Ce qu’est le suivi des liens et pourquoi le RGPD s’applique
Le suivi des liens paraît anodin au premier abord. Un clic arrive, un enregistrement est créé, puis quelqu’un consulte le rapport plus tard. En pratique, le suivi des liens peut collecter bien plus que « 3 clics sur un bouton ». Il peut consigner la page d’origine du visiteur, l’heure du clic, le type d’appareil, le navigateur, le pays et une adresse IP. Si le lien suivi appartient à une campagne marketing, cet historique de clics peut aussi révéler des centres d’intérêt, des habitudes et des schémas de timing liés à une personne ou à un foyer. Dans ce contexte, le suivi des liens RGPD devient un sujet de conformité concret, pas un simple détail technique.
C’est là que le RGPD entre en jeu. Selon les règles du RGPD applicables au suivi des liens, un enregistrement de clic peut devenir une donnée personnelle s’il permet d’identifier une personne directement ou indirectement, ou s’il peut être rattaché à un appareil ou à un compte avec un effort raisonnable. Un simple tableau d’analytique peut ne pas sembler sensible. La loi peut pourtant le traiter comme tel, y compris lorsque les clics sur les liens données personnelles sont analysés pour mesurer une campagne ou attribuer une conversion.
La vraie question pratique n’est pas de savoir si le lien était court. C’est de savoir si le suivi derrière ce lien crée une trace de données. Un propriétaire de site qui envoie 50 liens de newsletter avec des balises de suivi traite des données, même si l’interface n’affiche que de jolis graphiques. Les données peuvent être limitées. Le risque, lui, ne l’est pas.
Quand un lien suivi devient une donnée personnelle
Un clic devient une donnée personnelle lorsque l’enregistrement de suivi peut renvoyer à une personne physique, ou au moins la distinguer du reste de la foule. Une adresse IP compte souvent ici, même si elle change d’une session à l’autre. Les identifiants d’appareil, les ID de cookies, les identifiants publicitaires mobiles, les empreintes de navigateur et les identifiants de compte peuvent tous soulever le même problème. Un seul signal peut être faible. Plusieurs signaux combinés suffisent.
Pensez à une campagne de retargeting sur une page produit. Un utilisateur clique depuis un e-mail, arrive sur une page promotionnelle, puis revient deux jours plus tard via un autre lien. Si l’outil de suivi attribue le même ID de navigateur aux deux visites, la plateforme a construit un profil. Ce profil ne nomme peut-être pas la personne, mais il peut quand même constituer une donnée personnelle, car la personne est identifiable.
Les données de localisation peuvent aussi faire pencher la balance. Une ville, un code postal ou un réseau d’entreprise ne permettent pas forcément d’identifier quelqu’un à eux seuls, mais un petit public change souvent l’analyse. Une liste de 12 clics issus d’un événement caritatif local n’a pas le même statut qu’une liste de 12 millions de visites génériques. Le contexte compte.
Les cookies et stockages similaires sont un autre déclencheur. Si le traceur de liens dépose un cookie pour reconnaître un visiteur de retour, ce cookie fait souvent entrer les données dans le champ du RGPD et, dans bien des cas, dans celui des règles ePrivacy ou du consentement aux cookies. Un traceur qui fonctionne sans cookies peut tout de même traiter des données personnelles. L’absence de cookie n’est pas un laissez-passer.
Les bases légales pour suivre les clics sur les liens
Toute activité de suivi doit reposer sur une base légale. Les deux choix les plus courants sont le consentement et l’intérêt légitime. Le bon choix dépend de la finalité du suivi, des attentes de l’utilisateur et du niveau d’intrusion de la configuration. Un opérateur de newsletter qui suit les clics pour mesurer la performance d’une campagne peut défendre une position. Un dispositif de marketing comportemental croisant plusieurs sites, c’en est une autre. La base légale suivi des clics doit donc être choisie avec soin, en fonction du contexte réel.
Le consentement est généralement l’option la plus sûre lorsque le suivi est facultatif, orienté marketing ou lié à des cookies non essentiels. Il offre aux utilisateurs un vrai choix, et la loi apprécie cela davantage qu’un simple haussement d’épaules. L’intérêt légitime peut convenir à une mesure limitée, au dépannage, à la prévention de la fraude ou à un reporting interne de base, à condition que le propriétaire du site réalise une mise en balance et limite l’atteinte à la vie privée.
Version directe : si le suivi est difficile à anticiper, le consentement est plus susceptible d’être nécessaire. Si le suivi est restreint, à faible risque et clairement lié au service, l’intérêt légitime peut convenir. Un site de voyage qui compte les clics vers des destinations dans un parcours de réservation en tête-à-tête n’est pas comparable à un réseau publicitaire qui observe chaque clic sortant pendant une semaine. Même clic. Cadre juridique très différent.
Documentez votre choix. Un propriétaire de site devrait pouvoir expliquer pourquoi le consentement a été utilisé, ou pourquoi l’intérêt légitime a été retenu, ainsi que les éléments qui soutiennent cette décision. Une note dans le dossier de conformité vaut mieux qu’un souvenir de printemps dernier.
