Piwik et la CNIL : comment se mettre en conformité ?

Contrairement à ce que l’on pense, déployer Piwik sur un site internet ne signifie pas automatiquement que vous êtes en règle.

Il faut pour cela respecter plusieurs obligations que vous trouverez ci-dessous.

Les obligations à respecter lorsque l’on utilise Piwik sur un site web

Lorsque vous mettez en place Piwik sur un site web, voici ce que vous devez faire :

• Fournir une page d’information claire et complète sur votre site : en gros, vous devez expliquer aux internautes les données que vous collectez et à quoi servent les solutions utilisées. Cette page d’information peut être votre page de mentions légales, même si une page intitulée « confidentialité des données » est plus explicite. Exemple : page de confidentialité des données de Ronan Chardonneau.
• Sur cette page de confidentialité des données, ou à un autre endroit visible de votre site internet, vous devez proposer un moyen pour l’internaute de s’opposer à l’utilisation de cette solution. En gros, même si Piwik est exempté du recueil de consentement pour le dépôt des cookies, un internaute a le droit de s’opposer à ce que des données soient collectées. Par ailleurs, il faut que ces moyens d’opposition fonctionnent sur tous types de terminaux (y compris les smartphones et tablettes). Piwik vous propose une fonctionnalité sous la forme d’une iframe que vous trouverez dans l’espace d’administration –> Vie privée –> tout en bas de la page :

< iframe style="border: 0; height: 200px; width: 600px;" src="https://piwik.mon-site.fr/index.php?module=CoreAdminHome&action=optOut&language=fr">

• Les données collectées ne doivent pas être recoupées avec d’autres traitements. Ici, la consigne est claire : vous ne pouvez pas utiliser n’importe quel plugin de Piwik ni importer n’importe quoi dans Piwik, notamment des bases de données clients.
• Le cookie déposé doit servir uniquement à la production de statistiques anonymes. Cela signifie qu’il vous faudra paramétrer Piwik d’une certaine manière pour que les données collectées ne permettent pas de remonter jusqu’à un individu donné.
• Le cookie ne doit pas permettre de suivre la navigation de l’internaute sur d’autres sites.
  L’adresse IP permettant de géolocaliser l’internaute ne doit pas être plus précise que l’échelle de la ville. Concrètement, les deux derniers octets de l’adresse IP doivent être supprimés. C’est ce que l’on paramètre dans Piwik, dans l’espace d’administration :

• Les cookies permettant la traçabilité des internautes et les adresses IP ne doivent pas être conservés au-delà de 13 mois à compter de la première visite. C’est également quelque chose que l’on paramètre dans Piwik :

_paq.push([function() {
          var self = this;
          function getOriginalVisitorCookieTimeout() {
                     var now = new Date(),
                     nowTs = Math.round(now.getTime() / 1000),
                     visitorInfo = self.getVisitorInfo();
                     var createTs = parseInt(visitorInfo[2]);
                     var cookieTimeout = 33696000; // 13 mois en secondes
                     var originalTimeout = createTs + cookieTimeout - nowTs;
                     return originalTimeout;
          }
          this.setVisitorCookieTimeout( getOriginalVisitorCookieTimeout() );
}]);