Loi 2004-63 : où vont les données de votre site ?

La réponse courte#

Votre site n’envoie pas les données de vos clients à un seul endroit. L’hébergeur, le service qui envoie les emails de confirmation, l’outil de statistiques, le chat en ligne, la solution de paiement, le pixel publicitaire : chacun reçoit une partie des informations — nom, email, téléphone, adresse, parfois le comportement de navigation.

En Tunisie, la protection des données personnelles est encadrée par la loi organique 2004-63 et contrôlée par l’Instance nationale de protection des données à caractère personnel (INPDP). En Europe, c’est le RGPD. Dans les deux cas, la première étape est la même : savoir où vont les données. Ce guide vous aide à faire cet inventaire. Pour vos obligations précises, faites-vous accompagner par un conseil juridique.

Pourquoi c’est important#

Parce que vous restez responsable des données de vos clients, même quand c’est un outil tiers qui les traite. Parce que certains transferts vers l’étranger sont encadrés. Et parce qu’un client qui demande « que savez-vous de moi, et où ? » mérite une réponse précise — pas « je ne sais pas, c’est l’agence qui a installé ça ».

Faire l’inventaire, outil par outil#

1. Lister tous les services qui reçoivent des données#

Demandez à votre prestataire la liste complète, et vérifiez-la vous-même : pour chaque formulaire, chaque email automatique, chaque script ajouté au site, quel service est impliqué ? Les oublis les plus fréquents : l’outil d’envoi d’emails, les statistiques, les pixels publicitaires, les widgets de chat, les polices ou vidéos chargées depuis un service externe.

2. Pour chacun, noter quatre choses#

• Quelles données il reçoit (email, téléphone, adresse, navigation) ;
• Dans quel pays il les traite ou les stocke ;
• Pourquoi vous l’utilisez (livrer, facturer, mesurer, faire de la publicité) ;
• Combien de temps les données y restent.

3. Repérer les transferts à l’étranger#

Beaucoup de services en ligne traitent les données hors de Tunisie : en Europe, aux États-Unis ou ailleurs. Selon les pays concernés, ces transferts peuvent être soumis à des conditions particulières, voire à une autorisation. C’est un point à faire vérifier par votre conseil juridique pour chaque service concerné. Parfois, la solution la plus simple est de choisir un prestataire qui traite les données dans un pays dont le cadre est reconnu comme adéquat.

4. Vérifier le consentement quand il est nécessaire#

Les outils de statistiques avancées et les pixels publicitaires suivent souvent le visiteur. Selon les outils et les pays, cela peut nécessiter son accord préalable — un bandeau de consentement qui fonctionne vraiment, c’est-à-dire qui n’active rien avant l’accord. Un bandeau qui affiche « accepter » mais charge tout dès l’arrivée ne protège personne.

5. Garder une preuve des consentements recueillis#

Quand un client coche une case (inscription, formulaire de contact, newsletter), le site devrait conserver quand il l’a fait et le texte exact qu’il a accepté. Le jour où la question se pose, c’est cette trace qui compte.

6. Ne garder que le nécessaire, et pas indéfiniment#

Moins de données collectées, c’est moins de risques. Demandez-vous pour chaque champ de formulaire : en ai-je vraiment besoin ? Et fixez une durée de conservation : les messages de contact anciens, les paniers abandonnés, les journaux techniques n’ont pas à être gardés pour toujours. Un bon site supprime automatiquement ce qui a dépassé sa durée.

7. Pouvoir répondre aux demandes des clients#

Vos clients peuvent demander à accéder à leurs données, à les corriger ou à les faire supprimer. Votre site doit permettre de répondre rapidement : retrouver les données d’une personne, les exporter, les effacer — tout en conservant ce que la comptabilité impose de garder.

Les démarches à connaître#

En Tunisie, la loi 2004-63 prévoit notamment des formalités auprès de l’INPDP avant certains traitements de données, et des règles pour les transferts à l’étranger. En Europe, le RGPD impose ses propres obligations. Le détail dépend de votre activité, des données traitées et des services utilisés : c’est précisément ce que votre conseil juridique doit valider, à partir de l’inventaire que vous aurez fait.

Le tableau d’inventaire à remplir#

Remplissez ce tableau avec votre prestataire, puis apportez-le à votre conseil juridique. Vous transformez une question floue (« suis-je en règle ? ») en une liste précise à vérifier — et le rendez-vous coûte moins cher.