Polices web, images et cookies : la responsabilité RGPD cachée dans votre code

L'intégrateur web a longtemps été perçu comme un simple exécutant : on lui fournit une maquette, il la transforme en pages. Mais cette vision sous-estime un fait juridique majeur : les choix techniques d'intégration ont des conséquences réglementaires directes.

Quand vous décidez de charger une police depuis un CDN externe, d'intégrer un script de mesure d'audience ou d'inclure une vidéo embarquée, vous ne faites pas qu'écrire du HTML : vous mettez en place des flux de données personnelles et des traitements qui relèvent du RGPD et de la réglementation e-privacy. Le client, responsable de traitement, peut se retourner contre vous si ces choix le mettent en infraction.

Trois zones de risque méritent une vigilance particulière : les polices et scripts en CDN, les images et médias, et les cookies tiers. Passons-les en revue.

Intégrer une police de caractères directement depuis un service d'hébergement externe est un réflexe de productivité bien connu. Le problème : lorsqu'un visiteur charge la page, son navigateur contacte le serveur tiers, qui reçoit alors son adresse IP — une donnée personnelle au sens du RGPD — souvent transmise hors de l'Union européenne.

Sans base légale ni information du visiteur, ce simple appel réseau peut constituer un transfert de données non conforme. Des autorités de protection des données européennes ont déjà sanctionné des sites pour ce motif précis, et des vagues de mises en demeure ont visé des exploitants de sites... qui se sont ensuite retournés vers leur prestataire technique.

La bonne pratique de l'intégrateur :

• Héberger les polices localement sur le serveur du site plutôt que de les appeler depuis un CDN externe, supprimant le transfert vers le tiers.
• Appliquer le même raisonnement aux bibliothèques JavaScript chargées depuis des CDN.
• Documenter ce choix auprès du client et l'alerter quand il impose une solution non conforme malgré votre conseil.

Une ligne de code qui appelle un serveur étranger peut suffire à transformer un site en traitement de données non conforme. L'intégrateur est aux premières loges.

Deuxième zone à risque : les visuels. Dans l'urgence d'une livraison, la tentation est grande d'utiliser une image trouvée en ligne ou une photo "qui fera l'affaire". Deux dangers distincts se cumulent :

1. Le droit d'auteur : toute image, illustration ou photographie est protégée. L'utiliser sans licence valide constitue une contrefaçon, exposant à des dommages-intérêts. Une licence "gratuite" trouvée à la hâte ne couvre pas toujours l'usage commercial ou la modification.
2. Le droit à l'image : une photo représentant une personne identifiable nécessite son autorisation. Réutiliser un visuel d'une autre source sans vérifier ce point expose le site à une réclamation de la personne représentée.

La difficulté pour l'intégrateur : qui a fourni l'image ? Si c'est le client, faites-lui garantir par écrit qu'il détient les droits. Si c'est vous qui sourcez les visuels, conservez les preuves de licence pour chaque média intégré. En cas de réclamation pour contrefaçon, c'est cette traçabilité qui déterminera la répartition des responsabilités.

Le métier d'intégrateur est exposé à ces préjudices immatériels au même titre qu'aux bugs : notre page RC Pro intégrateur web détaille ces garanties.

Troisième angle mort : les cookies et traceurs tiers. Outils de mesure d'audience, pixels de réseaux sociaux, scripts publicitaires, lecteurs vidéo embarqués... La plupart déposent des traceurs sur le terminal du visiteur, parfois avant tout consentement.

La règle est claire : à l'exception des traceurs strictement nécessaires au fonctionnement du site, aucun cookie tiers ne doit être déposé avant que le visiteur n'ait activement consenti. Or, dans la pratique, c'est l'intégrateur qui câble ces scripts dans le template. S'il les charge dès l'arrivée sur la page, sans les conditionner au consentement, le site est en infraction — et l'intégrateur a posé le code fautif.

Les réflexes professionnels à adopter :

• Ne charger les scripts tiers (analytics, pixels, vidéos externes) qu'après recueil du consentement via le bandeau cookies.
• Mettre en place une solution de gestion du consentement qui bloque réellement les traceurs tant que l'utilisateur n'a pas choisi.
• Vérifier qu'aucun script n'échappe au mécanisme — un seul oubli suffit à rendre l'ensemble non conforme.

Là encore, la limite entre votre responsabilité et celle du client tient à l'écrit : avez-vous conseillé la conformité ? Le client a-t-il imposé un choix contraire en connaissance de cause ?

Ces trois zones — polices, images, cookies — ont un point commun : elles génèrent des préjudices immatériels (sanction, dommages-intérêts, mise en demeure, atteinte à la réputation) qui peuvent être imputés à l'intégrateur lorsque la faute technique lui revient.

Deux couvertures sont ici complémentaires :

• La RC Professionnelle intervient lorsqu'une erreur ou une omission dans votre prestation (un script mal câblé, une image non libre de droits intégrée par vos soins) cause un préjudice financier à votre client.
• La cyber-assurance prend le relais sur le volet données : violation de données, frais de notification, accompagnement juridique en cas de contrôle d'une autorité de protection des données, gestion de crise.

À partir de 12,90 €/mois, l'intégrateur indépendant peut sécuriser cette exposition. Mais l'assurance ne dispense jamais de la rigueur : documenter ses choix techniques, alerter le client par écrit et conserver ses preuves de licence reste la première ligne de défense. L'écrit prévient le litige, l'assurance en absorbe le coût.