Loi 25 et votre site web : ce que votre entreprise doit afficher

Selon la Commission d’accès à l’information (nouvel onglet), la publication d’une politique de confidentialité est obligatoire si vous recueillez des renseignements personnels à l’aide d’une technologie, peu importe laquelle. Un formulaire de contact, une infolettre, un outil d’analyse ou un clavardage suffisent. La politique doit être rédigée en termes simples et clairs et publiée sur le site, ou diffusée par un autre moyen qui permet aux personnes d’en prendre connaissance.

La Commission indique ce qu’elle doit couvrir : les renseignements recueillis par ce moyen et leurs fins, les tiers à qui ils pourraient être communiqués et dans quels contextes, les mesures de protection, le recours aux témoins de connexion, les droits et recours des personnes, et les modifications apportées à la politique. Son guide de rédaction d’une politique de confidentialité (nouvel onglet) ajoute de bonnes pratiques : indiquer le nom de l’entreprise, la date d’entrée en vigueur et celle de la dernière mise à jour, nommer les fournisseurs qui recueillent des renseignements pour vous, préciser les catégories de personnes qui y ont accès et les façons de refuser certaines collectes. Il rappelle aussi qu’une politique de confidentialité ne doit pas être fusionnée avec les conditions d’utilisation du site.

Placez le lien dans le pied de page de toutes les pages et à côté de chaque formulaire. Écrivez-la pour vos visiteurs, pas pour un tribunal : des phrases courtes, des intertitres, des exemples tirés de votre site. Surtout, décrivez vos pratiques réelles. Une politique copiée d’un autre site promet souvent des choses que votre entreprise ne fait pas, ou passe sous silence l’outil d’analyse que vous avez installé.

La personne ayant la plus haute autorité (nouvel onglet) dans l’entreprise est par défaut responsable de la protection des renseignements personnels, et cette fonction peut être déléguée par écrit. Dans les deux cas, le titre et les coordonnées du responsable doivent être publiés sur le site Web. Une fonction et une adresse dédiée, par exemple vieprivee@votreentreprise.ca, résistent mieux aux départs qu’un nom et une boîte personnelle.

Les entreprises doivent aussi faire connaître sur leur site leurs politiques et pratiques de gouvernance, de façon détaillée et en termes simples et clairs : règles de conservation et de destruction, rôles du personnel, traitement des plaintes. Beaucoup d’entreprise regroupent cette information dans une section de la page de confidentialité. L’important est qu’un visiteur trouve, en deux clics, à qui écrire et comment sa demande sera traitée.

Indiquez enfin comment exercer ses droits : demander l’accès à ses renseignements ou leur rectification, retirer un consentement, déposer une plainte. Le responsable doit répondre aux demandes d’accès et de rectification dans les 30 jours. Une adresse et une courte procédure publiées évitent qu’une demande se perde dans une boîte générale.

Chaque formulaire est une collecte. La Commission rappelle que vous devez recueillir seulement les renseignements nécessaires aux objectifs fixés avant la collecte, et qu’en cas de doute, un renseignement est considéré comme non nécessaire. Pour un premier contact, un nom, un moyen de vous joindre et une description du besoin suffisent souvent. La date de naissance, l’adresse complète ou le budget détaillé peuvent attendre l’échange suivant, si vous en avez vraiment besoin.

Au moment de la collecte, informez la personne des fins, des moyens utilisés, de ses droits d’accès et de rectification et de son droit de retirer son consentement. Le cas échéant, mentionnez aussi les tiers à qui les renseignements seront communiqués et la possibilité qu’ils le soient à l’extérieur du Québec. Une phrase sous le bouton d’envoi, avec un lien vers la politique, fait souvent l’affaire : « Nous utilisons ces renseignements pour répondre à votre demande. Ils sont transmis à notre boîte courriel hébergée par [fournisseur]. Voir notre politique de confidentialité. »

Sachez où aboutit chaque envoi : une boîte courriel, un outil de gestion de clientèle, une extension de formulaire qui garde une copie dans la base de données du site. Le guide sur l’hébergement de site web d’entreprise explique comment protéger ces données et leurs sauvegardes. Si un formulaire propose aussi l’infolettre, utilisez une case distincte, non cochée : le consentement doit être demandé pour chaque fin et distinctement de toute autre information.

