Site de mariage et RGPD : quelles données, qui y touche, quand elles disparaissent

La France applique le règlement européen directement, sans transposition à attendre, et l'autorité compétente est la CNIL, instituée par la loi n° 78-17 du 6 janvier 1978. Ce cadre-là est donc acquis. Ce qui ne l'est pas, c'est la répartition des rôles entre vous et l'outil que vous utilisez — et c'est elle qui décide de ce que vous avez concrètement à faire.

Cet article prend le problème dans l'ordre du planning : d'abord l'inventaire de ce qui s'accumule, ensuite qui répond de quoi, puis le tri des questions à poser à vos invités, les copies qui partent chez vos prestataires, et enfin le calendrier de suppression. Sur Getting Married, l'hébergement est situé en Allemagne et les pages de vos invités ne sont accessibles que par un code — deux éléments qui simplifient les réponses, sans les remplacer.

On ne peut protéger que ce que l'on a compté. Voici ce qui s'accumule dans l'ordre où un couple travaille, et ce n'est jamais aussi peu qu'on le croit.

Deux lignes de ce tableau pèsent plus lourd que toutes les autres. Les allergies et les régimes alimentaires disent quelque chose de la santé, et parfois de la religion : le règlement range ces informations dans une catégorie qu'il protège plus strictement que le reste (art. 9). Et les photographies de vos invités, en particulier de leurs enfants, sont ce dont on vous reparlera des années plus tard.

Le reste est ordinaire, et c'est plutôt une bonne nouvelle : un nom et une adresse électronique n'appellent pas de précaution particulière tant qu'ils restent au même endroit et qu'ils en sortent à une date prévue.

Voici le point que presque toutes les pages « conformité » passent sous silence, et il change la charge qui pèse sur vous.

Le règlement ne s'applique pas au traitement effectué par une personne physique dans le cadre d'une activité strictement personnelle ou domestique (art. 2, § 2, c). Organiser son propre mariage relève de cette sphère : vous n'avez ni registre à tenir, ni base légale à documenter, ni délégué à désigner. Mais le considérant 18 ferme aussitôt la porte qu'on pourrait croire ouverte — le règlement s'applique bel et bien aux responsables et aux sous-traitants qui fournissent les moyens de ce traitement. Autrement dit : l'outil y est soumis même quand vous ne l'êtes pas.

L'exception a par ailleurs une limite nette, et c'est celle qui compte en pratique : elle se referme dès que les données quittent la sphère privée. Une liste d'invités, un mur de messages ou une galerie publiés en accès libre sur internet n'en relèvent plus. C'est l'argument le plus solide en faveur d'une page fermée par un code — bien avant le confort ou l'esthétique.

Deux conséquences pour votre comparaison de prestataires. D'abord, exigez de savoir où sont hébergées les données et qui peut y accéder : c'est une question à l'outil, pas à vous. Ensuite, méfiez-vous des offres gratuites financées par la publicité affichée à vos invités, car cela signifie des tiers présents sur une page qui contient des réponses et des allergies. Si un désaccord persiste avec un prestataire, la CNIL est l'autorité à saisir, et sa saisine est gratuite.

La meilleure protection ne s'achète pas, elle se décide au moment où vous construisez le formulaire. Un test suffit, à appliquer champ par champ : que ferions-nous différemment si nous connaissions la réponse ?

L'allergie change ce que fait la cuisine. Le nombre de personnes change le nombre de chaises. La date de naissance ne change rien — donc le champ disparaît. Cette question éliminée n'est pas seulement une donnée en moins à protéger : c'est aussi un obstacle en moins entre votre invité et le bouton de confirmation. Le tri sert les deux causes en même temps, ce qui est assez rare pour être signalé.

Deux précisions se rangent séparément et non dans un même champ libre. « Je ne mange pas de viande » est une préférence ; « les fruits à coque déclenchent une réaction chez moi » est une information médicale. La cuisine les traite différemment, et vous ne les conserverez pas aussi longtemps. Séparez-les dès le formulaire ; les regrouper ensuite est un travail manuel, ligne par ligne.

Enfin, préférez des listes de choix aux réponses libres partout où c'est possible. Un champ libre attire des confidences que vous n'avez pas demandées — un état de santé, une situation familiale — et que vous devrez ensuite conserver et supprimer comme le reste. Comment composer ces questions pour qu'elles produisent des réponses exploitables est traité dans l'article sur les réponses en ligne.

Le risque le plus réel n'est pas l'outil : ce sont les extraits que vous envoyez, parce qu'ils ne disparaissent pas quand vous nettoyez votre propre liste.

Quatre destinataires reviennent dans tous les mariages, et chacun a besoin d'une part différente. Le traiteur a besoin d'un nombre, des choix de menu et des allergies — pas des adresses ni des numéros de téléphone. L'imprimeur a besoin de noms et d'adresses postales — pas des régimes alimentaires. Le photographe a besoin d'un déroulé et de quelques noms pour les photos de groupe. La personne qui compose le plan de table a besoin des noms et des liens de parenté, rarement du reste. Personne n'a besoin de tout.

Adoptez donc une règle unique et tenez-la : transmettez la colonne demandée, jamais le fichier entier, et indiquez une date à laquelle la copie doit être détruite. Une phrase dans le courriel d'envoi suffit et fait tout le travail. C'est aussi ce qui vous permet de répondre si un invité demande un jour ce que vous détenez sur lui : vous saurez où chercher, et vous saurez qui d'autre en a reçu une part.

Un mot sur les demandes de vos invités, justement. Le règlement leur ouvre un droit d'accès et un droit à l'effacement ; même quand votre propre traitement relève de la sphère domestique, une demande formulée poliment se traite dans la journée et coûte une minute. Prévoyez simplement de pouvoir y répondre depuis un seul endroit, plutôt qu'en fouillant trois boîtes aux lettres.

Le lendemain de la fête, votre liste change de nature. Elle n'est plus un outil, elle est un souvenir accompagné d'un passif. Une seule décision règle la question, et elle se prend bien avant : fixer la date à laquelle tout doit avoir disparu.

L'ordre qui fonctionne comporte quatre gestes, et l'ordre compte autant que les gestes :

1. Télécharger la galerie en pleine résolution, et la sauvegarder à deux endroits différents.
2. Exporter la liste d'invités sous forme de fichier, tant que la page est encore ouverte.
3. Fermer les accès, pour que les anciens liens ne mènent plus nulle part.
4. Éteindre la page, ou la laisser arriver à échéance.

Ajoutez à votre comparaison quatre questions que l'on ne pose presque jamais avant d'acheter, parce qu'elles ne portent que sur l'après. Peut-on supprimer une image seule ? Peut-on bloquer un accès isolé sans changer tous les autres ? La page peut-elle être mise hors ligne sans que le compte disparaisse ? Et combien de personnes disposent, au bout du compte, d'un identifiant d'administration ?

Cette dernière question a une réponse à décider à deux, et elle a peu à voir avec la technique : qui répond aux demandes, qui corrige les fiches. Deux personnes qui rectifient la même liste chacune de leur côté sont la première cause d'invitations en double et de réponses introuvables. S'il y a une seconde célébration, décalez sciemment la date de suppression plutôt que de la laisser passer.