Registre RGPD et conformité

Note du 13/09/2026 — le registre décrivait moins que la machine ne collecte. Jusqu'à cette date, ce registre ne comportait qu'une seule entrée, et cette entrée affirmait que « les visiteurs anonymes ne sont pas tracés — hors champ du registre ». C'était faux. La mesure d'audience est active en production sur toutes les pages publiques, pour tous les visiteurs. Elle était pourtant déjà décrite, et correctement, sur la page de confidentialité destinée au public : l'écart n'était pas entre le site et la réalité, il était entre deux documents du même site.

Trois autres rubriques disaient moins que la réalité. Les destinataires mentionnaient « aucun sous-traitant applicatif » quand l'hébergeur et le fournisseur de DNS/TLS sont deux sous-traitants au sens de l'article 28, tous deux nommés depuis le début sur la page de confidentialité. Les transferts hors UE étaient portés à « aucun » alors que ces deux sociétés sont américaines et qu'un accès depuis les États-Unis ne peut être exclu. Les catégories de données omettaient l'agent utilisateur, et tout ce que le script de mesure transmet à chaque vue de page.

La vérification a été faite en observant les requêtes réellement émises par la page, pas en relisant la configuration : la requête de suivi porte la résolution d'écran, la plateforme et sa version, la version complète du navigateur, le facteur de forme et la prise en charge des greffons. Prises ensemble, et jointes à une adresse tronquée, ces valeurs forment une empreinte plus discriminante que chacune prise à part. C'est la raison pour laquelle elles sont écrites ici une par une plutôt que résumées en « données de navigation ».

Complément du 14/09/2026 — la durée annoncée est maintenant mesurée. Cette note disait, la veille, que les durées de conservation ci-dessus venaient du script d'installation et n'avaient pas été vérifiées sur la machine. Elles l'ont été : les valeurs ont été relues dans l'instance, pas dans le dépôt. Elles concordent. Le rappel vaut d'être gardé — un registre qui annonce une durée qu'il n'a pas mesurée décrit une intention, pas un traitement — mais la rubrique n'a plus de réserve à porter.

Ce qui n'a pas encore été mesuré, et qui est écrit ici plutôt que passé sous silence : des sauvegardes de la base sont prises chaque jour et conservées quatorze jours. Elles ne sont pas concernées par la purge des journaux bruts. Si elles contiennent ces journaux, le plafond réel de conservation dépasse les 759 jours annoncés — de l'ordre de deux semaines. L'écart serait faible ; il n'en serait pas moins un écart, et il sera mesuré puis écrit ici, dans un sens ou dans l'autre.

Limite assumée sur le traitement n°2. La mesure d'audience ne pose aucun identifiant de visiteur : il n'existe donc aucun moyen de retrouver les vues d'une personne donnée pour les lui communiquer ou les effacer. Un droit d'accès ou d'effacement ne s'y exerce pas — c'est la contrepartie directe de la minimisation. Le droit d'opposition, lui, s'exerce en un clic depuis la page de confidentialité, et c'est celui qui a un sens ici.

Note du 12/09/2026 — correction de la durée annoncée. Ce registre indiquait « 13 mois glissants à compter de la dernière visite ». La purge réellement appliquée supprime les visites enregistrées il y a plus de 12 mois : deux écarts, la durée et le point de départ. C'est la durée appliquée qui est écrite ici, et la mention d'information a été corrigée en même temps.

Un registre article 30 vaut par sa fidélité au traitement réel, pas par sa mise en page : une durée annoncée plus longue que la durée appliquée reste un écart de conformité, même quand il joue en faveur de la personne concernée. La correction est datée plutôt que silencieuse.

Note du 06/10/2026 — revue de la mesure d'audience. Le traitement n°2 de cette page n'était pas repris dans le fichier source du dépôt : les deux divergeaient, le fichier source est désormais aligné. État mesuré ce jour : Matomo auto-hébergé est servi, Google Tag Manager est absent. Le choix définitif de l'outil de mesure reste ouvert ; s'il change, ce traitement doit être mis à jour avant le changement.

66.249.74.0 - [03/Sep/2026:05:48:37 +0000] "GET /robots.txt HTTP/1.1" 200 192 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"

Ce que cette troncature n'est pas. Remplacer le dernier octet est la pratique retenue par la CNIL pour la mesure d'audience. Ce n'est pas une anonymisation irréversible au sens du considérant 26 du RGPD. Une adresse tronquée reste rattachable à un réseau, et croisée avec d'autres données — un horodatage précis, une suite de pages, un agent utilisateur singulier — elle peut redevenir discriminante. C'est une mesure de minimisation. La nommer pour ce qu'elle est vaut mieux que de la vendre pour plus.

