Tracking serveur : purger les journaux bruts

Un collecteur serveur peut supprimer le courriel avant l’envoi publicitaire et l’avoir déjà enregistré dans un journal d’erreur. Le filtrage de la destination finale ne protège pas les copies intermédiaires. Pour maîtriser le tracking côté serveur, définissez les champs autorisés dans chaque journal, leur durée propre et leur suppression effective. Le bon point de départ est le besoin de diagnostic, pas l’enregistrement intégral de toutes les requêtes.

Ce guide propose une spécification d’exploitation à adapter avec votre développeur ou votre agence. Elle sépare les traces de fonctionnement, les événements de sécurité et les données de mesure publicitaire : ces trois usages ne justifient ni les mêmes informations ni les mêmes accès.

Pourquoi un journal technique contient des données personnelles

Une adresse IP, une référence de commande ou un identifiant de session peut permettre de rattacher une trace à une personne. Le nom « log technique » n’en fait pas une donnée anonyme. Le même raisonnement vaut pour une empreinte de courriel lorsqu’elle permet un rapprochement avec le fichier client.

La difficulté vient souvent des assemblages. Une ligne contient l’heure et une référence ; un autre outil associe cette référence au client ; un ticket conserve la capture d’écran. L’examen doit tenir compte de ces moyens de rapprochement, pas seulement de ce qu’un lecteur voit dans une colonne.

L’Art. 5(1)(b), (c) et (e) du RGPD impose une finalité déterminée, une collecte limitée au nécessaire et une conservation proportionnée. L’Art. 25(2) étend cette logique aux réglages par défaut, notamment à la quantité, à la durée et à l’accessibilité des données. RGPD, principes et protection par défaut.

Cela conduit à une décision simple : si le diagnostic exige seulement de savoir qu’un envoi a échoué avec un certain code, conserver l’adresse du client et le détail de son formulaire nécessite une autre justification. L’étiquette « nécessaire au débogage » ne fournit pas cette justification.

Repérer les copies avant de choisir une durée

Suivez une requête fictive depuis l’entrée du site jusqu’à la plateforme destinataire. Relevez le proxy, le serveur de collecte, la file d’attente, le connecteur, l’outil d’erreur et le support. Distinguez le traitement transitoire en mémoire de l’écriture durable dans un fichier ou un service externe.

Pour chaque étape, demandez le format effectivement enregistré et les destinations secondaires. Une console centralisée peut recevoir une copie alors que l’application conserve aussi un fichier local. Un export téléchargé par l’agence ne disparaît pas lorsque le journal principal arrive à échéance.

Un exemple technique explique l’intérêt de cette lecture. Le format prédéfini « combined » de NGINX comprend notamment l’adresse distante, la requête, le référent et l’agent utilisateur. La documentation permet de définir un format de journal ; elle ne garantit pas que votre installation emploie un format minimisé. Documentation officielle NGINX.

Ne transformez pas cette observation en consigne universelle de désactivation. Le responsable technique identifie les traces nécessaires à la sécurité et au fonctionnement, puis retire les valeurs sans utilité. Une route peut elle-même contenir un identifiant confidentiel, même après suppression des paramètres placés à la fin de l’URL. Le guide des UTM et données personnelles dans les liens aide à traiter l’origine du problème.

Séparer les trois usages des traces

Le diagnostic de fonctionnement sert à comprendre une erreur : délai de réponse, code de rejet, version du connecteur. Il n’exige pas systématiquement le contenu commercial de l’événement.

La sécurité vise notamment les accès indus et les modifications non autorisées. Ses traces peuvent porter sur l’administration du collecteur, les changements de configuration ou les tentatives d’accès. Elles doivent être protégées contre l’altération et consultées par les personnes habilitées.

La mesure marketing sert à attribuer une conversion ou analyser une campagne. Elle conserve sa finalité propre, même si les données sont stockées dans un outil habituellement utilisé par les développeurs. Réutiliser les journaux de sécurité pour reconstruire les parcours des visiteurs ajoute un traitement à examiner ; ce n’est pas une simple opération de maintenance.

Déterminez la base légale de chaque traitement selon l’Art. 6(1). L’intérêt légitime peut être envisagé pour une journalisation nécessaire et proportionnée à la sécurité, après analyse de ses conditions ; il ne vaut pas autorisation générale de collecter tous les contenus. Les règles applicables à la collecte publicitaire initiale restent, elles aussi, à respecter.

Une spécification d’exploitation renseignée

Voici un exemple de règles internes proposées, pour un collecteur publicitaire dont l’équipe traite les alertes chaque jour ouvré. Les durées indiquées sont des choix du scénario à justifier dans votre organisation, pas des délais légaux universels.

Pourquoi sept jours pour le diagnostic ordinaire ? Dans cette hypothèse, les anomalies sont examinées quotidiennement et l’équipe veut pouvoir comparer le fonctionnement sur un cycle hebdomadaire. Ce raisonnement doit être confronté à son activité réelle. Si les incidents sont traités plus vite et ne nécessitent aucune comparaison, raccourcissez ; si une durée supérieure est demandée, nommez le besoin et les champs concernés.

