La Loi 25 a modernisé la protection des renseignements personnels au Québec. Pour une PME de services, elle touche surtout trois endroits : votre site web, votre formulaire de soumission et la façon dont vous gardez les coordonnées de vos clients.
Ce guide n’est pas un avis juridique. C’est ce qu’un propriétaire d’entreprise doit savoir pour mettre son site en ordre, et ce que j’ai fait sur les miens. Pour un cas précis, la Commission d’accès à l’information (CAI) publie des guides clairs.
Ce que la loi demande à une PME
- Une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui a la plus haute autorité dans l’entreprise : souvent vous. Son titre et ses coordonnées doivent être publiés sur votre site.
- Une politique de confidentialité en termes simples, publiée sur le site, qui dit quels renseignements vous recueillez, pourquoi, et à qui vous écrire pour y accéder ou les faire corriger.
- Un consentement clair quand vous recueillez des renseignements, et seulement pour les fins annoncées.
- Un registre des incidents de confidentialité, et un avis à la CAI et aux personnes touchées quand un incident présente un risque de préjudice sérieux.
Loi 25 et site web : la liste de vérification
- La politique de confidentialité est accessible depuis chaque page, en général dans le pied de page.
- Les témoins (cookies) et outils de suivi qui permettent d’identifier, de localiser ou de profiler un visiteur doivent être désactivés par défaut. Google Analytics ou le pixel Facebook ne doivent pas se déclencher avant que la personne accepte.
- Le formulaire de soumission ne demande que ce qui sert à la soumission : nom, moyen de joindre, adresse des travaux, besoin. Pas de date de naissance.
- Le nom et les coordonnées de la personne responsable sont publiés.
- Les données hébergées hors Québec (la plupart des logiciels le sont) demandent une évaluation des facteurs relatifs à la vie privée avant la communication. C’est un document à faire une fois, pas un obstacle.
Ce qui change pour vos textos et vos courriels
Les messages à vos clients pour un service qu’ils ont demandé (confirmation, rappel, facture) font partie du service. Les messages de prospection relèvent d’une autre loi fédérale, la loi canadienne anti-pourriel, qui demande d’identifier votre entreprise dans chaque message.
Les erreurs les plus fréquentes
- Une politique copiée d’un autre site, qui parle de services que vous n’offrez pas.
- Une bannière de témoins qui informe, mais qui ne bloque rien.
- Les coordonnées des clients dans un fichier partagé sans mot de passe.
Les sites que je livre avec Crescendo ont une politique de confidentialité, un pied de page qui y renvoie, et le formulaire ne demande que ce qui sert. Voir les sites web.