Site web et teleservices des collectivités : conformité RGPD et cookies
Le site internet de la collectivité est devenu la vitrine numérique de la commune et le point d’entrée principal des teleservices : démarches en ligne, portail familles, paiement en ligne, signalements, consultations citoyennes. Ces outils numériques collectent des données personnelles des administrés et doivent respecter le RGPD ainsi que la réglementation sur les cookies et traceurs.
Mentions légales et politique de confidentialité
Le site web de la collectivité doit comporter des mentions légales conformes à la loi pour la confiance dans l’économie numérique (LCEN) : identité de la collectivité, directeur de la publication, hébergeur. Il doit également afficher une politique de confidentialité détaillée, précisant les traitements de données opérés via le site, les finalités, les bases légales, les destinataires, les durées de conservation, les droits des personnes et les coordonnées du DPO. Cette politique doit être accessible depuis chaque page du site, via un lien visible en pied de page.
Cookies et traceurs : les règles à respecter
Le dépôt de cookies et traceurs sur le site de la collectivité est soumis aux lignes directrices de la CNIL. Avant tout dépôt de cookies non essentiels (statistiques, réseaux sociaux, publicité), le consentement de l’utilisateur doit être recueilli via un bandeau cookie clair et explicite. Les cookies strictement nécessaires au fonctionnement du site (authentification, panier, choix de langue) sont exemptés de consentement. Les solutions de mesure d’audience peuvent être exemptés de consentement si elles respectent les conditions de la CNIL (anonymisation des adresses IP, absence de croisement avec d’autres traitements). L’utilisation de Google Analytics dans sa configuration par défaut n’est pas conforme à ces conditions.
Formulaires en ligne et collecte de données
Chaque formulaire en ligne doit respecter le principe de minimisation : ne collecter que les données strictement nécessaires à la démarche. Les champs obligatoires et facultatifs doivent être clairement distingués. Une mention d’information RGPD doit figurer au bas de chaque formulaire, ou être accessible via un lien. Le consentement au traitement doit être recueilli par une case à cocher non pré-cochée lorsque la base légale est le consentement. Les formulaires doivent être sécurisés (HTTPS, protection anti-spam, validation des champs) pour éviter les injections de données malveillantes.
Teleservices et authentification
Les teleservices (démarches en ligne, portail citoyen) nécessitent souvent la création d’un compte utilisateur. L’authentification doit être sécurisée : mot de passe robuste, possibilité de double authentification, verrouillage après tentatives échouées. L’utilisation de FranceConnect est recommandée pour les démarches administratives, car elle offre un niveau de sécurité élevé et évite la multiplication des comptes. Les données du compte utilisateur doivent être supprimées après une période d’inactivité (trois ans selon les recommandations de la CNIL) et l’utilisateur doit pouvoir supprimer son compte à tout moment.
Paiement en ligne et données bancaires
De nombreuses collectivités proposent le paiement en ligne pour la cantine, les activités périscolaires ou les amendes. Les données de paiement ne doivent jamais transiter par les serveurs de la collectivité mais être traitées directement par un prestataire de paiement certifié PCI-DSS. La collectivité ne doit conserver que la référence de la transaction, sans les données de carte bancaire. Le prestataire de paiement est un sous-traitant dont le contrat doit être conforme à l’article 28 du RGPD.
Hébergement et sécurité du site
Le choix de l’hébergeur du site web est déterminant. L’hébergeur doit être localisé dans l’Union européenne ou dans un pays bénéficiant d’une décision d’adéquation. Les mesures de sécurité minimales comprennent le certificat SSL/TLS (HTTPS obligatoire), la protection contre les attaques DDoS, les sauvegardes régulières, la mise à jour des composants (CMS, plugins), et la surveillance des vulnérabilités. Le contrat avec l’hébergeur doit inclure les clauses de sous-traitance RGPD.
Accessibilité et RGPD
Les collectivités sont soumises à une obligation d’accessibilité numérique (RGAA). Cette obligation se conjugue avec le RGPD : les mentions d’information, la politique de confidentialité et le bandeau cookies doivent être accessibles aux personnes en situation de handicap. Les formulaires doivent être compatibles avec les lecteurs d’écran. La procédure d’exercice des droits doit être accessible à tous les administrés, y compris ceux qui ne maîtrisent pas les outils numériques (possibilité de demande par courrier ou en mairie).
Laurent de Cavel, DPO
