RGPD et site WordPress : êtes-vous sous-traitant des données de votre client ?

Beaucoup d'intégrateurs pensent que la conformité au RGPD relève exclusivement de leur client, propriétaire du site et des données. C'est exact sur le plan de la responsabilité finale : le client, qui décide pourquoi et comment les données sont collectées, est le responsable de traitement. Mais cela ne vous met pas hors de cause.

Car vous, intégrateur, êtes celui qui met techniquement en œuvre cette collecte. C'est vous qui installez le plugin de formulaire, qui paramètre la bannière cookies, qui branche l'outil d'analyse d'audience, qui décidez où sont stockées les données et avec quel niveau de sécurité. Vous opérez sur des données personnelles pour le compte de votre client. Le RGPD a un nom pour ce rôle : le sous-traitant (article 4.8 du règlement).

Ce statut n'est pas automatique pour toute mission : poser un thème vitrine sans aucune collecte ne vous y soumet pas. Mais dès que vous configurez ou maintenez des traitements de données, la question se pose sérieusement.

Le critère est simple : traitez-vous des données personnelles pour le compte et sur instruction de votre client ? Quelques situations typiques de l'intégration CMS :

• Vous installez et configurez un formulaire de contact ou d'inscription qui stocke noms et emails : vous intervenez sur un traitement. Si vous ne faites que le poser à la livraison sans accès ultérieur, votre rôle est ponctuel ; si vous gardez un accès admin, il devient continu.
• Vous assurez la maintenance avec accès à la base de données contenant les clients du site : vous êtes clairement sous-traitant, car vous pouvez consulter et manipuler ces données.
• Vous gérez l'hébergement du site : vous stockez les données pour le compte du client, c'est le cas d'école du sous-traitant.
• Vous branchez un outil tiers (CRM, emailing, analytics) : vous orchestrez des flux de données vers d'autres acteurs.

Si l'une de ces situations vous concerne, le RGPD impose la signature d'un contrat de sous-traitance (article 28) entre vous et votre client. Ce document n'est pas une formalité : il répartit les responsabilités, et son absence est elle-même une faute que la CNIL peut sanctionner des deux côtés.

La majorité des manquements RGPD sur les sites CMS ne viennent pas d'une mauvaise intention mais d'une configuration technique négligée — donc de votre périmètre. Trois grands classiques :

1. La bannière cookies de façade

Une bannière qui dépose les cookies de mesure d'audience et de publicité avant tout consentement, ou qui ne propose pas de refuser aussi facilement qu'accepter, est non conforme. La CNIL a sanctionné de nombreux sites pour ce motif précis. Si vous avez installé le plugin de gestion des cookies en le laissant en réglages par défaut, l'erreur est technique : elle est dans votre périmètre.

2. Le formulaire qui transmet en clair

Un formulaire de contact collectant des données sans connexion sécurisée, sans case de consentement, sans information sur la finalité, expose les données et viole les principes de base du règlement. C'est vous qui l'avez paramétré.

3. Le plugin traceur "oublié"

Un module d'analyse, une carte de géolocalisation ou un widget de réseau social qui envoie des données à des tiers, parfois hors Union européenne, sans que ce transfert soit ni déclaré ni encadré. Vous l'avez installé ; le client ignore souvent qu'il existe.

Dans chacun de ces cas, c'est le client qui reçoit la mise en demeure ou la sanction de la CNIL — mais il se retournera contre vous au titre de votre devoir de conseil en conformité technique.

Voici comment le risque vous atteint, alors même que vous n'êtes ni propriétaire du site ni responsable de traitement.

La CNIL contrôle ou reçoit une plainte. Elle sanctionne le client, responsable de traitement, pour une non-conformité technique : bannière cookies illicite, fuite de données via un formulaire mal sécurisé. Le client paie l'amende, subit l'atteinte à sa réputation, parfois indemnise des personnes dont les données ont fuité.

Puis il analyse l'origine du manquement. S'il établit que la faute vient de votre configuration ou de votre absence de conseil, il vous adresse une réclamation pour obtenir réparation de son préjudice. Vous voilà attaqué pour une faute professionnelle de conformité.

Deux garanties répondent à ce double risque :

• La RC Pro couvre la faute professionnelle : défaut de conseil, configuration non conforme, manquement à vos obligations de sous-traitant.
• L'assurance Cyber intervient sur le volet sécurité et fuite de données : si une faille technique conduit à une violation de données personnelles, elle prend en charge la gestion de l'incident, la notification CNIL et l'accompagnement, là où la seule RC Pro ne suffit pas.

Parmi les manquements RGPD, l'un est particulièrement sournois pour l'intégrateur : le transfert de données hors Union européenne opéré par un module que vous avez installé sans en mesurer la portée. Une carte interactive, une police d'écriture chargée depuis un serveur étranger, un lecteur vidéo embarqué, un outil d'analyse d'audience : beaucoup de ces briques envoient l'adresse IP des visiteurs — une donnée personnelle — vers des serveurs situés hors de l'Espace économique européen.

Or le RGPD encadre strictement ces transferts. Sans base légale appropriée ni information des personnes, le traitement est irrégulier. La CNIL a déjà sanctionné des sites pour l'usage de services tiers qui exfiltraient des données vers des pays sans niveau de protection adéquat. Le client, en première ligne, ignore le plus souvent qu'un simple widget de réseau social déclenche un tel transfert.

Pour l'intégrateur, la parade est double :

• Cartographier les flux sortants du site que vous livrez : quel module appelle quel serveur, et où.
• Informer le client par écrit de chaque transfert hors UE, en lui laissant la décision documentée de conserver ou non le module. Cet écrit déplace la responsabilité du choix vers le responsable de traitement et vous protège.

Faute de cette traçabilité, c'est votre devoir de conseil qui est en cause si le transfert se révèle problématique. C'est l'un des points où la frontière entre faute de configuration (RC Pro) et incident de données (Cyber) devient floue, et où disposer des deux garanties évite tout angle mort.

Si vous êtes sous-traitant au sens du RGPD, le règlement vous impose des obligations directes, indépendamment de votre client :

• N'agir que sur instruction documentée du responsable de traitement.
• Garantir la confidentialité et la sécurité des données auxquelles vous accédez (mots de passe, accès admin, sauvegardes chiffrées).
• Tenir un registre des traitements que vous effectuez pour le compte de vos clients, si votre activité le justifie.
• Notifier sans délai votre client en cas de violation de données que vous constatez.
• Ne pas recruter de sous-traitant ultérieur (autre hébergeur, autre prestataire) sans autorisation.

Sur le plan pratique et assurantiel, protégez-vous ainsi :

1. Signez un contrat de sous-traitance (article 28) avec chaque client pour qui vous traitez des données : il vous protège autant qu'il l'engage.
2. Documentez vos recommandations de conformité et la livraison d'une configuration conforme par défaut.
3. Alertez par écrit sur les modules traceurs et les transferts hors UE que le client choisit de conserver.
4. Souscrivez RC Pro + option Cyber pour couvrir à la fois la faute de conseil et l'incident de sécurité.

Pour le détail des garanties adaptées à votre métier, consultez la page assurance de l'intégrateur CMS.