Server-side tracking et DSGVO : comment le déployer en Allemagne sans risquer d'amende ?

Ne tombez pas dans le piège du baratin des agences : « on passe en server-side fini les cookies, plus besoin d'opt-in ». Les régulateurs allemands (surtout en Bavière et dans le Bade-Wurtemberg) maîtrisent parfaitement le sujet. Dès que vous lisez ne serait-ce qu'un octet sur le terminal à des fins marketing vous tombez sous le coup de la TDDDG, point barre.

Sur l'architecture technique, attention à un détail majeur : si votre conteneur serveur transmet l'adresse IP brute, le User-Agent et le referer directement aux régies pub, cela reste un transfert de données personnelles. Il faut obligatoirement tronquer le dernier octet de l'IP et agréger les horodatages au niveau de votre proxy.

Attention à ne pas mélanger deux textes : l'article 25 de la TDDDG encadre l'accès aux données du terminal (cookie ou fingerprinting) et impose le consentement. L'article 6 du DSGVO encadre le traitement des données personnelles obtenues (comme l'IP). Même si le server-side vous donne plus de contrôle sur la conformité DSGVO, il ne permet pas de contourner la TDDDG à lui seul.

edit : j'ai écrit une erreur ci-dessus, désolé.

On a monté une infra similaire sur un serveur dédié hébergé à Francfort. Ça nous coûte 80 EUR par mois d'hébergement. On ne pousse via le serveur que les données des internautes ayant validé le bandeau de consentement. Notre perte de données liée aux adblockers est passée de 28 % à 9 %, mais on ne transmet pas la moindre ligne de log sans accord préalable.

L'année dernière un consultant nous a vendu la même idée, on a désactivé le bandeau de consentement. Deux mois plus tard, mise en demeure (Abmahnung) de l'avocat d'un concurrent ; on s'est retrouvés avec 1.800 EUR de frais d'avocat et une astreinte à payer. On est direct revenus à l'ancien système de consentement. En Allemagne ça ne vaut absolument pas le coup de prendre ce risque.

Le conteneur que vous allez héberger côté serveur sera-t-il dans un centre de données au sein de l'UE ? Prévoyez-vous également de faire correspondre des identifiants clients hors ligne (comme des e-mails hashés) lors de l'envoi de données aux régies publicitaires ?

écoutez pas les marketeux franchement, les mecs regardent juste les tableaux de conversion. si ya une amende c la boîte qui prend... liez le mécanisme de consentement au serveur pas d'accord = le serveur fait aucune requête vers des tiers.

Si votre entreprise dispose d'un Délégué à la Protection des Données (Datenschutzbeauftragter), en interne ou en externe, il est légalement requis de lui faire examiner ce changement d'architecture dans le cadre d'une Analyse d'Impact relative à la Protection des Données (DSFA). La mise à jour de votre politique de confidentialité (Datenschutzerklärung) est obligatoire afin de refléter ce nouveau flux de données.

Exactement, et ce n'est pas si connu que ça. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Bien sûr, cela change si votre situation est différente.

Merci de partager le résultat. Essayer de faire cela seul est la voie la plus coûteuse.

Si j'ai bien compris, vous dites que : Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Vous avez raison. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. À votre place, j'irais par cette voie.

je ne suis pas d'accord sur ce point puis genre si l'autorisation et le périmètre ne sont pas écrits ne lancez pas ce test.

voilà, désolé si je me suis étendu.

Je suis d'accord. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

J'espère que cela vous sera utile.

J'y pensais aussi. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je suis d'accord. Les décisions hâtives finissent par être corrigées six mois plus tard.

C'est confirmé par l'expérience.

Je suis d'accord, j'aimerais même souligner ce point. Les décisions hâtives finissent par être corrigées six mois plus tard.

Essayer de faire cela seul est la voie la plus coûteuse.

je ne savais pas ça mais du coup une modfiication des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

corrigez-moi si je me trompe.