La loi 25 et votre site web, en pratique

Si votre site a un formulaire de contact, vous recueillez des renseignements personnels. C’est le seuil, et il est bas : un nom et un courriel suffisent. Une infolettre, un outil de statistiques ou un module de prise de rendez-vous vous mettent dans la même situation.

Ce texte explique ce que la loi 25 demande à un site web de PME, ce qu’elle ne demande pas, et comment le site que vous lisez est configuré. Ce n’est pas un avis juridique.

Le consentement doit précéder la collecte

C’est le point que la plupart des sites ratent, et il est mécanique plutôt que juridique.

Le consentement implicite, du genre « en poursuivant votre navigation, vous acceptez », ne suffit plus. La Loi sur la protection des renseignements personnels dans le secteur privé demande à son article 14 un consentement « manifeste, libre, éclairé et donné à des fins spécifiques », demandé pour chacune de ces fins et présenté distinctement du reste de l’information. L’article 8.1 ajoute que si vous employez une technologie qui permet d’identifier, de localiser ou de profiler la personne, vous devez l’informer au préalable du recours à cette technologie et des moyens offerts pour en activer les fonctions. La Commission d’accès à l’information publie les huit critères qu’elle applique à ce consentement.

Autrement dit, le visiteur accepte avant que la collecte commence, pas après.

En pratique, ça veut dire que votre outil de statistiques ne doit pas se charger tant que personne n’a cliqué. Un bandeau qui apparaît pendant que l’outil tourne déjà en arrière-plan ne vous conforme pas : il vous documente.

Je le sais parce que c’était le cas ici. La première version de ce site chargeait ses outils de mesure à l’ouverture de la page, environ 1,8 seconde avant que le bandeau n’apparaisse, et le bouton « Essentiels seulement » ne changeait rien à la visite suivante. Le bandeau disait « rien n’est activé avant votre accord ». C’était faux. Aujourd’hui, les scripts de mesure sont montés seulement après un consentement enregistré, et le refus les empêche réellement de se charger.

Si vous ne vérifiez qu’une seule chose après avoir lu ceci, vérifiez celle-là sur votre propre site.

Les témoins essentiels ne se traitent pas comme les autres

La loi ne parle pas de « témoins » comme tels. Son article 8.1 vise les technologies qui permettent d’identifier, de localiser ou de profiler une personne, et un témoin qui garde votre panier, votre session ou votre choix de langue ne fait aucune de ces trois choses. Beaucoup de PME bloquent inutilement leur propre site en traitant tout comme optionnel.

La distinction n’est pas « Google ou pas Google ». Elle est : est-ce que le site peut faire ce que le visiteur demande sans ce témoin ?

Une politique qui décrit votre site, pas un autre

L’article 8.2 demande une politique de confidentialité publiée sur le site et rédigée en termes simples et clairs. Une politique copiée d’un autre site est pire que rien, parce qu’elle décrit des pratiques que vous n’avez pas.

L’article 8 dit ce qu’il faut annoncer au moment de la collecte : les fins, les moyens employés, les droits d’accès et de rectification, le droit de retirer son consentement, et la possibilité que les renseignements sortent du Québec. Les tiers doivent être annoncés eux aussi, par leur nom ou par leur catégorie. La loi laisse ce choix, mais nommer le fournisseur reste plus utile au lecteur qu’écrire « nos partenaires ».

Et si vos formulaires passent par un service américain, l’article 17 s’ajoute : une communication de renseignements personnels à l’extérieur du Québec demande une évaluation des facteurs relatifs à la vie privée avant l’envoi, puis une entente écrite avec le fournisseur. Une PME qui utilise trois ou quatre outils infonuagiques a trois ou quatre fois cette question à se poser.

Le vocabulaire aussi : la loi québécoise parle du responsable de la protection des renseignements personnels. Ce n’est pas le « DPO » du règlement européen, même si les modèles trouvés en ligne emploient souvent ce mot.

Le responsable, par défaut, c’est vous

C’est l’article 3.1, et il est court : au sein de l’entreprise, la personne ayant la plus haute autorité exerce la fonction de responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction par écrit, en tout ou en partie. Dans une PME de trois personnes, c’est le propriétaire, sans avoir à se nommer, et l’absence de délégation ne crée pas d’absence de responsable.

Le même article ajoute que le titre et les coordonnées de cette personne sont publiés sur le site de l’entreprise. C’est une ligne dans votre politique, pas un poste à créer.

Conserver moins longtemps

L’article 23 est direct : quand les fins pour lesquelles un renseignement a été recueilli sont accomplies, il faut le détruire ou l’anonymiser, sous réserve d’un délai de conservation prévu par une loi. Garder les demandes de soumission « au cas où », indéfiniment, est le manquement le plus courant et le plus facile à régler : décidez d’une durée, écrivez-la dans votre politique, et supprimez ce qui la dépasse.

Si vous ne savez pas quoi choisir, une durée courte est plus défendable qu’une longue. Ce que vous ne conservez pas ne peut pas fuir.

Ce que ça coûte, réellement

Pour un site vitrine avec un formulaire et un outil de statistiques, les quatre gestes de base prennent quelques heures : un bandeau qui gèle vraiment les scripts, une politique écrite à partir de vos pratiques, une durée de conservation, et les coordonnées du responsable.

Ce que ces quelques heures ne couvrent pas, c’est le reste de la loi. Un envoi de renseignements hors Québec demande une évaluation écrite avant l’envoi, et cette évaluation n’est pas une case à cocher. La note plus bas dit la même chose.

Ce texte est une vulgarisation. La loi 25 comporte des obligations supplémentaires selon la taille de l’entreprise et la nature des renseignements traités, notamment en matière d’évaluation des facteurs relatifs à la vie privée et de communication hors Québec. Pour votre situation précise, consultez un conseiller juridique.