La Loi 25 encadre les technologies qui permettent d’identifier une personne, de la localiser ou d’en faire le profilage, défini comme la collecte et l’utilisation de renseignements pour évaluer certaines caractéristiques d’une personne, notamment ses préférences, ses intérêts ou son comportement. Vous devez informer les visiteurs, dès le départ, du recours à ces technologies et des moyens offerts pour activer ces fonctions. Elles ne peuvent pas être activées par défaut : la personne doit le faire elle-même, volontairement.

Commencez par l’inventaire de ce que votre site charge réellement : outil de mesure d’audience, pixels publicitaires, carte ou vidéo intégrée, clavardage, polices et scripts de tiers. Ouvrez votre site dans une fenêtre de navigation privée, ou demandez à votre fournisseur la liste des témoins déposés avant toute action du visiteur. Pour chaque outil, notez à quoi il sert et s’il permet d’identifier, de localiser ou de profiler.

Une bannière de témoins n’est qu’un moyen. Elle est utile si elle bloque réellement les témoins et les scripts non essentiels jusqu’à l’activation du visiteur, si refuser est aussi simple qu’accepter et si le visiteur peut changer d’avis plus tard. Le guide de la Commission sur la politique de confidentialité donne d’ailleurs comme exemple de choix la possibilité de refuser les témoins et d’utiliser le site sans certaines fonctionnalités. Une bannière qui informe sans rien bloquer ne règle pas l’obligation.

Les témoins strictement nécessaires au fonctionnement du site, comme ceux qui gardent un panier ou une session, posent moins de questions; décrivez-les tout de même dans la politique. Pour la mesure d’audience, privilégiez une configuration minimale. Le guide sur le marketing numérique des entreprises propose une façon simple de mesurer d’où viennent vos demandes sans dépendre d’outils intrusifs.

Une infolettre combine deux régimes. La Loi 25 encadre la collecte de l’adresse courriel et son utilisation. La Loi canadienne anti-pourriel (nouvel onglet), une loi fédérale distincte, encadre l’envoi des messages commerciaux : il faut un consentement exprès ou tacite, l’identification de l’expéditeur et ses coordonnées dans chaque message, ainsi qu’un moyen de se désabonner traité en 10 jours ouvrables ou moins. Vous devez pouvoir prouver le consentement sur demande. Gardez donc la date, la page et la formulation de l’inscription.

Plusieurs outils courants (gestion d’infolettre, formulaires en ligne, clavardage, prise de rendez-vous) hébergent les données hors du Québec. Avant de confier des renseignements personnels à un fournisseur situé ailleurs, y compris dans une autre province, la loi exige une évaluation des facteurs relatifs à la vie privée (nouvel onglet) et une entente écrite, et la communication n’est permise que si les renseignements bénéficieront d’une protection adéquate. Mentionnez aussi cette possibilité dans l’information donnée à la collecte. Le guide complet sur la Loi 25 détaille les questions à poser à ces fournisseurs.

Une refonte est le bon moment pour régler tout cela d’un coup : choix des outils, formulaires, bannière et politique. Le guide pour préparer une refonte de site web aide à inventorier les pages et les connexions existantes avant de reconstruire, et le guide complet sur le site web des entreprises replace ces obligations parmi les autres chantiers du site.

Cette liste couvre l’essentiel. Faites-la avec la personne qui gère le site, et notez ce qui doit être corrigé.

Refaites cette vérification après chaque ajout d’outil ou de formulaire, et au moins une fois par année. Si votre site n’est pas conforme, commencez par le responsable, la politique et les témoins actifs par défaut : ce sont les points les plus visibles pour vos visiteurs.