Respect du rgpd par les stockages du navigateur // gdpr-compliant client-side storage architecture for web browsers

Topic description

Les navigateurs Web s'appuient sur des mécanismes de stockage côté client (cookies, Web
Storage, IndexedDB) qui ont été conçus dans un souci de fonctionnalité, sans tenir compte
de la conformité réglementaire. Des études empiriques récentes révèlent des lacunes
systématiques : aucune distinction intégrée entre les données essentielles et non
essentielles, aucune application native des délais de conservation, et un isolement
insuffisant vis-à-vis des scripts tiers partageant la même origine. Cette thèse propose de
repenser l'architecture de stockage directement au niveau du moteur du navigateur, en
intégrant les principes du RGPD dès la conception. L'approche repose sur des API
déclaratives qui garantissent la finalité, la base juridique et la durée de conservation de
chaque opération de stockage, associées à un modèle d'isolation basé sur la finalité qui
étend la politique de même origine. Des mécanismes automatisés de vérification du
consentement, de suppression des données et de protection cryptographique seront mis en
œuvre au sein de Chromium. Un tableau de bord utilisateur natif permettra aux individus
d'exercer leurs droits au titre du RGPD, tandis que des outils de migration aideront les
développeurs à adopter progressivement la nouvelle architecture. L'évaluation combinera
des tests de performance, des tests de pénétration, une vérification formelle et des études
d'ergonomie, dans le but de démontrer qu'une conformité solide au RGPD est réalisable
sans sacrifier les performances ni la compatibilité avec les applications web existantes
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Web browsers rely on client-side storage mechanisms (cookies, Web Storage, IndexedDB) that were designed for functionality, with no consideration for regulatory compliance. Recent empirical studies reveal systematic gaps: no built-in distinction between essential and non-essential data, no native enforcement of retention periods, and insufficient isolation against third-party scripts sharing the same origin. This thesis proposes to redesign the storage architecture directly at the browser engine level, embedding GDPR principles by design. The approach is based on declarative APIs that enforce the purpose, legal basis, and retention period of each storage operation, coupled with a purpose-based isolation model extending the Same-Origin Policy. Automated consent verification, data deletion, and cryptographic protection mechanisms will be implemented within Chromium. A native user dashboard will enable individuals to exercise their GDPR rights, while migration tooling will support developers in gradually adopting the new architecture. Evaluation will combine performance benchmarking, penetration testing, formal verification, and usability studies, with the goal of demonstrating that robust GDPR compliance is achievable without sacrificing performance or compatibility with existing web applications.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Début de la thèse : 01/10/

Funding category

Funding further details

Concours allocations