Lorsque nous examinons le code source du site Web d'une petite entreprise québécoise typique, nous y trouvons généralement plusieurs outils de suivi : des statistiques, un pixel Facebook, parfois un ancien outil de clavardage et un système de réservation qui charge ses propres scripts. Dans la plupart des cas, le site n'offre au visiteur aucun moyen de les refuser.
Il s'agit désormais d'un enjeu de conformité. Le 22 septembre, la dernière disposition de la Loi 25 est entrée en vigueur : le droit à la portabilité des données, qui permet à une personne de demander à une entreprise les renseignements personnels qu'elle détient à son sujet, dans un format structuré et couramment utilisé. Avec cette étape, le déploiement de trois ans amorcé en septembre 2022 est terminé et la loi s'applique maintenant en entier.
De nombreux propriétaires n'en ont pas encore entendu parler, ou estiment que la « Loi 25 » ne concerne que les banques et les grandes chaînes. Ce n'est pas le cas. Si votre site comporte un formulaire de contact, une inscription à l'infolettre ou des statistiques, la loi s'applique à vous. Cet article ne constitue pas un avis juridique. Il présente les points que nous examinons en priorité du point de vue du développement Web.
Quelles sont les trois phases de la Loi 25?
La Loi 25 (à l'origine, le projet de loi 64) a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Son entrée en vigueur s'est faite par étapes :
- Septembre 2022. Chaque entreprise doit compter un responsable de la protection des renseignements personnels. Par défaut, il s'agit de la personne ayant la plus haute autorité, soit, dans une petite entreprise, vraisemblablement le propriétaire. Les incidents de confidentialité doivent être consignés dans un registre, et les incidents graves doivent être signalés.
- Septembre 2023. La phase la plus importante : politiques de confidentialité, consentement plus clair, évaluations des facteurs relatifs à la vie privée dans certains cas, règles sur les technologies de suivi et le profilage, et sanctions nettement plus lourdes.
- Septembre 2024. La portabilité des données.
Ce sont les sanctions qui ont retenu l'attention des médias. Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales, 25 millions de dollars ou 4 %. Une petite entreprise a peu de chances de se voir imposer de tels montants. La Commission d'accès à l'information peut néanmoins enquêter et ordonner des changements, et la méconnaissance de la loi ne constitue pas une défense valable.
Qui est responsable des renseignements personnels dans une petite entreprise?
Une personne au sein de l'entreprise est responsable des renseignements personnels. Si ce rôle n'est pas délégué par écrit, il revient au propriétaire ou au plus haut dirigeant. Le titre et les coordonnées de cette personne doivent être publiés sur votre site Web. Il s'agit de l'étape la plus simple de la liste, mais de nombreux sites l'omettent encore.
Pour une petite entreprise, une seule ligne sur la page de confidentialité suffit : le nom de la personne, son titre et une adresse courriel. Nous déconseillons d'indiquer un numéro de cellulaire personnel. L'adresse devrait être une adresse professionnelle consultée régulièrement, car si une personne écrit pour savoir quels renseignements vous détenez à son sujet, vous devez lui répondre.
Quand faut-il obtenir le consentement avant de suivre les visiteurs?
C'est sur ce point que la plupart des petits sites présentent des lacunes, et le propriétaire n'en est souvent pas responsable. Le site a été conçu il y a plusieurs années, quelqu'un y a ajouté Google Analytics et un pixel, et personne n'a revu la configuration depuis.
La Loi 25 prévoit que si vous utilisez une technologie permettant d'identifier, de localiser ou de profiler une personne, vous devez l'en informer et lui indiquer comment activer ces fonctions. Selon l'interprétation courante, tout ce qui dépasse le strict nécessaire au fonctionnement du site devrait rester désactivé tant que le visiteur n'a pas donné son consentement. Cela vise la plupart des outils de suivi publicitaires et marketing.
