QlynkUn clic sur un lien est-il une donnée personnelle ?
Pas à lui seul, mais ce qui l’accompagne peut l’être. Quand quelqu’un clique, le service reçoit son adresse IP et des informations sur son navigateur. La Cour de justice de l’Union européenne a jugé, dans l’arrêt Breyer de 2016, qu’une adresse IP, même dynamique, peut constituer une donnée personnelle. Le RGPD s’applique donc dès qu’un outil conserve de telles informations sur des visiteurs situés dans l’Union européenne.
Dans la pratique, la question n’est pas de savoir s’il faut tout interdire, mais de collecter peu, de garder peu de temps et d’expliquer simplement.
Qui est responsable : vous ou le service ?
En général, vous décidez de créer un lien et d’en mesurer les clics : vous décidez donc du but du traitement. Le service qui le réalise pour vous agit pour votre compte. Les rôles exacts dépendent des conditions de chaque outil, qu’il faut donc lire.
Concrètement, cela vous conduit à deux gestes : choisir un prestataire qui présente clairement ce qu’il fait des données, et mentionner les liens avec statistiques dans votre propre politique de confidentialité.
Faut-il un bandeau de cookies pour mesurer des clics ?
Tout dépend de ce que fait l’outil. Les règles sur les cookies et autres traceurs visent le dépôt ou la lecture d’informations sur l’appareil du visiteur. Si le service ne pose aucun cookie ni ne lit rien dans l’appareil, ces règles ne sont pas en jeu pour le simple comptage.
La CNIL admet par ailleurs que certaines mesures d’audience puissent se passer de consentement, à des conditions strictes : finalité limitée à la mesure de l’audience, données anonymes sous forme de statistiques, pas de suivi global de la navigation, pas de croisement avec d’autres traitements ni de transmission à des tiers, et une conservation des données de ces traceurs ne dépassant pas 25 mois. Si une seule condition manque, il faut recueillir le consentement. Pour un outil comme Google Analytics, comptez en principe sur le recueil du consentement, sauf à avoir vérifié le contraire auprès de la CNIL.
Quels points vérifier chez un raccourcisseur ?
Posez-vous ces questions en lisant la politique de confidentialité du service :
- L’adresse IP est-elle conservée en entier, tronquée ou jamais stockée ?
- Un cookie est-il posé sur les visiteurs qui cliquent ?
- Combien de temps le détail de chaque visite est-il gardé, et que reste-t-il ensuite ?
- Où sont hébergées les données, et à qui sont-elles transmises ?
- Des outils tiers (mesure d’audience, publicité, polices) sont-ils chargés sur les pages ?
- Les visiteurs ont-ils un moyen simple d’exercer leurs droits (accès, opposition, effacement) ?
Que fait Qlynk des données des visiteurs ?
D’après sa politique de confidentialité, Qlynk ne pose aucun cookie sur les visiteurs d’un lien et ne charge aucun contenu venu d’un service tiers. L’adresse IP n’est jamais enregistrée en entier : seuls les trois premiers blocs sont conservés. Les visiteurs uniques sont comptés avec une empreinte calculée à partir d’un secret qui change chaque jour, ce qui empêche de reconnaître quelqu’un d’un jour à l’autre. Le détail de chaque visite est gardé 13 mois, puis il ne reste que des totaux par jour sans donnée personnelle. Les membres ne voient jamais d’adresse IP. Le service est hébergé en France, chez o2switch.
La base légale annoncée est l’intérêt légitime de mesurer l’audience des liens, avec des données réduites au strict nécessaire. Cela ne dispense pas le membre d’informer ses propres visiteurs. Ces éléments sont ceux de la politique en vigueur : relisez-la, car elle peut évoluer.
Que devez-vous faire de votre côté ?
Mentionnez dans votre politique de confidentialité que vos liens passent par un service de liens courts avec statistiques, avec le nom du service, la finalité (mesurer l’intérêt pour vos contenus) et un renvoi vers sa politique. N’ajoutez pas de données personnelles dans les adresses (adresse e-mail dans un lien de newsletter, par exemple). Et si vous ajoutez vous-même un outil d’analyse sur vos pages, traitez-le séparément, avec son propre consentement si nécessaire. En cas de doute sur votre situation, adressez-vous à un juriste ou à la CNIL.
Qu’en est-il des statistiques par pays et par appareil ?
Les statistiques les plus courantes (pays, appareil, navigateur, langue) sont des données agrégées : on compte combien de visites viennent de France ou d’un mobile, sans conserver l’identité de quelqu’un. C’est la forme de mesure la plus respectueuse, car elle sert à comprendre un public et non à suivre une personne.
Le point sensible est le niveau de détail. Plus l’outil conserve de détails par visite, plus il devient possible de recouper des informations pour identifier quelqu’un. La position d’un visiteur à l’échelle d’un pays n’a pas le même poids que sa position à la rue près. Un outil sobre se limite à ce qui répond à une question utile pour vous.
Demandez-vous toujours : ai-je réellement besoin de cette donnée pour décider quelque chose ? Si la réponse est non, n’activez pas l’option, c’est le principe de minimisation prévu par le RGPD. Pensez aussi à ce que vous promettez à vos visiteurs, et tenez-vous-y.
Questions fréquentes
Un lien court avec statistiques est-il interdit en France ?
Non. Il est permis à condition de respecter le RGPD : informer les visiteurs, collecter le minimum, limiter la durée de conservation et, selon les traceurs utilisés, recueillir leur consentement.
L’adresse IP tronquée est-elle anonyme ?
Elle réduit fortement le risque d’identification, mais le caractère anonyme ou non dépend de l’ensemble des données conservées. Un service sérieux explique ce qu’il garde, et vous pouvez lui demander des précisions.
Où lire la politique de confidentialité de Qlynk ?
Sur la page « Politique de confidentialité » de qlynk.eu, mise à jour avec la date de dernière modification. Elle décrit les données collectées, leurs durées de conservation et la manière d’exercer vos droits.