Ce que le RGPD et la KVKK exigent réellement d'un site web

Le bandeau est la plus petite partie, et souvent la mauvaise

Presque tous les sites qui ajoutent un bandeau de consentement le font mal : le bandeau apparaît, le script d'analyse a déjà tourné, et le consentement est recueilli après ce qu'il était censé bloquer. C'est pire que pas de bandeau du tout, parce que cela documente l'infraction.

La règle est simple et porte sur l'ordre, pas sur le design. Rien qui ne soit strictement nécessaire ne doit s'exécuter avant l'accord du visiteur. Si votre tag manager charge dans le head, aucun bandeau au monde ne rend cela licite.

Il existe une troisième option qu'on oublie : ne rien collecter. Un site sans analytics, sans pixel et sans script tiers n'a besoin d'aucun bandeau, il n'y a rien à consentir.

Ce que les deux lois demandent vraiment

Le RGPD et la KVKK sont deux lois distinctes avec des autorités différentes, mais le travail d'ingénierie qu'elles impliquent se recouvre presque entièrement. Construisez pour la plus stricte des deux et vous satisfaites les deux.

• Une base légale pour chaque donnée personnelle détenue, écrite avant de la collecter.
• Minimisation : si le numéro de téléphone n'est pas nécessaire pour répondre, ne le demandez pas.
• Une durée de conservation par type de donnée, et quelque chose qui supprime réellement à l'échéance.
• Export et effacement sur demande, sous un mois, sans facturer.
• Un contrat de sous-traitance avec chaque tiers qui touche aux données : hébergeur, service d'e-mail, CRM.
• Notification de violation sous 72 heures: ce qui suppose d'être capable de détecter la violation.

La partie qui coûte cher si vous vous y prenez tard

La conservation et l'effacement sont les deux qui font mal. Un schéma qui n'a jamais anticipé la suppression transforme une demande juridique d'une ligne en migration : lignes référencées par des commandes, copies dans les sauvegardes, tables analytiques dérivées que plus personne ne se souvient d'avoir créées.

Conçu dès le départ, c'est une colonne `deleted_at`, une tâche planifiée et une fenêtre de sauvegarde documentée. Rattrapé après deux ans de données de production, c'est un trimestre de travail sans aucune fonctionnalité visible.

L'artefact le plus utile est un tableau : quelle donnée, pourquoi, où elle réside, combien de temps elle reste. L'essentiel du travail de conformité devient évident une fois qu'il existe, et c'est la première chose que demande un régulateur.

Là où cela cesse d'être de l'ingénierie

Tout ce qui précède se construit et se teste, et c'est ce que nous mettons en œuvre sur un projet. Ce que rien de tout cela ne remplace, c'est un avocat qui connaît votre secteur et votre juridiction, en particulier si vous traitez des données de santé, financières ou concernant des enfants : elles relèvent du niveau le plus strict des deux lois et portent des obligations qu'aucune architecture, si bonne soit-elle, n'acquitte.

Considérez les mesures techniques comme le plancher. Elles sont nécessaires, elles sont la partie coûteuse à ajouter après coup, et elles ne sont pas le tout.