Personnalisation du site et RGPD : quel consentement ?

Vous pouvez personnaliser un site, mais les règles dépendent des données utilisées et du mécanisme choisi. Afficher des accessoires associés au produit consulté ne pose pas les mêmes questions que reconnaître un visiteur et reconstituer ses intérêts. Pour des recommandations fondées sur sa navigation, vérifiez d’abord les traceurs, puis la base légale du traitement et les effets du profil.

Le point décisif n’est donc pas le mot « personnalisation » affiché dans votre outil. C’est ce que celui-ci collecte, mémorise, transmet et décide, notamment lorsque la personne refuse.

Deux règles distinctes : traceurs et données personnelles

Le consentement aux traceurs précède leur activation

L’article 82 de la loi Informatique et Libertés impose, en principe, une information et un consentement avant d’écrire ou de lire des informations dans le terminal. Il prévoit deux exceptions : permettre ou faciliter exclusivement une communication électronique ; fournir un service en ligne expressément demandé lorsque l’opération est strictement nécessaire.

Un identifiant destiné à suivre les consultations pour recommander des produits ne devient pas nécessaire parce qu’il améliore les ventes. Le déposer uniquement sur votre propre domaine ne crée aucune exemption. La règle porte sur l’opération, même si les informations ne sont pas personnelles.

Une exception peut concerner la mémorisation d’une langue ou d’une présentation, lorsque cette adaptation est intrinsèque et attendue du service. La CNIL distingue ces préférences d’interface des autres traceurs. Documentez la fonction exacte et limitez le cookie à celle-ci. Réutiliser le même identifiant pour suivre les intérêts commerciaux impose une autre analyse.

Le guide des cookies et du consentement détaille le paramétrage du bandeau. Ici, retenez une conséquence opérationnelle : le module soumis au consentement doit rester inactif avant acceptation, pas seulement masquer ses recommandations.

Une base légale reste nécessaire pour exploiter le profil

Lorsque les signaux se rapportent à une personne identifiable, y compris par un identifiant pseudonyme, le RGPD s’applique. Choisissez une base pour la finalité réellement poursuivie :

• Consentement — Art. 6(1)(a) : adapté à une personnalisation comportementale facultative, à condition que l’accord soit valable et retirable.
• Intérêt légitime — Art. 6(1)(f) : exige une finalité légitime, la nécessité du traitement et une mise en balance avec les droits des personnes. L’intérêt commercial ne suffit pas.
• Contrat — Art. 6(1)(b) : exige la nécessité pour exécuter le service convenu. Une clause ajoutée aux CGV ne rend pas indispensable un moteur de recommandations.

Ces conditions figurent aux Art. 5 à 7 du RGPD. Une base RGPD ne remplace pas le consentement exigé par l’article 82. Inversement, accepter un cookie ne signifie pas accepter indistinctement toutes les réutilisations des données.

Le choix de la base légale du traitement doit précéder la configuration. Dans l’exemple ci-dessous, la PME retient le consentement pour les traceurs et pour la personnalisation comportementale, en décrivant précisément cette finalité.

Quelle personnalisation choisir ? Une matrice de décision

Cette grille propose des décisions de conception. L’exemption éventuelle se vérifie sur le fonctionnement réel, pas sur le nom donné au cookie.

Premier cas : une fiche « lampe de bureau » présente les ampoules compatibles à tous ses visiteurs. Le classement dépend du produit, sans évaluation individuelle : c’est une recommandation contextuelle. Les autres traitements du site, comme ses journaux techniques, gardent leurs propres règles.

Deuxième cas : après plusieurs consultations, le site déduit « recherche du mobilier haut de gamme » et modifie l’accueil. L’évaluation comportementale doit être examinée, même si le segment disparaît à la fermeture du navigateur.

Troisième cas : le visiteur refuse les traceurs comportementaux. Affichez les produits associés à la page ou la sélection générale. Créer malgré tout un historique sur le serveur à partir du même identifiant ne constitue pas une solution au refus.

Quand la personnalisation devient-elle du profilage ?

Le profilage suppose un traitement automatisé de données personnelles qui évalue un aspect de la personne, notamment ses intérêts ou son comportement : Art. 4(4) du RGPD. La durée de conservation n’est pas un critère de cette définition. Une estimation produite immédiatement peut être un profilage ; conserver une préférence déclarée n’implique pas nécessairement une évaluation.

L’article 22 vise un périmètre plus étroit : décision exclusivement automatisée produisant un effet juridique ou un effet similaire significatif. Réordonner quelques luminaires n’atteint pas, à lui seul, ce seuil. Un mécanisme qui détermine automatiquement l’accès à un financement appelle une analyse différente.

Si ce seuil est atteint, une base de l’article 6 ne suffit plus : vérifiez les exceptions et garanties des Art. 22(2) à (4). Le guide du profilage permet d’approfondir cette qualification.

Exemple complet : recommander des luminaires dans une PME

Cas hypothétique. Une boutique française souhaite afficher une rubrique « Sélection pour vous » selon les catégories consultées. Elle choisit un service de recommandation externe. Les prix et l’accès aux produits restent identiques pour tous.

Le responsable marketing fixe la finalité et les catégories utiles ; le développeur traduit ces choix dans les événements envoyés ; le référent RGPD examine les informations, les contrats et les droits. Le fournisseur n’a pas à décider seul de ce qui sera collecté.

Un fonctionnement suffisamment précis pour être contrôlé

Avant consentement, la page affiche des associations issues du catalogue. Après acceptation de « Recommandations selon ma navigation », le site peut créer un identifiant dédié et transmettre la catégorie du produit consulté, l’heure de l’événement et cet identifiant au moteur. Celui-ci retourne une sélection.

