RGPD : Le guide de survie ultime pour les agences web.

C'est LA question que la plupart des agences web ignorent — à leurs risques et périls.

Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement des données. En général, c'est votre client — l'entreprise qui possède le site.

Le sous-traitant est celui qui traite les données pour le compte du responsable. C'est vous, l'agence web, quand vous gérez l'hébergement, les newsletters, les analytics, la base de données clients.

Pourquoi c'est important ? Parce que l'article 28 du RGPD impose un contrat écrit entre le responsable et le sous-traitant. Sans ce contrat, les deux sont en infraction. L'amende peut atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial.

L'article 28 du RGPD liste explicitement ce que votre contrat de prestation doit contenir :

• L'objet et la durée du traitement — Quelles données traitez-vous et pendant combien de temps ? • La nature et la finalité — Hébergement, envoi d'emails, analyse de trafic... • Les catégories de données — Noms, emails, adresses IP, données de paiement... • Les mesures de sécurité — Chiffrement, sauvegardes, contrôle d'accès, procédure en cas de violation. • Le sort des données en fin de contrat — Restitution ou suppression, dans quel délai ? • Les sous-traitants ultérieurs — Si vous utilisez AWS, Mailchimp, ou tout autre service tiers, vous devez le lister et obtenir l'autorisation du client.

Le DPA (Data Processing Agreement) est l'annexe RGPD de votre contrat de prestation. C'est le document qui formalise votre relation de sous-traitance au sens du RGPD.

Dans la pratique, 80% des agences web françaises n'ont pas de DPA. Elles se contentent d'une vague mention "conformité RGPD" dans leurs CGV. C'est insuffisant.

Le DPA doit être un document séparé, annexé au contrat de prestation, et signé par les deux parties. Il doit être mis à jour à chaque changement de sous-traitant ultérieur (par exemple, si vous migrez d'AWS vers Google Cloud).

1. Utiliser Google Analytics sans consentement — La CNIL a été claire : Google Analytics transfère des données vers les États-Unis. Sans consentement explicite de l'utilisateur, c'est une violation du RGPD. Alternatives conformes : Matomo, Plausible.

2. Les formulaires sans base légale — Chaque formulaire de contact, newsletter, ou devis doit avoir une base légale (consentement, intérêt légitime, exécution d'un contrat). "On collecte et on verra" n'est pas une base légale.

3. Pas de registre des traitements — L'article 30 du RGPD impose de tenir un registre de tous les traitements de données. C'est obligatoire dès le premier employé.

4. Le bandeau cookies en mode décoration — Un bandeau qui ne permet pas de refuser facilement les cookies est non conforme. La CNIL a infligé des amendes de 60 à 150 millions d'euros pour des dark patterns de cookies.

5. Pas de procédure de notification de violation — En cas de fuite de données, vous avez 72 heures pour notifier la CNIL (article 33 du RGPD). Sans procédure préétablie, c'est impossible à respecter.

Depuis l'invalidation du Privacy Shield (arrêt Schrems II), le transfert de données personnelles vers les États-Unis est encadré par le nouveau cadre de protection des données UE-US (Data Privacy Framework). Mais attention : ce cadre ne couvre que les entreprises américaines certifiées.

Pour votre agence, cela signifie : vérifiez que chaque service américain que vous utilisez (hébergement, email, analytics, CRM) est certifié DPF. Si ce n'est pas le cas, vous devez mettre en place des Clauses Contractuelles Types (CCT) ou opter pour un service européen.

Notre recommandation : privilégiez les hébergeurs européens (OVH, Scaleway, Hetzner) et les outils conformes RGPD par design.