RGPD et blogs personnels : ce que la réglementation a réellement changé

Un blog personnel tenu par un particulier pour partager ses recettes de cuisine ou ses avis de lecture relève, dans les faits, de la même réglementation sur la protection des données qu’un site marchand. Cette situation, contre-intuitive pour beaucoup de rédacteurs amateurs, découle directement du règlement général sur la protection des données entré en application en 2018. Le texte ne distingue pas la nature de l’éditeur, mais l’activité de traitement de données.

L’application du règlement aux éditeurs non professionnels

Le RGPD s’applique dès lors qu’une structure, même individuelle, collecte des données personnelles de manière organisée. Un blog avec un formulaire de commentaires, un outil de statistiques de fréquentation ou une newsletter collecte des adresses IP, des pseudonymes ou des adresses électroniques. Ces éléments sont des données personnelles au sens du règlement.

La notion d’« activité professionnelle » a longtemps laissé penser que les particuliers étaient exonérés. Les autorités de contrôle nationales, dont la CNIL en France, ont clarifié leur position : l’exception domestique ne s’applique qu’aux traitements strictement personnels, sans aucune diffusion publique. Un blog accessible à tous sort de ce cadre, même s’il est tenu à titre de loisir et sans but lucratif.

Les obligations concrètes pour un blogueur amateur

La première obligation tient à l’information des visiteurs. L’éditeur d’un site personnel doit publier une politique de confidentialité qui décrit les données collectées, leur finalité et la durée de leur conservation. Ce document doit être rédigé dans un langage simple, accessible depuis chaque page du site.

Le consentement aux cookies de mesure d’audience fait l’objet d’un encadrement spécifique. Depuis les lignes directrices de 2020, les solutions d’analyse d’audience exemptées de consentement doivent respecter des conditions strictes : pas de suivi intersites, pas de croisement avec d’autres traitements, et une durée de conservation limitée. En dehors de ces cas, un bandeau de recueil du consentement est requis.

Le droit d’accès et de suppression des données s’applique également. Un commentateur peut demander la suppression de son pseudonyme et de son message. Le blogueur doit répondre à cette demande dans un délai d’un mois, et peut être sanctionné en cas de refus injustifié.

Les limites pratiques et les cas particuliers

L’application du RGPD aux blogs personnels comporte toutefois des limites. Les traitements purement manuels, comme un carnet d’adresses papier, ne sont pas concernés. Les sites qui n’utilisent aucun traceur, aucun formulaire et aucun service externe peuvent fonctionner sans déclaration particulière, à condition de ne collecter aucune donnée.

Les plateformes de blogging hébergées, comme les services clés en main, compliquent l’analyse. L’éditeur de la plateforme agit souvent comme sous-traitant, mais le blogueur reste responsable du traitement. En pratique, ces services intègrent des outils de conformité, mais l’obligation d’information et de gestion des demandes des utilisateurs incombe toujours au rédacteur.

La question des contenus publiés par des tiers mérite une attention particulière. Un blogueur qui publie une photo où apparaît une personne identifiable traite une donnée personnelle. La simple publication d’une image peut constituer un traitement illicite si la personne n’a pas donné son accord. Cette règle s’applique indépendamment du caractère privé du blog.

Les évolutions récentes et les points de vigilance

Les dernières années ont vu une convergence des pratiques entre sites professionnels et personnels. Les modèles de mentions légales proposés par les hébergeurs intègrent désormais systématiquement une section RGPD, ce qui n’était pas le cas avant 2018. Les verbalisations de particuliers restent rares, mais les mises en demeure adressées à des éditeurs amateurs ont augmenté, notamment pour défaut de politique de confidentialité.

La jurisprudence nationale a précisé plusieurs points. Les tribunaux ont rappelé que la simple publication d’un formulaire de contact sans mention d’information constitue un manquement. Ils ont également jugé que la reprise de données publiques issues d’un blog personnel ne dispense pas le réutilisateur de respecter les finalités initiales du traitement.

Les évolutions techniques, comme le renforcement du blocage des traceurs dans les navigateurs, ont réduit la pression sur les réglages de consentement pour les petits sites. En revanche, l’utilisation de services externes intégrés, comme des lecteurs vidéo ou des polices hébergées à distance, reste une zone de risque. Chaque requête vers un serveur tiers peut transmettre l’adresse IP du visiteur, ce qui constitue un traitement de données à part entière.

La réglementation n’impose pas de formalités préalables auprès de la CNIL pour la plupart des blogs personnels, depuis la suppression de l’obligation de déclaration en 2018. Mais l’absence de formalisme ne signifie pas l’absence d’obligations. La tenue d’un registre des traitements est recommandée, même si elle n’est obligatoire que pour les structures de plus de 250 salariés. Pour un blogueur isolé, la documentation des choix effectués constitue une protection utile en cas de contrôle ou de plainte.