La boutique écarte, dans ce scénario, l’adresse électronique, le panier, les achats antérieurs, les recherches libres et les segments de partenaires. Ce sont des choix de minimisation, pas des exclusions légalement identiques pour tous les sites. Demandez aussi quels éléments techniques le prestataire reçoit automatiquement : l’absence d’adresse électronique ne signifie pas absence de données personnelles.

Une fiche de paramétrage à adapter

Les 30 jours sont une hypothèse de conception, pas une durée réglementaire. La boutique doit expliquer pourquoi cette période répond au besoin et si une période plus courte suffit. Une nouvelle visite ne doit pas conserver indéfiniment des événements anciens. Les durées découlent de l’Art. 5(1)(e), non d’un plafond universel applicable à tout profil.

La boutique est responsable du traitement qu’elle détermine. Si le fournisseur agit seulement sur ses instructions, encadrez-le par le contrat de l’Art. 28(3) : données, finalités, sécurité, assistance aux droits, suppression et sous-traitants. S’il veut réutiliser les profils pour ses propres clients, cette qualification ne suffit plus ; examinez séparément ses finalités et responsabilités. Source : Art. 26 et 28 du RGPD.

Vérifiez les lieux d’hébergement et d’accès, les éventuels transferts hors Espace économique européen et leurs garanties, conformément aux Art. 44 et suivants du RGPD. Une promesse « conforme au RGPD » ne décrit ni le circuit des données ni la suppression effective.

Informer sans dissimuler le mécanisme

Pour l’exemple précédent, un premier niveau pourrait indiquer :

« Avec votre accord, nous mémorisons les catégories de luminaires que vous consultez pour vous proposer une sélection personnalisée. L’historique utilisé couvre les 30 derniers jours. Vous pouvez refuser ou désactiver cette fonction dans “Mes préférences”. Vous continuerez à consulter et acheter tous les produits. »

Ce texte est un exemple à adapter, pas une notice complète. Associez-lui des choix visibles, sans case précochée : refuser doit être aussi simple qu’accepter, comme le rappelle la CNIL. La notice détaillée doit identifier le responsable, le prestataire ou les catégories de destinataires, la base choisie, les durées, les droits et leur point de contact, les transferts éventuels et la réclamation à la CNIL : Art. 13(1) et (2).

« Améliorer votre expérience » est trop vague pour expliquer une observation comportementale. Distinguez aussi recommandations internes, mesure d’audience et publicité de partenaires : ces mots désignent des usages différents, que le visiteur doit comprendre.

Vérifier le refus, le retrait et la suppression

Avant mise en service, faites parcourir ces trois scénarios avec des données fictives et conservez le résultat :

1. Première visite, aucun choix. Ouvrez plusieurs catégories. Aucun identifiant comportemental ni événement destiné au moteur ne doit être créé ou envoyé. La sélection contextuelle reste disponible.
2. Acceptation puis refus lors d’une visite ultérieure. Contrôlez le stockage du navigateur, les requêtes réseau et les événements reçus par le fournisseur. Un bandeau à jour ne prouve pas l’arrêt du traitement.
3. Retrait depuis les préférences. Le site revient à sa sélection générale ; le moteur cesse d’enrichir et d’utiliser le profil. Vérifiez que la connexion au compte ne réactive pas silencieusement l’option.

Si un contrôle échoue, par exemple parce qu’un événement part avant accord ou après retrait, maintenez la personnalisation comportementale désactivée ou suspendez-la. Conservez la version contextuelle. Faites corriger le déclenchement et les flux avec le prestataire, puis rejouez les trois parcours avant lancement ou réactivation. Une modification du texte du bandeau ne répare pas un envoi de données indu.

Le retrait doit être aussi simple que l’accord, conformément à l’Art. 7(3). Lorsque le profil repose sur le consentement retiré et qu’aucun autre fondement ne justifie sa conservation, l’Art. 17(1)(b) impose son effacement. Une preuve minimale de consentement conservée pour une finalité distincte ne doit pas servir à poursuivre les recommandations. Sources : Art. 7 et Art. 17.

Si vous retenez l’intérêt légitime pour un autre traitement, organisez l’opposition de l’Art. 21(1). L’opposition à la prospection, y compris au profilage qui lui est lié, obéit aux Art. 21(2) et (3) : elle impose l’arrêt pour cette finalité.

Enfin, documentez l’examen du risque : une analyse d’impact relative à la protection des données (AIPD) examine la nécessité du traitement, ses risques et les mesures pour les réduire. Elle est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé, sans que toute recommandation y soit automatiquement soumise. Source : Art. 35(1) et (7).

Ce qu’il faut retenir

• Séparez l’autorisation d’utiliser des traceurs et la base légale du traitement.
• Une préférence de langue ne justifie pas un suivi commercial.
• Le refus doit modifier les flux de données, pas seulement l’affichage.
• Décrivez et contrôlez le fonctionnement concret avec votre fournisseur.

FAQ

Le traitement côté serveur dispense-t-il de consentement ?

Non, pas automatiquement. Vérifiez comment les données arrivent au serveur : lire un identifiant non exempté dans le terminal reste soumis à l’article 82. Un traitement sans cette opération doit encore respecter le RGPD lorsqu’il utilise des données personnelles.

Peut-on personnaliser pour un client déjà connecté ?

La connexion permet l’authentification ; elle n’autorise pas tous les usages de l’historique. Définissez la finalité de recommandation, sa base légale et son information, puis vérifiez séparément les traceurs employés.

Peut-on déduire des problèmes de santé des pages consultées ?

Ce choix exige une analyse spécifique des catégories particulières de données et des conditions de l’Art. 9(1) et (2). Pour une recommandation commerciale ordinaire, écartez ces inférences plutôt que d’ajouter des segments sensibles sans justification.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.