IBM Carbon Design System

Qu'est-ce que Carbon Design System

IBM Carbon Design System est un système de design open source maintenu par IBM et une vaste communauté de contributeurs. Il fournit un ensemble cohérent de composants d'interface accessibles (boutons, champs, modales, tableaux, widgets de visualisation de données), un framework CSS, des icônes, des illustrations, la police IBM Plex ainsi que des implémentations React, Angular, Vue et Web Components. Carbon est utilisé par les produits IBM, leurs partenaires et de nombreuses équipes tierces qui souhaitent une base accessible robuste sans la construire de zéro. Le système se diffuse soit via des paquets npm intégrés à un pipeline de build, soit via des bundles préfabriqués servis depuis un CDN.

Données et cookies

En tant que bibliothèque, Carbon ne dépose pas de cookies, ne pratique pas de fingerprinting et n'envoie aucun événement analytique. Le seul échange de données déclenché par Carbon lui-même est la requête HTTP qui télécharge ses fichiers CSS, JavaScript, polices et icônes, plus les en-têtes habituels de cache. Toutefois, chaque requête HTTP transmet par nature l'adresse IP du visiteur, le user agent, le referer et l'horodatage au serveur qui livre le fichier. Lorsque ce serveur est un CDN tiers, l'opérateur du CDN devient un destinataire de données et peut conserver des journaux d'accès, déposer ses propres cookies analytiques ou appliquer des défis de sécurité.

Implications RGPD et ePrivacy

Si les fichiers Carbon sont auto-hébergés sur votre propre infrastructure, le traitement se limite au chargement technique strictement nécessaire de ressources que vous contrôlez. L'article 5(3) de la directive ePrivacy n'impose pas de consentement pour des opérations purement techniques strictement nécessaires à un service demandé par l'utilisateur, et l'intérêt légitime au titre de l'article 6(1)(f) du RGPD constitue généralement une base légale défendable. Si Carbon est chargé depuis un CDN tiers, l'éditeur doit en outre évaluer si ce CDN respecte les exigences du RGPD, s'il dépose des cookies hors exemption et comment il journalise les adresses IP des visiteurs.

Transferts de données et choix du CDN

Les CDN publics les plus utilisés (unpkg routé via Cloudflare, jsDelivr via Fastly et Cloudflare, points de terminaison IBM sur IBM Cloud) impliquent tous des opérateurs ayant leur siège aux États-Unis et un réseau d'edge mondial. Depuis l'arrêt Schrems II et l'entrée en vigueur du Data Privacy Framework UE Etats-Unis, les transferts peuvent être licites lorsque le destinataire est certifié au DPF, mais l'éditeur doit vérifier la certification, documenter le transfert dans son registre et examiner si l'adresse IP journalisée à la périphérie peut être reliée à un visiteur identifiable. L'auto-hébergement de Carbon ou l'utilisation d'un miroir basé dans l'UE supprime totalement ce transfert.

Étapes pratiques de mise en conformité

Pour la plupart des sites en production, le motif recommandé consiste à installer Carbon via npm, à l'agréger dans votre build applicatif et à servir les fichiers résultants depuis la même origine que le reste du site, derrière votre CDN ou serveur web habituel. Cela supprime tout transfert tiers spécifique à Carbon et évite la dépendance à une disponibilité externe. Si vous devez utiliser un CDN public, privilégiez-en un avec une présence UE documentée et une certification DPF, ajoutez des hachages Subresource Integrity sur les balises script et link et mentionnez le CDN dans votre politique de confidentialité. Carbon lui-même reste compatible avec la conformité car il s'agit d'un ensemble passif de primitives d'interface.