Lorsque vous contestez une amende SAC ou une rétribution de stationnement, PVResponse cite souvent des manquements techniques du site public qui a émis l’amende — des termes comme « pas d’en-tête HSTS » ou « Google Tag Manager se charge avant consentement ». Pour beaucoup d’utilisateurs, ces termes semblent abstraits. Cette page explique concrètement ce qui ne va pas, comment un attaquant en tire parti, et pourquoi cela renforce votre contestation.

Sommaire
  1. HTTPS et HSTS — pourquoi tout le trafic doit être chiffré
  2. Content-Security-Policy — barrière contre l’injection de scripts
  3. Referrer-Policy — fuite de données de dossier via les URL
  4. Permissions-Policy — contrôle de la caméra, micro, localisation
  5. X-Frame-Options — clickjacking
  6. X-Content-Type-Options — abus du MIME-sniffing
  7. Traceurs tiers — Google Analytics, GTM, Facebook Pixel
  8. Schrems II et transferts vers les États-Unis
  9. Consentement cookie — art. 129 LCE / ePrivacy
  10. Contrats de sous-traitance — art. 28 RGPD
  11. Logiciels obsolètes — fin de vie de Drupal 7
  12. Secrets dans le navigateur — jetons d’API dans le HTML
  13. Comment cela se traduit dans votre contestation

1. HTTPS et HSTS — pourquoi tout le trafic doit être chiffré

Lorsque vous remplissez un formulaire de contestation sur un site communal, vos données (plaque, nom, numéro de dossier) traversent des dizaines de réseaux intermédiaires avant d’atteindre le serveur de la commune. Sans HTTPS (chiffrement TLS), chaque intermédiaire — le hotspot d’un café, le routeur d’un FAI, ou un attaquant sur le même Wi-Fi — peut littéralement lire ou modifier les données.

HTTPS seul ne suffit pas : un attaquant peut intercepter la première connexion et forcer l’utilisateur vers http:// (attaque SSL-stripping). HSTS (Strict-Transport-Security) résout cela : le serveur indique au navigateur « reviens uniquement via HTTPS pendant 1 à 2 ans ».

User browser Attacker open Wi-Fi Server gemeente http:// https:// Without HSTS the attacker can strip the HTTPS layer
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Qu’est-ce qui peut mal tourner ? Sans HSTS, un attaquant sur un Wi-Fi partagé peut intercepter votre plaque, votre référence de PV et le texte de votre contestation avant qu’ils n’atteignent la commune.
Pour votre contestation L’article 32 RGPD oblige une plateforme publique à prendre « des mesures techniques appropriées ». L’en-tête HSTS existe depuis 2012 (RFC 6797) et sa configuration est gratuite. Son absence constitue une violation démontrable de l’état de l’art.
Base légale : Art. 32

2. Content-Security-Policy — barrière contre l’injection de scripts

Une Content-Security-Policy (CSP) indique au navigateur quels scripts, feuilles de style et images peuvent être chargés et depuis quelles sources. Sans CSP, n’importe quel script depuis n’importe quel serveur peut s’exécuter — un attaquant qui exploite une faille cross-site-scripting peut ensuite charger librement ses propres scripts.

Une bonne CSP applique le principe default-deny : tout ce qui n’est pas explicitement autorisé est bloqué.

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-RaNd0m'; style-src 'self'; img-src 'self' data:; frame-ancestors 'self'; object-src 'none'; base-uri 'self'
Qu’est-ce qui peut mal tourner ? Sans CSP, une seule faille cross-site-scripting suffit à compromettre l’ensemble du formulaire de contestation. Un attaquant peut réécrire votre texte avant envoi, ou vous rediriger vers une fausse page de paiement.
Pour votre contestation L’APD attend des plateformes publiques recevant des contestations qu’elles prennent « des mesures techniques appropriées » (art. 32 RGPD). CSP est un standard web depuis 2012, intégré à tout serveur web moderne et ne demande qu’une configuration.
Base légale : Art. 32

3. Referrer-Policy — fuite des données de dossier via les URL

Par défaut, votre navigateur envoie l’URL complète de la page précédente via l’en-tête Referer. Problématique quand l’URL contient des données sensibles — référence PV, jeton, plaque. commune.be/contestation?pv=20241234&plaque=1-ABC-123 est alors transmise en clair à chaque script externe.

