1. Introduction au RGPD et à la vie privée dans Dynatrace
La collecte de données via le Real User Monitoring (RUM) et le Session Replay soulève d'importantes questions de conformité vis-à-vis du RGPD.
Le défi de l'observabilité face au RGPD
Le Règlement Général sur la Protection des Données (RGPD) impose des règles strictes sur la collecte et le traitement des données à caractère personnel (PII). Dynatrace, en capturant les sessions utilisateurs, les adresses IP et les interactions (clics, frappes au clavier via Session Replay), se trouve en première ligne. Heureusement, la plateforme offre un arsenal de fonctionnalités sous l'appellation Data Privacy pour anonymiser, masquer et conditionner la collecte au consentement explicite de l'utilisateur.
2. Configuration globale de la protection des données
Dynatrace permet de configurer le comportement de l'agent JavaScript en fonction des règles de confidentialité de votre entreprise.
Activer le mode Opt-in (Consentement explicite)
Pour être en conformité avec le RGPD, vous ne devez pas pister un utilisateur sans son accord. Dynatrace propose le paramètre Opt-in mode.
Pour l'activer : allez dans les paramètres de votre application web > Data privacy. Activez Enable opt-in mode. Lorsque ce mode est actif, le OneAgent JavaScript est bien injecté, mais il ne collecte aucune donnée de performance ni de session tant que l'utilisateur n'a pas accepté les cookies de suivi. L'application devra alors appeler l'API JavaScript Dynatrace (dtrum.enable() ou gérer le cookie dtConsent) lorsque le bandeau de cookies est validé.
Do Not Track (DNT)
Toujours dans la section Data privacy, vous pouvez activer le paramètre Respect 'Do Not Track' headers. Dynatrace ignorera purement et simplement les utilisateurs ayant configuré leur navigateur pour ne pas être suivis.
3. Masquage des données (Data Masking) et adresses IP
Le masquage est une technique cruciale pour s'assurer que les données sensibles ne quittent jamais le navigateur de l'utilisateur.
Anonymisation des adresses IP
L'adresse IP est considérée comme une donnée personnelle par le RGPD. Dans les paramètres globaux (Settings > Preferences > Data privacy and security), activez Mask IP addresses and GPS coordinates. Dynatrace remplacera le dernier octet de l'adresse IP par un zéro (ex: 192.168.10.0 au lieu de 192.168.10.45), rendant l'identification exacte impossible tout en gardant une géolocalisation par région suffisante.
Masquage dans le Session Replay
Si vous utilisez le Session Replay, vous capturez potentiellement le contenu de la page vue par l'utilisateur. Dynatrace propose plusieurs niveaux de masquage :
- Mask all : Masque tout le contenu du DOM (les textes sont remplacés par des astérisques). C'est le plus sûr mais le moins exploitable.
- Mask user input : Masque uniquement les champs de formulaire. Les mots de passe sont toujours masqués par défaut et ne peuvent être démasqués.
- Mask by CSS selector : Vous pouvez spécifier des classes CSS précises (ex:
.pii-data,.credit-card) pour cibler exactement ce qui doit être flouté.
4. Activer la collecte des identifiants de l'utilisateur (User Tagging)
Pour un support client efficace, il est souvent utile de lier une session Dynatrace à un identifiant utilisateur (e-mail, ID client). Voici comment le configurer dans le respect du RGPD.
Pourquoi configurer le User Tagging ?
Par défaut, Dynatrace identifie les utilisateurs de façon anonyme (via un cookie persistant générant un ID aléatoire). Activer la collecte des identifiants permet de retrouver rapidement la session d'un client qui a signalé un bug, ou de filtrer les dashboards par profils utilisateurs.
Attention RGPD : En liant une session à un e-mail ou à un identifiant client, vous centralisez des données fortement personnelles. Assurez-vous d'avoir l'accord de l'utilisateur (Opt-in mode actif) et que vos mentions légales précisent l'utilisation de Dynatrace pour l'analyse de l'expérience utilisateur. L'identifiant capturé doit être pertinent (privilégiez un User-ID chiffré plutôt qu'un nom complet si possible).
Comment configurer le User Tag (Capture d'identifiant)
Suivez ces étapes pour configurer la capture dans l'interface Dynatrace :
- Allez dans le menu Applications (ou Frontend) et sélectionnez votre application.
- Cliquez sur les Settings (Paramètres) de l'application, puis développez la section Capturing.
- Cliquez sur User tag et ajoutez une nouvelle règle (Add user tag rule).
Choix de la méthode de capture
Dynatrace propose plusieurs méthodes pour extraire l'identifiant côté client. Choisissez celle qui s'adapte le mieux à l'architecture de votre application :
| Méthode | Description et Exemple |
|---|---|
| CSS Selector | Capture le texte contenu dans un élément HTML de la page. Utile si le nom de l'utilisateur est affiché dans le header. (ex: #user-profile-name) |
| JavaScript variable | Capture la valeur d'une variable globale JavaScript. Parfait pour les applications Single Page Application (SPA). (ex: window.appContext.user.id) |
| Cookie value | Récupère la valeur d'un cookie spécifique. Idéal si l'ID de session métier est géré par un cookie non-HttpOnly. |
| Meta tag | Capture la valeur d'une balise <meta name="user-id" content="12345"> présente dans le DOM. |
| Server-side request attribute | Utilisé lorsque l'identifiant ne se trouve pas côté client, mais est extrait côté backend via le OneAgent (ex: attribut de requête HTTP). |
Une fois la règle configurée, vérifiez dans Session segmentation : les sessions auparavant nommées 'Anonymous' afficheront désormais la valeur capturée.
Nettoyage des données (Cleanup rule)
Si la méthode de capture récupère des données superflues (par exemple, 'Bonjour martin@entreprise.com' alors que vous ne voulez que 'martin@entreprise.com'), Dynatrace vous permet d'appliquer une Cleanup rule (Regex) au sein même de la règle de User tag. Vous pouvez par exemple utiliser Bonjour (.*) pour ne garder que la chaîne capturée par le groupe.
5. Résumé des Bonnes Pratiques
Liste de contrôle rapide pour rester serein face au RGPD avec Dynatrace.
Checklist de conformité
- [ ] Le mode Opt-in est activé et lié à votre gestionnaire de cookies (CMP).
- [ ] Le masquage des adresses IP est activé globalement.
- [ ] Le Session Replay masque tous les champs de saisie personnels (au minimum).
- [ ] Le User Tagging (Collecte d'identifiants) utilise un ID technique pseudo-anonymisé (ex: UUID) de préférence, ou est formellement couvert par votre politique de confidentialité s'il s'agit d'adresses e-mail.
- [ ] Vous avez défini des règles de Data Retention courtes pour les données personnelles de session (ex: 35 jours maximum).