportent pas de champs obligatoires superflus ; les délais de suppression s'appliquent automatiquement. Un système dans lequel la protection des données ne peut être assurée qu'en désactivant certaines fonctions va à l'encontre de ce principe.
Ce qu’apporte XONIC
The XONIC Shop System is developed according to the « Privacy by Design » principle: consent for cookies in the form of a true « opt-in », the « double opt-in » for newsletters, tools for accessing data and deleting them, IP masking and default settings favoring data protection are part of the standard features. Le logiciel et l’hébergement proviennent du même fournisseur allemand : les données sont stockées sur des serveurs situés en Allemagne, et le contrat de sous-traitance est fourni par un seul et même prestataire. En tant que fabricant basé à Chemnitz, XONIC Solutions accompagne également depuis 2005 les adaptations juridiques en cours, de la solution par bouton au bouton de rétractation de l’UE. Vous trouverez des détails sur le modèle d’exploitation sur la page dédiée à l’hébergement et dans la brève description.
Remarque : cet article ne constitue pas un conseil juridique. Pour obtenir des informations contraignantes concernant la conformité à la protection des données de votre configuration spécifique, veuillez vous adresser à des délégués à la protection des données et à des cabinets d’avocats spécialisés.
Questions fréquentes sur les systèmes de boutique en ligne conformes au RGPD
Sources
