En 2019, un cabinet a signé un contrat de refonte de site.
Quatre pages, dont une consacrée aux données personnelles. À l'article 7, une phrase que personne n'a discutée en réunion, parce qu'elle avait l'air d'une formalité : le prestataire est autorisé à recourir à des sous-traitants ultérieurs.
Ce matin, à neuf heures, quelqu'un a ouvert la page d'accueil de ce cabinet. En moins d'une seconde, son adresse IP est partie chez plusieurs entreprises différentes.
Le cabinet ne connaît le nom d'aucune d'entre elles.
Il en répond pourtant, parce que c'est lui le responsable de traitement, et parce qu'une phrase signée il y a sept ans continue de consentir à sa place.
Le mot que votre contrat emploie sans jamais le définir
Le mécanisme tient en trois positions, et il vaut la peine de les poser proprement avant d'aller plus loin.
Vous êtes responsable de traitement pour votre site. C'est vous qui décidez de son existence et de sa finalité, donc c'est vous qui en répondez. Votre prestataire, lui, est votre sous-traitant : il agit sur vos instructions et pour votre compte.
Et quand ce prestataire installe sur votre site une brique fournie par un tiers, ce tiers devient un sous-traitant ultérieur.
L'article 28 du règlement général sur la protection des données est sur ce point d'une clarté rare :
Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement.
Presque personne ne donne d'autorisation spécifique. Tout le monde signe une autorisation générale, parce que c'est la case que le contrat propose et qu'elle paraît raisonnable.
Sauf que le texte ne s'arrête pas là. Il poursuit en précisant que, dans le cas d'une autorisation générale, le sous-traitant informe le responsable de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, de manière à lui donner la possibilité d'émettre des objections.
Posez-vous la question sans ironie : quand avez-vous reçu cette information pour la dernière fois ?
L'autorisation générale n'est pas un blanc-seing. C'est un abonnement à une information qui, dans l'immense majorité des cas, n'a jamais commencé à vous être servie.
Et le même article ferme la boucle en précisant que le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations. La chaîne remonte. Elle s'arrête sur votre nom.
Comptez, c'est l'exercice le plus instructif
Nous ne vous demanderons pas de nous croire. Nous vous demanderons de compter.
Voici les briques ordinaires d'un site professionnel. Chacune est commode, chacune a été installée pour de bonnes raisons, et chacune fait entrer une entreprise de plus dans votre chaîne :
- une police de caractères appelée sur un serveur distant ;
- une carte de localisation intégrée ;
- un module de prise de rendez-vous ;
- un outil de mesure d'audience ;
- une vidéo incorporée ;
- un fil d'avis, un widget de réseau social ;
- une messagerie instantanée ;
- et en amont, votre hébergeur, le réseau qui distribue vos pages, le service qui achemine vos formulaires.
Vous avez choisi un prestataire. Faites l'addition de ce que votre page d'accueil fait travailler.
Reste à savoir ce que chacune de ces entreprises reçoit, car on imagine souvent qu'une brique décorative ne transporte rien. Une requête vers un serveur tiers emporte au minimum l'adresse IP du visiteur, l'identification de son navigateur et de son appareil, l'adresse exacte de la page consultée et l'heure de la consultation. Ce sont des données personnelles au sens du règlement, et elles partent avant que le visiteur ait cliqué sur quoi que ce soit.
C'est aussi, au passage, une autre forme de la dépendance que nous décrivons ailleurs à propos de ceux qui louent leur présence en ligne plutôt que de la posséder. Ici, ce n'est plus votre visibilité qui appartient à un tiers, ce sont vos visiteurs.
Le cas des polices mérite d'être détaillé, parce qu'il est le plus discret et le plus vérifiable.
Une police appelée sur un serveur distant n'arrive pas seule. À chaque chargement de page, avant tout consentement et sans que le visiteur ait rien demandé, son adresse IP est transmise à l'entreprise qui héberge cette police. Ce n'est pas une hypothèse d'école : le tribunal régional de Munich l'a jugé le 20 janvier 2022, condamnant l'éditeur d'un site à cent euros de dommages et intérêts pour cette seule transmission.
Précisons immédiatement la portée de cette décision, parce qu'elle circule beaucoup et souvent mal. Il s'agit d'un jugement allemand de première instance. Il ne fait pas jurisprudence en France et personne ne devrait le présenter ainsi. Ce qu'il apporte est ailleurs : il rend visible un mécanisme que l'on croit théorique, et il montre qu'un détail réputé purement esthétique produit un transfert de données.
Le plus frappant reste la suite. La même police, installée sur votre propre hébergement, ne transmet rien à personne. La correction prend une dizaine de minutes et ne change rien à l'apparence de votre site.
Encore faut-il savoir qu'il y avait quelque chose à corriger.
Pourquoi cela pèse plus lourd chez vous qu'ailleurs
Jusqu'ici, ce qui précède vaut pour n'importe quelle entreprise. Ce qui suit ne vaut que pour vous.
L'avocat. Le secret professionnel est absolu, d'ordre public, et il ne connaît pas de degré. Un formulaire de contact sur un site de cabinet ne transporte pas une adresse électronique : il transporte un litige, un divorce, une difficulté d'entreprise, parfois avant même que le rendez-vous ait eu lieu. Nous avons décrit le cadre général dans notre article sur ce que la déontologie et le RGPD autorisent vraiment.