Exigences de consentement pour les liens d’analytique et de marketing
Le consentement doit être libre, spécifique, éclairé et non ambigu. Cela signifie qu’une case pré-cochée ne suffit pas. Le silence ne suffit pas non plus. L’utilisateur doit effectuer une action claire, comme cliquer sur « accepter le suivi analytique » ou choisir un réglage marketing dans un panneau de préférences. Un clic de plus peut compter énormément.
Pour les liens d’analytique et de marketing, le consentement doit couvrir le comportement réel du suivi, et non une promesse vague du type « améliorer le site ». Si le traceur utilise des cookies, partage des données avec une plateforme d’e-mailing ou combine les données de clics avec des profils publicitaires, ces détails doivent être indiqués clairement. On ne peut pas consentir à ce qu’on ne comprend pas.
Les bannières de consentement ne doivent pas piéger le visiteur dans un dark pattern. Le refus doit être aussi simple que l’acceptation. Si une bannière permet d’accepter en 1 clic et de refuser en 5, la configuration est déjà fragile. Il en va de même pour les choix groupés. L’analytique et le marketing ne devraient pas se cacher dans un seul bouton si l’utilisateur doit pouvoir les distinguer.
Le retrait compte autant que le consentement lui-même. Si un visiteur modifie ses préférences plus tard, le suivi doit cesser sans délai. Certains sites oublient cette partie et continuent à collecter pendant des mois. Cela pose problème dès le premier contrôle des journaux. Une petite note en bas de bannière ne suffit pas.
Une bonne pratique consiste à séparer le suivi essentiel des liens du suivi facultatif. Une mesure serveur basique pour un flux de connexion peut être plus facile à justifier qu’un suivi marketing des clics lié à un profilage intersites. Si vous avez besoin d’un second avis sur la configuration technique, le guide interne sur les tests A/B des liens peut aider à comprendre en quoi les variantes suivies diffèrent des comptages de visiteurs ordinaires.
Mentions de confidentialité et obligations de transparence
Les utilisateurs doivent savoir ce qui arrive à leurs données. Une mention de confidentialité ou un avis cookies doit expliquer à quoi sert le suivi des liens, quelles catégories de données sont collectées, combien de temps les données sont conservées et à qui elles sont transmises. Cela paraît formel parce que cela l’est. Ce n’est pas l’endroit pour du marketing vague.
Les bonnes mentions sont précises. « Nous suivons les clics pour mesurer la performance des campagnes et prévenir la fraude » est mieux que « nous pouvons collecter des informations pour améliorer les services ». Si le traceur conserve les adresses IP pendant 30 jours, dites-le. S’il partage des rapports avec un service d’e-mailing ou un fournisseur de CRM, nommez le type de destinataire ou le prestataire exact quand c’est approprié.
La conservation mérite une phrase simple. Le propriétaire du site devrait expliquer si les journaux de clics sont conservés 7 jours, 30 jours ou 12 mois, et pourquoi cette durée est nécessaire. La réponse peut être courte. Le chiffre ne doit pas être caché.
Si le site utilise le masquage de liens d’affiliation ou la gestion de redirections, la mention devrait aussi préciser que les clics peuvent être enregistrés avant l’ouverture de la destination finale. Les lecteurs n’ont pas besoin d’un essai technique. Ils ont besoin de la vérité, en langage courant. Une mention de confidentialité qui ressemble à une brochure de fournisseur échoue généralement à instaurer la confiance.
Un site utilisant un domaine de liens courts personnalisé peut également préciser que les liens de marque restent des liens suivis. Le domaine paraît plus propre, ce qui est appréciable. Les obligations légales ne disparaissent pas parce que l’URL est plus jolie.
Minimisation des données, conservation et sécurité
La minimisation des données est simple à expliquer et facile à oublier. Ne collectez que ce dont vous avez besoin pour la finalité annoncée. Si le reporting de campagne fonctionne avec des comptes agrégés, n’enregistrez pas les adresses IP complètes, les chaînes user-agent et toute une série d’identifiants supplémentaires simplement parce que l’outil le permet. Moins de données, c’est moins d’exposition. Ce n’est pas un slogan ; c’est une mesure de réduction du risque.
La conservation doit suivre la finalité, pas l’habitude. Gardez les enregistrements de clics assez longtemps pour produire des rapports, traiter les abus ou réconcilier les commissions d’affiliation, puis supprimez-les ou anonymisez-les. Une règle de conservation de 90 jours peut être adaptée à une entreprise et excessive pour une autre. L’essentiel, c’est la raison, la limite et la discipline pour l’appliquer.
La sécurité ne se limite pas au chiffrement, même si celui-ci aide. L’accès doit être réservé aux personnes qui ont besoin des données, les journaux doivent être protégés contre la consultation opportuniste, et les sauvegardes doivent être traitées avec autant de soin que les systèmes en production. Un tableau de suivi exposé peut révéler qui a cliqué sur quoi, quand et depuis où. C’est suffisant pour créer des ennuis.
