Prestation de mise en conformité Matomo dans le cadre du RGPD
J’ai eu cette semaine à effectuer un audit d’une installation de Matomo afin de m’assurer que celle-ci était conforme aux directives de la CNIL quant à une exemption de consentement. Je me suis dit qu’il pourrait être intéressant de vous partager ici ma méthode de travail.
Pourquoi s’intéresser à Matomo ?
Matomo, au même titre que beaucoup d’autres solutions analytics, a fait l’objet d’un dossier remis à la CNIL pour pouvoir bénéficier d’une exemption de consentement de la part des visiteurs arrivant sur votre site. Pour faire simple, avec Matomo vous pouvez collecter et analyser le comportement de vos visiteurs, là où pour d’autres il faut l’accord explicite des visiteurs (chose qu’ils font assez rarement).
Ce dossier a été constitué par l’équipe de Matomo pour répondre à des exigences que vous pouvez consulter sur ce lien : https://www.cnil.fr/sites/default/files/atoms/files/formulaire_programme_daccompagnement.odt (il est très intéressant de s’attarder sur le point 1, qui montre que des solutions de type Google Analytics ne pourront jamais être exemptes de consentement… à moins de devenir des associations à but non lucratif).
Une fois ce dossier étudié, la CNIL envoie ses remarques à l’éditeur et une partie de tennis de table s’engage jusqu’à ce que le dossier soit validé et fasse l’objet du guide de mise en conformité que vous retrouverez ici : https://www.cnil.fr/sites/default/files/atoms/files/matomo_analytics_-exemption-_guide_de_configuration.pdf (on est donc sur un document analysé à un instant t et non évolutif).
À ma connaissance, Matomo est le seul logiciel libre qui soit exempté de consentement. Mon point de vue personnel est qu’il répond bien mieux que toutes les autres solutions analytics aux besoins du moment, qui sont la transparence et la gouvernance numérique (mais bon, toutes les organisations ne sont pas encore à ce stade de maturité).
En quoi consiste un audit de mise en conformité Matomo dans le cadre du RGPD ?
Tout simplement à suivre à la lettre les directives qui figurent dans ce fameux guide de mise en conformité : https://www.cnil.fr/sites/default/files/atoms/files/matomo_analytics_-exemption-_guide_de_configuration.pdf. Exit toutes les interprétations d’articles de blog : je me concentre sur une seule chose, ce que dit la CNIL. Je vérifie chacun des points et m’entretiens avec le client pour m’assurer que chaque critère est bien compris et respecté. Bref, rien de compliqué : vous lisez, vous appliquez et, honnêtement, le plus difficile ce n’est pas Matomo, c’est la page de confidentialité des données à produire… qui est une obligation depuis l’entrée en vigueur du RGPD, soit mai 2018.