Le notaire. À la sensibilité patrimoniale des données s'ajoute un contrôle : la chambre départementale vérifie la conformité des sites, et cette vérification ne s'arrête pas à la charte graphique. Nous en avons détaillé les obligations dans le seul canal que la déontologie laisse aux notaires.
Le commissaire de justice. L'article 5 de son code le tient au secret professionnel, et la moitié la plus ouverte de son activité, celle des constats, arrive précisément par le formulaire de son site. Le sujet est traité dans ce que son code de déontologie autorise.
L'expert-comptable. Il est lui aussi tenu au secret, et les données comptables et sociales qu'il manipule n'ont rien à envier aux précédentes en matière de sensibilité.
Une seule phrase réunit ces quatre situations, et elle mérite d'être retenue :
Vous ne partagez pas des adresses. Vous partagez des situations.
Et il n'est même pas nécessaire qu'un formulaire soit rempli pour que quelque chose se dise. Quelqu'un qui consulte, un dimanche à vingt-trois heures, la page d'un cabinet consacrée à la rupture brutale des relations commerciales ou aux procédures collectives livre déjà une information sur lui. L'adresse de la page suffit, et elle part avec le reste. Sur un site de commerce, cette trace ne raconte qu'un projet d'achat. Sur le vôtre, elle raconte une inquiétude.
Pour une entreprise ordinaire, un sous-traitant qui n'a jamais été déclaré est une irrégularité qui se règle avec une autorité administrative. Chez vous, la question peut se poser ailleurs, et devant d'autres personnes.
Ce n'est pas une menace, et nous n'affirmons pas qu'un site existant serait en faute. C'est une différence de nature : là où la plupart des professions traitent de la conformité, vous traitez en plus de la confiance, et celle-ci se juge dans une autre enceinte.
Quatre questions qui ne coûtent rien à poser
Il n'est pas nécessaire de devenir juriste de votre propre site. Il suffit de poser quatre questions, et d'écouter la manière dont on y répond.
1. La liste nominative des sous-traitants ultérieurs de mon site. Pas des catégories, pas des familles d'outils. Des noms d'entreprises. Cette liste existe forcément, puisqu'elle décrit ce que votre site fait déjà.
2. Par quel moyen suis-je informé quand elle change, et sous quel délai puis-je m'y opposer ? C'est exactement ce que le texte prévoit. C'est aussi ce que presque personne n'a mis en place.
3. Quelles briques peuvent être internalisées sans rien perdre ? Les polices, presque toujours. La carte, souvent. La mesure d'audience, fréquemment. Une brique retirée de la chaîne est une question qui ne se posera plus.
4. Que traverse mon formulaire de contact, et où s'arrête-t-il ? La réponse doit tenir en une phrase. Si elle n'y tient pas, vous avez déjà appris quelque chose.
Ce qu'un studio devrait faire sans qu'on le lui demande
Aucun des points qui suivent ne relève de la prouesse technique. Ce sont des choix, et ils se prennent au moment où l'on peut encore les prendre, c'est-à-dire avant.
Les polices hébergées sur votre propre domaine, jamais appelées ailleurs.
La carte remplacée par une image et un lien, ou chargée seulement si le visiteur la demande.
Une mesure d'audience sans cookie et sans transfert en dehors de l'Union européenne, ou pas de mesure du tout, ce qui reste une option parfaitement défendable pour un cabinet.
Un formulaire qui arrive chez vous, et non chez un intermédiaire qui en conserve une copie au passage.
Et la liste des sous-traitants remise avec le site, tenue à jour, avec une politique de confidentialité qui les nomme réellement plutôt que d'évoquer des partenaires techniques.
Vous pouvez du reste vérifier la page que vous êtes en train de lire. Ouvrez les outils de développement de votre navigateur, choisissez l'onglet réseau, et rechargez. Rien n'en sort vers un tiers.
Nous ne le mentionnons pas comme un argument. Nous le mentionnons parce qu'un article qui vous demande de compter doit tenir son propre compte.
Un prestataire qui ne sait pas répondre à ces points n'est pas malhonnête. Il travaille simplement pour des clients qui n'ont ni secret professionnel, ni instance ordinale, et il applique les mêmes réflexes chez vous. C'est cette transposition automatique qui pose problème, bien plus que l'intention.
En un mot
Revenons à la clause de 2019.
Elle n'a rien d'illégal. L'autorisation générale est expressément prévue par le règlement, et il serait absurde d'exiger un avenant à chaque évolution technique d'un site.
Ce qui n'a jamais eu lieu, en revanche, c'est ce que cette autorisation supposait : l'information des ajouts et des remplacements, et la possibilité d'y objecter. Le contrat a été signé, puis la moitié qui vous protégeait s'est endormie.
Elle continue donc de consentir chaque matin, à votre place, pour des entreprises dont vous ignorez le nom. Elle le fera aussi longtemps que personne ne la relira.
C'est une phrase de quatre lignes dans un document de quatre pages. C'est aussi, dans une profession tenue au secret, l'endroit de votre site où vous êtes le moins chez vous.
Notre manière de travailler avec les cabinets et les études est décrite sur la page qui leur est consacrée. Et si vous préférez commencer par poser vos quatre questions à voix haute, le studio répond aux premières sans engagement.
Cet article présente un cadre général à la date de sa publication et ne constitue pas un avis juridique. L'application du règlement général sur la protection des données à une situation particulière, et son articulation avec les règles professionnelles qui vous sont applicables, relèvent de votre conseil et de votre instance ordinale.