Utilisez la pseudonymisation lorsque c’est possible. Hacher un ID de clic peut réduire l’exposition directe, mais le résultat peut toujours être une donnée personnelle s’il peut être recoupé avec d’autres enregistrements. Cette distinction compte. Une valeur hachée n’est pas de la poussière magique.
Pour les équipes qui organisent des événements ou installent de l’affichage physique, l’article sur les codes QR dynamiques est utile, car les redirections QR collectent souvent les mêmes données de clic que les liens web, mais plus vite et avec moins d’actions de l’utilisateur.
Traceurs tiers, sous-traitants et transferts internationaux
De nombreuses entreprises ne gèrent pas le suivi des liens sur leur propre serveur. Elles envoient les clics à un fournisseur, puis consultent le tableau de bord plus tard. Cela signifie qu’il faut définir les rôles. Le propriétaire du site est-il responsable du traitement ? Le fournisseur est-il sous-traitant ? Ou les deux sont-ils responsables du traitement pour différentes parties du dispositif ? La réponse compte, car le contrat et les responsabilités changent en conséquence.
Si le fournisseur traite les données pour le compte du propriétaire du site, un contrat de sous-traitance est généralement nécessaire. L’accord devrait couvrir la sécurité, la sous-traitance ultérieure, la suppression, l’assistance aux demandes des utilisateurs et ce qui se passe à la fin du service. Une poignée de main ne suffit pas. Un e-mail d’achat non plus.
Les transferts internationaux exigent une attention particulière lorsque le traceur ou son équipe d’assistance se trouve hors de l’UE/EEE. Si les données de clics sont transférées vers les États-Unis, le Royaume-Uni, l’Inde ou un autre pays tiers, le propriétaire du site peut avoir besoin de garanties de transfert comme des clauses contractuelles types et d’une analyse d’impact du transfert. Cela ne signifie pas que le transfert est interdit. Cela signifie que la paperasse et l’évaluation des risques ne peuvent pas être ignorées.
Les fournisseurs comptent aussi parce qu’ils peuvent modifier la forme technique du consentement. Un traceur qui charge des scripts distants avant l’obtention du consentement peut créer un problème même si le tableau de bord semble propre. Demandez où la requête est envoyée, ce qui est stocké et si le fournisseur peut voir le flux brut des clics. Trois questions, un appel au fournisseur, moins de surprises plus tard.
Si vous vérifiez la sécurité d’un nouvel outil, le guide sur les liens courts sont-ils sûrs ? comment peut aider à examiner le comportement des redirections avant le début de l’examen de conformité.
Liste de contrôle pratique de conformité pour les propriétaires de sites
Commencez par un inventaire. Listez chaque lien suivi, chaque service de redirection, chaque balise analytique et chaque fournisseur qui voit les données de clics. Si un outil est caché dans une plateforme de newsletter, un CRM ou un générateur de campagnes, ajoutez-le quand même. Oublier un seul système crée rapidement des angles morts.
Cartographiez ensuite les données. Notez ce que chaque traceur de lien collecte : heure, adresse IP, ID de cookie, données de l’appareil, référent, ID de campagne ou hachage d’e-mail. Pour chaque champ, demandez-vous s’il est nécessaire. Si la réponse est « pas vraiment », supprimez-le. Un seul champ peut faire la différence entre une mesure de base et un problème RGPD bien plus important.
Vérifiez ensuite la base légale. Si le consentement est requis, assurez-vous que la bannière fonctionne avant le démarrage du suivi, que les refus sont respectés et que le retrait est simple. Si l’intérêt légitime est utilisé, conservez la mise en balance et les raisons de l’approche à faible risque. Une décision sans note ne vieillira pas bien.
Mettez à jour la mention de confidentialité et, le cas échéant, l’avis cookies. Indiquez la finalité, la durée de conservation, les catégories de destinataires et les détails des transferts. Si le site utilise un domaine de liens courts personnalisé ou des redirections de marque, expliquez qu’un lien plus propre conduit malgré tout à des clics suivis. La clarté vaut mieux que la surprise.
Relisez les contrats avec les traceurs tiers et vérifiez qu’un accord de sous-traitance est en place. Vérifiez si le fournisseur envoie des données hors UE/EEE et si les garanties de transfert sont documentées. Posez aussi une question supplémentaire : qui peut accéder au tableau de bord ?
Enfin, testez le système. Cliquez sur un lien suivi dans un navigateur avec le consentement refusé. Cliquez de nouveau après avoir donné le consentement. Observez ce qui arrive aux cookies, aux scripts et aux journaux. Si les résultats ne correspondent pas à la politique, corrigez la configuration avant le lancement de la prochaine campagne. Une politique sur papier ne bloque pas un traceur en production.
Conservez une note courte des décisions, avec la date, la personne qui a approuvé la configuration et les principaux contrôles de risque. Ce dossier n’a pas besoin d’être sophistiqué. Il doit simplement exister quand quelqu’un demande pourquoi le traceur de liens a été conçu ainsi.