Concrètement, sur un site, cela suppose :
- Une bannière de témoins (cookies) qui bloque réellement les outils de suivi jusqu'au consentement. De nombreuses bannières sont purement décoratives, et les scripts se chargent malgré tout.
- Un choix véritable, où les options accepter et refuser sont toutes deux faciles à trouver.
- Des statistiques configurées pour respecter ce choix. Le mode consentement de Google est utile à cette fin.
- Aucun pixel oublié. Vérifiez ce qui se charge réellement sur vos pages, plutôt que ce que vous croyez qui s'y charge.
Vos statistiques présenteront moins de données par la suite. Il s'agit d'un compromis que nous jugeons justifié : des chiffres partiels mais fiables valent mieux que des chiffres complets recueillis sans consentement. Bien configurés, le suivi des conversions et l'analytique continuent de vous indiquer ce qui fonctionne.
Les formulaires sont-ils visés par la loi?
Oui. Chaque formulaire de votre site recueille des renseignements personnels. Ne demandez que les renseignements dont vous avez besoin. Si vous avez besoin d'une adresse courriel pour répondre à une question, vous n'avez pas besoin d'une date de naissance ni d'une adresse domiciliaire. L'ajout de cette personne à votre infolettre constitue une fin distincte, qui exige une demande distincte, au moyen d'une case qui n'est pas cochée d'avance.
Que doit contenir une politique de confidentialité?
Si vous recueillez des renseignements personnels par votre site Web, vous devez y publier une politique de confidentialité rédigée en termes simples et clairs. Cette politique doit décrire ce que vous faites réellement.
De nombreux sites utilisent une politique copiée d'une autre source, parfois un gabarit américain. Cela pose problème, car une telle politique décrit des pratiques que vous n'avez pas et omet celles que vous avez. Une bonne politique pour une petite entreprise peut être brève. Elle précise ce que vous recueillez, pourquoi, où les renseignements sont conservés, avec qui vous les partagez (votre outil d'infolettre, votre système de réservation, votre hébergeur), combien de temps vous les gardez et comment joindre le responsable.
La politique devrait aussi être offerte en français, ce qui est de toute façon une obligation pour un site d'entreprise au Québec.
Où vont vos données?
Cette exigence surprend souvent les propriétaires. Si des renseignements personnels sortent du Québec, ce qui est le cas avec la plupart des outils d'infolettre, des systèmes de réservation et des services d'IA, la loi vous demande d'évaluer les risques avant de les communiquer. Pour une petite entreprise, cela signifie savoir quels services vous utilisez et où ils conservent les données. Nous recommandons de consigner ces renseignements sur une seule page, ce qui rendra aussi votre politique de confidentialité plus fidèle à la réalité.
Que doit corriger un petit site Web en priorité?
Si votre site ne répond encore à aucune de ces exigences, la situation peut être corrigée de façon méthodique. Nous recommandons l'ordre suivant :
- Publier le nom, le titre et le courriel du responsable sur le site.
- Déterminer quels scripts et outils de suivi votre site charge réellement.
- Installer une bannière de consentement qui les bloque réellement jusqu'à l'accord du visiteur.
- Réécrire votre politique de confidentialité pour qu'elle décrive vos pratiques réelles.
- Réviser et simplifier vos formulaires.
Sur un petit site typique, cela représente quelques heures de travail. S'il s'agit d'un site WordPress qui n'a pas été mis à jour depuis un certain temps, c'est une bonne occasion d'en faire une révision technique, ce qu'un entretien de site régulier devrait de toute façon couvrir.
Pour l'information officielle, nous recommandons de consulter directement la source. La Commission d'accès à l'information du Québec offre de la documentation en langage clair pour les entreprises, en français et en anglais.
Ces exigences peuvent sembler constituer une obligation administrative de plus venue de Québec. À notre avis, la loi est toutefois raisonnable pour les petites entreprises. Elle donne à chaque entreprise une raison de retirer les outils de suivi que personne ne se souvient d'avoir installés, et demander la permission avant de recueillir des renseignements relève simplement de la courtoisie envers la clientèle.