// Only send the domain, never the path or parameters Referrer-Policy: strict-origin-when-cross-origin
Qu’est-ce qui peut mal tourner ? Avec la valeur par défaut no-referrer-when-downgrade, votre numéro de PV et plaque deviennent visibles pour chaque tiers chargé sur la page. Transfert direct de données personnelles vers des sous-traitants (généralement) américains.
Pour votre contestation C’est à la fois une violation de l’article 5(1)(c) RGPD (minimisation des données) et de l’article 32 RGPD (mesures techniques insuffisantes).
Base légale : Art. 5(1)(c) + Art. 32

4. Permissions-Policy — contrôle de la caméra, du micro, de la localisation

L’en-tête Permissions-Policy (auparavant Feature-Policy) permet au serveur de décider quels droits de capteurs (caméra, micro, GPS) la page peut demander. Pour un formulaire de contestation, aucune raison légitime ne justifie une demande d’accès.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()
Qu’est-ce qui peut mal tourner ? Si un script tiers est compromis, il peut demander l’accès à la caméra ou au micro que l’utilisateur accorde par inadvertance.
Pour votre contestation L’art. 32 RGPD exige une posture de sécurité proactive ; restreindre explicitement l’accès aux capteurs est une mesure défensive standard depuis 2018.
Base légale : Art. 32

5. X-Frame-Options — protection contre le clickjacking

Le clickjacking est une attaque où la page légitime de la commune est chargée dans un iframe invisible sur un site attaquant. L’utilisateur clique sur ce qui ressemble à un jeu, mais le clic est en fait transmis à l’iframe caché — par exemple sur un bouton « Retirer ma contestation ».

X-Frame-Options: SAMEORIGIN // modern alternative, inside CSP Content-Security-Policy: frame-ancestors 'self'
Pour votre contestation Si la commune propose un bouton de retrait sans protection iframe, un attaquant peut via une page de phishing faire retirer des contestations ou déclencher des paiements involontaires.
Base légale : Art. 32

6. X-Content-Type-Options — abus du MIME-sniffing

Les navigateurs tentent parfois de « deviner » le type d’un fichier. Les attaquants en abusent : ils téléversent une image apparemment anodine ensuite interprétée comme JavaScript. L’en-tête d’une ligne X-Content-Type-Options: nosniff désactive cette devinette.

X-Content-Type-Options: nosniff
Pour votre contestation Si cet en-tête manque sur un site avec fonctionnalité de téléversement (annexes, photos), c’est une faille démontrable. Aucun coût ne peut expliquer son absence.
Base légale : Art. 32

7. Traceurs tiers — Google Analytics, GTM, Facebook Pixel

Beaucoup de sites communaux chargent — souvent sans que l’administrateur ne le sache — des scripts de grandes entreprises technologiques américaines. Google Tag Manager n’est pas un traceur en soi mais un chargeur d’autres traceurs ; une fois actif, il peut charger de façon asynchrone Google Analytics, Facebook Pixel, LinkedIn Insight Tag et parfois des dizaines d’autres choses.

Chaque script accède à votre IP, version de navigateur, OS, URL et paramètres d’événement. Avec Facebook Pixel, les visites sont liées à votre compte Facebook si vous y avez été connecté.

Browser opens page Municipal server serves HTML + scripts HTTP Google Analytics IP, URL, cookie-ID Facebook Pixel + Facebook-ID Google Tag Manager loads more trackers Google Fonts IP + font choice Four different US companies receive your visit before you type anything
Qu’est-ce qui peut mal tourner ? Votre IP et empreinte navigateur sont liés au fait que vous avez visité une page de contestation. Via GA et Pixel, cela peut enrichir des profils publicitaires — un risque réel pour les personnes vulnérables.
Pour votre contestation L’APD juge que charger GA/GTM/Pixel avant consentement viole l’article 129 LCE. Pour les sites publics, il n’existe pas de base légale valable pour l’analytique publicitaire.
Base légale : Art. 129 + Art. 6 + Ch. V

8. Schrems II et transferts vers les États-Unis

La CJUE a invalidé en juillet 2020 (arrêt Schrems II, C-311/18) le Privacy Shield UE-US. Les services de renseignement américains disposent de pouvoirs trop étendus pour intercepter les données des citoyens européens, qui n’ont pas de voies de recours effectives aux États-Unis.