Pour la sécurité, la CNIL recommande généralement une période glissante de six mois à un an dans sa fiche sur la traçabilité, avec des adaptations motivées. Cette recommandation ne transforme pas les requêtes publicitaires brutes en journaux à conserver un an. La fiche recommande aussi de référencer les données concernées plutôt que de les dupliquer. CNIL, tracer les opérations.

La durée du dossier d’incident est traitée séparément : un extrait nécessaire peut être préservé pour une investigation ou un contentieux identifié. Cela ne justifie pas de figer tout l’historique du collecteur sans limite.

Filtrer avant l’enregistrement, pas seulement à l’écran

Le masquage doit intervenir au bon endroit. Si l’outil affiche des astérisques mais conserve la valeur originale dans son stockage, un export ou une API peut encore la restituer. Demandez au prestataire ce que fait exactement le réglage : suppression avant réception, transformation avant écriture ou simple présentation visuelle.

Dans la spécification précédente, le développeur remplace la copie libre de la requête par une liste de champs autorisés. Cette approche évite qu’un nouveau champ de formulaire soit automatiquement ajouté au diagnostic. Les messages d’erreur sont eux aussi examinés : certains reprennent la valeur refusée dans leur texte.

L’exclusion doit viser les jetons d’accès, les cookies de session, les coordonnées et les textes libres sans nécessité. Elle doit aussi couvrir les sauvegardes de configuration et les pièces jointes des tickets. Pour les événements Meta CAPI, le dictionnaire des champs transmis et celui des champs journalisés sont donc deux documents liés, mais distincts.

Encadrer un diagnostic exceptionnel

Avant d’activer une collecte plus détaillée, rédigez une autorisation courte : anomalie recherchée, données strictement nécessaires, environnement, personnes habilitées et heure de fin. Le responsable technique l’approuve ; le référent RGPD intervient lorsque le changement modifie sensiblement les données, les destinataires ou le risque.

Une formulation utilisable serait : « Diagnostic du rejet de format sur le connecteur de conversion ; reproduction d’abord sur événements fictifs ; aucun corps complet de production ; conservation du code et du nom de champ en cause ; accès réservé aux deux techniciens affectés ; fermeture de l’option après résolution. » Il s’agit d’une instruction proposée, à compléter par une échéance réelle avant activation.

Si l’agence exige une copie complète sans expliquer les champs nécessaires, ne transmettez pas ce fichier. Proposez une reproduction expurgée, une observation limitée ou une intervention encadrée. L’export sécurisé vers un prestataire traite le canal de remise ; il ne rend pas nécessaire un contenu excessif.

Contrôler la purge et les choix des visiteurs

La rotation d’un fichier change son emplacement ou son nom ; elle n’établit pas sa suppression. Le chiffrement protège son contenu ; il ne réduit pas sa durée de conservation. Vérifiez l’expiration dans le stockage principal, les copies centralisées et les exports, avec le cycle des sauvegardes documenté séparément.

Organisez un contrôle avec des événements fictifs identifiables. Recherchez la trace dans chaque destination connue, puis examinez le comportement à son échéance. Conservez le résultat du contrôle, le réglage appliqué et la personne responsable, sans recopier inutilement le contenu des traces.

Le refus ou le retrait du suivi publicitaire doit également être pris en compte. Il ne commande pas forcément la disparition de toute trace de sécurité poursuivant une finalité distincte et licite. En revanche, conserver l’événement refusé dans une file « diagnostic » pour le réexpédier plus tard contredit le blocage annoncé. Le retrait du consentement et l’arrêt des scripts doit couvrir les relais serveur.

Si le contrôle découvre des données excessives, arrêtez leur nouvel enregistrement et traitez les copies déjà présentes. En cas d’exposition ou d’accès non autorisé, examinez aussi les obligations de documentation et de notification des Art. 33 et 34 ; n’effacez pas aveuglément les éléments nécessaires à l’analyse de l’incident. RGPD, sécurité et violations.

Ce qu’il faut retenir

• Le journal fait partie du traitement, même lorsque l’envoi publicitaire est bloqué.
• Diagnostic, sécurité et mesure marketing appellent des règles distinctes.
• Une liste de champs autorisés protège mieux qu’un masquage seulement visuel.
• La purge doit couvrir les copies connues et être contrôlée, avec une préservation ciblée des preuves nécessaires.

FAQ

Faut-il supprimer tous les journaux lorsqu’un visiteur refuse les cookies ?

Non automatiquement. Distinguez le suivi refusé des traces strictement justifiées pour une autre finalité, notamment la sécurité. Ne réutilisez pas ces dernières pour reconstituer le suivi publicitaire refusé.

Le hachage permet-il une conservation illimitée ?

Non. Une empreinte utilisée pour rapprocher les événements d’un client peut rester une donnée personnelle. La durée dépend toujours de la finalité et de la nécessité.

Qui fixe la durée lorsque l’agence exploite le serveur ?

L’entreprise doit définir ses exigences pour les traitements réalisés pour son compte. L’agence précise les réglages possibles, les copies et les limites ; le contrat de sous-traitance encadre les instructions conformément à l’Art. 28. Un réglage par défaut ne vaut pas décision motivée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.