Note du 13/09/2026 — la mesure ne couvrait qu'un site sur trois. La ligne ci-dessus est sincère, le fichier dont elle sort ne l'était pas entièrement. La troncature était appliquée par le vhost du portfolio, et par lui seul. Deux autres sites du périmètre écrivaient dans le même fichier de journal, avec le format par défaut du frontal, c'est-à-dire l'adresse complète.

Les chiffres, relevés le 13/09/2026 avant correction. Sur les deux derniers jours de journal : 1 510 lignes sur 3 797, soit environ 40 %, portaient une adresse complète. Sur les quatorze jours de rétention : 100 adresses complètes distinctes, dont 98 hors boucle locale et hors la machine elle-même, et 93 associées à un agent utilisateur de navigateur réel. Ce ne sont donc pas que des robots.

La cause tient en une règle de lecture : le format anonymisé était défini dans le fichier du portfolio, lu après les deux autres. Un format déclaré plus bas qu'il n'est utilisé est invisible, et le frontal retombe sans broncher sur son format par défaut. Aucune erreur, aucune alerte. La configuration est corrigée depuis le 13/09/2026, vérifiée sur une requête réelle avant et après.

Note du 14/09/2026 — les journaux déjà écrits ont été tronqués, sans attendre. La note ci-dessus se terminait, la veille, par une phrase devenue fausse : « les journaux déjà écrits gardent leurs adresses complètes jusqu'à la fin de leur rétention ». La fin de rétention tombait le 27/09 ; attendre aurait suffi. Ça n'a pas été fait.

15 310 lignes portant une adresse complète, réparties sur 15 fichiers de journal archivés et compressés, ont été tronquées le 14/09/2026. Recompte indépendant après traitement : zéro. La troncature a été faite sur copie, vérifiée, puis la copie a remplacé l'original en préservant droits et propriétaire ; le fichier en cours d'écriture n'a pas été touché, il était déjà propre. Rotation, configuration du frontal et service ont été recontrôlés après.

Le raisonnement derrière ce choix tient en une phrase. L'article 5.1.c impose de minimiser, pas d'attendre que le surplus expire. Une donnée collectée en trop reste une donnée collectée en trop pendant qu'elle dort sur un disque, et « j'ai laissé la rotation faire » n'est pas une mesure de conformité — c'est le passage du temps. Le contrôle C12 de l'audit interne redevient donc conforme à cette date, et non le 27.

Conclusion : aucun des deux traitements ne remplit deux critères, une AIPD n'est pas requise. Documenter cette analyse suffit comme preuve de conformité (accountability, art. 5.2). La conclusion est inchangée par rapport à la version précédente de ce document — mais elle reposait alors sur une prémisse fausse, « le suivi ne concerne pas le grand public ». Une bonne conclusion tirée d'un fait faux reste à refaire. Elle a été refaite.

Conclusion : aucun des trois cas n'est rempli, la désignation d'un DPO n'est pas obligatoire. Comme pour l'AIPD, c'est le fait de documenter l'analyse qui vaut preuve de conformité (art. 5.2), pas la conclusion elle-même.

Ce que « DPO » veut dire ailleurs dans ce dossier, et ce qu'il ne veut pas dire. La politique SSI écrit qu'une seule personne cumule RSSI, administrateur et DPO. Le mot y désigne une responsabilité interne assumée — quelqu'un doit répondre des données personnelles collectées, et cette personne est nommée. Il ne désigne pas un délégué au sens des articles 37 à 39.

La différence n'est pas cosmétique. L'article 38.3 exige que le délégué ne reçoive aucune instruction sur l'exercice de ses missions et ne soit pas sanctionné pour les avoir exercées ; l'article 38.6 interdit qu'une autre fonction le place en conflit d'intérêts. Le responsable de traitement ne peut donc pas être son propre délégué : il se contrôlerait lui-même. Désigner volontairement un DPO ici reviendrait à revendiquer une garantie qui n'existe pas dans les faits — et un DPO désigné volontairement est soumis au même régime qu'un DPO obligatoire, ce qui aggraverait l'écart au lieu de le couvrir.

L'écart est donc structurel et il est assumé comme tel : il n'y a pas de séparation entre celui qui décide du traitement et celui qui en contrôle la conformité. Dans une organisation, cette séparation est la garantie. Ici, elle n'existe pas, et rien ne la remplace. Ce qui la compense en partie, sans la remplacer : l'analyse est écrite, datée et publiée, et les corrections qu'elle a imposées le sont aussi, y compris quand elles révèlent que le document mentait — voir les notes des 12, 13 et 14/09/2026 ci-dessus.