Tout transfert — via GA, Pixel, Google Fonts, AWS — est en principe illicite, sauf garanties supplémentaires (CCT, évaluation d’impact, chiffrement).

Pour votre contestation C’est l’un des arguments les plus puissants. Si l’audit trouve GA/GTM/Pixel/Fonts sans que la déclaration de confidentialité mentionne une CCT, toute la chaîne de traitement est illicite et la sanction peut être annulée.
Base légale : Ch. V

9. Consentement cookie — art. 129 LCE / ePrivacy

La directive ePrivacy (en Belgique via l’art. 129 LCE) exige un consentement préalable et explicite pour tout traceur non essentiel. « Préalable » signifie : avant le chargement du traceur. En pratique, beaucoup de sites chargent GA et Pixel immédiatement puis affichent la bannière — le mal est déjà fait.

Pour votre contestation L’APD exige un bouton « Tout refuser » au même niveau que « Tout accepter ». Un gros bouton vert « Accepter » avec un lien paramètres caché où « Refuser » n’est accessible qu’après trois clics est un dark pattern (APD 56/2026 Dilbeek).
Base légale : Art. 129 + GBA 56/2026

10. Contrats de sous-traitance — art. 28 RGPD

Tout prestataire externe utilisé par une commune (caméra ANPR, bureau de recouvrement, hébergeur) requiert un contrat de sous-traitance écrit avant le premier traitement. L’APD est stricte : un DPA signé rétroactivement ne peut pas guérir les traitements antérieurs (APD 56/2026 Dilbeek).

Pour votre contestation Demandez expressément le DPA avec chaque sous-traitant. Beaucoup de communes en ont oublié un ou plusieurs. Sans DPA, le traitement est illicite quelle que soit la pertinence de l’amende.
Base légale : Art. 28(3) + GBA 56/2026

11. Logiciels obsolètes — fin de vie de Drupal 7

Drupal 7 est en fin de vie depuis le 5 janvier 2025. Plus aucune mise à jour de sécurité. Toute faille publiée après cette date reste ouverte à jamais. Plusieurs sites publics belges tournent encore (avril 2026) sur Drupal 7.

Pour votre contestation Exigez la preuve que le site tourne sur un CMS sous support (art. 32 RGPD). Une AIPD écrite devrait le mentionner ; sans AIPD, s’ajoute une violation de l’art. 35 RGPD.
Base légale : Art. 32 + Art. 35

12. Secrets dans le navigateur — jetons d’API dans le HTML

Parfois notre audit détecte un jeton d’API directement dans le HTML (Mapbox, Google Maps, clé CRM). Tout ce qui est dans le HTML est visible pour quiconque charge la page. Un attaquant peut reprendre le jeton et charger le compte de la commune.

Pour votre contestation Cela révèle une négligence plus large : si la commune ne protège pas ses propres jetons, peu de chances qu’elle protège mieux vos données.
Base légale : Art. 32

13. Comment cela se traduit dans votre contestation

Chacun des constats ci-dessus est un point de données. Nous les combinons en quatre axes d’argumentation :

a. Collecte probatoire illicite

Si la commune a traité vos données par des moyens inadéquats, la chaîne probatoire sous-jacente est juridiquement défectueuse. Le fait que vous ayez reçu l’amende ne change rien au caractère illicite de la collecte.

b. Absence de base légale

Pour l’analytique publicitaire sur un site public, il n’existe pas de base légale. Sans base valable, le traitement est illicite et la sanction peut être annulée.

c. Violations du Chapitre V (transferts vers les États-Unis)

Toute intégration GA/Pixel/Fonts sans évaluation d’impact est une violation des art. 44–49 RGPD. Suffisant pour une plainte auprès de l’APD.

d. Mesures de sécurité manquantes

L’accumulation de petites lacunes démontre l’absence d’une approche systématique de la sécurité. Renforce les arguments (a) et (c).

Que faisons-nous pour vous ? Lorsque vous rédigez votre contestation via PVResponse, nous ajoutons automatiquement une sélection de ces arguments, adaptés à votre commune spécifique. Les données d’audit sont publiques et vérifiables via les DevTools de votre navigateur.

Questions ou retours ?

Contactez-nous via notre page de contact. Pour les références juridiques, voyez notre page APD & RGPD.