Conformité à la Loi 25 du Québec : Par où commencer pour les entreprises

Depuis que le Québec a modernisé ses règles de confidentialité, de nombreux propriétaires d’entreprise ont ressenti la même chose : ils savent que la Loi 25 s’applique à eux, mais ils ne savent pas par où commencer. Certains publient une politique de confidentialité ou ajoutent une bannière de témoins et supposent que le travail est terminé. En pratique, la conformité à la Loi 25 du Québec est plus vaste qu’une simple page ou une fenêtre contextuelle. Elle touche à la façon dont votre entreprise collecte, utilise, stocke, partage et détruit les renseignements personnels, y compris les informations qui transitent chaque jour par votre site Web et vos outils de marketing.

Chez WSI Digital Marketing à Montréal, nous aidons les entreprises à évaluer et à améliorer leurs programmes de protection de la vie privée concernant le numérique et les sites web. Ce guide explique les exigences légales, par où commencer et comment ces obligations s’articulent avec les outils que vous utilisez déjà.

Qu’est-ce que la Loi 25 du Québec?

La « Loi 25 » est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (anciennement le projet de loi 64). L’objectif de la loi est de donner aux individus plus de contrôle sur leurs renseignements personnels et d’imposer aux organisations des normes plus élevées lorsqu’elles les traitent.

Les renseignements personnels signifient toute information relative à une personne physique qui permet d’identifier cette personne, directement ou indirectement. Ses exigences ont été introduites progressivement les 22 septembre 2022, 2023 et 2024; toutes les obligations principales sont donc maintenant en vigueur. Notre aperçu de la mise en œuvre de la Loi 25 passe en revue chaque phase si vous souhaitez examiner de plus près comment les règles ont été introduites.

Quelles entreprises doivent se conformer à la Loi 25?

La loi s’applique à toute personne ou organisation exploitant une entreprise au Québec qui collecte, détient, utilise ou communique des renseignements personnels sur autrui. Il n’y a pas d’exemption pour les petites entreprises. Un commerce de deux personnes, une PME en croissance et une grande entreprise sont tous visés dès lors qu’ils traitent des renseignements personnels.

L’emplacement n’est pas non plus le facteur décisif, puisque c’est l’exercice d’une activité commerciale qui déclenche l’application de la loi, et non l’emplacement de vos bureaux. Une entreprise établie hors du Québec peut tout de même être visée lorsqu’elle traite les données de personnes résidant au Québec, par exemple en vendant des biens ou des services à des clients québécois ; toutefois, l’application de la loi à une entreprise hors province donnée dépend de ses activités.

La taille de l’entreprise influe sur ce qui est considéré comme un « effort raisonnable ». La loi lie les obligations à la nature et à l’ampleur de vos activités ainsi qu’au caractère sensible des informations, mais elle ne les supprime pas pour autant. Si vous disposez d’une liste de clients, d’un formulaire de contact ou d’un fichier de paie, cette loi vous concerne. Pour un point de vue juridique, le cabinet d’avocats montréalais Paquette Avocats explique ce que la Loi 25 implique pour les PME québécoises et pourquoi il est judicieux de solliciter les conseils d’un professionnel du droit.

Quelles sont les principales exigences de la Loi 25?

Les obligations suivantes sont énoncées dans la législation. La manière dont chacune s’applique en détail dépend de votre organisation, ce qui explique pourquoi l’avis juridique est précieux.

Attribuer la responsabilité des renseignements personnels

Chaque organisation doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, il s’agit de la personne ayant la plus haute autorité, mais le rôle peut être délégué par écrit. Son titre et ses coordonnées doivent être publiés sur votre site Web.

Établir des politiques de gouvernance de la confidentialité

Les entreprises doivent adopter des politiques et des pratiques de gouvernance couvrant la conservation et la destruction des renseignements, les rôles du personnel tout au long du cycle de vie de l’information et un processus pour traiter les plaintes. Des informations détaillées à leur sujet doivent être publiées dans un langage clair et simple.

Obtenir un consentement valide

Le consentement doit être clair, libre, éclairé et demandé pour chaque objectif spécifique dans un langage simple. Pour les renseignements sensibles, le consentement doit être explicite. Les individus conservent également le droit de retirer leur consentement.

Réaliser des évaluations des facteurs relatifs à la vie privée (ÉFVP)

Une évaluation des facteurs relatifs à la vie privée (ÉFVP) est requise pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou d’un système de prestation de services électroniques impliquant des renseignements personnels, et avant de communiquer des renseignements personnels à l’extérieur du Québec.

Gérer les incidents de confidentialité

Si vous avez des raisons de croire qu’un incident de confidentialité (accès, utilisation, communication ou perte non autorisés de renseignements personnels) s’est produit, vous devez prendre des mesures raisonnables pour limiter le risque. Lorsqu’il présente un risque de préjudice grave, vous devez en aviser la Commission d’accès à l’information (CAI) et les personnes concernées. Vous devez également tenir un registre des incidents de confidentialité. La CAI publie des conseils aux entreprises sur les incidents de confidentialité qui précisent ce que les avis et le registre doivent contenir.

Répondre aux demandes individuelles de confidentialité

Les individus peuvent accéder à leurs renseignements et les corriger, les recevoir dans un format portable et, dans des circonstances définies, demander la désindexation ou la cessation de la diffusion d’informations les concernant. Les demandes écrites doivent généralement recevoir une réponse dans les 30 jours.

Établir des procédures de conservation et de destruction

Une fois que l’objectif de la collecte d’informations est atteint, vous devez les détruire ou les anonymiser à des fins sérieuses et légitimes, sous réserve de toute période de conservation légale. L’anonymisation doit suivre les critères énoncés dans les règlements du Québec.

Examiner les transferts et les fournisseurs à l’extérieur du Québec

Avant d’envoyer des renseignements personnels à l’extérieur du Québec, y compris à un fournisseur de services ou à un hébergeur infonuagique, vous devez effectuer une ÉFVP et mettre en place une entente écrite.

Comment la Loi 25 affecte les sites Web et le marketing numérique

C’est ici que la loi rencontre les outils que nos clients utilisent chaque jour. Les renseignements personnels sont régulièrement collectés par le biais d’activités de marketing ordinaires, souvent sans que personne ne pense à cela comme à une « collecte de données ».

Considérez un site Web d’entreprise typique.

Les formulaires de contact, les demandes de devis et les formulaires de candidature collectent des noms, des courriels et parfois des détails sensibles. Les abonnements aux infolettres capturent des adresses courriel pour de futurs prospects. Google Analytics, le suivi des conversions Google Ads, le pixel Meta et la balise Insight de LinkedIn collectent des données comportementales, souvent à des fins de remarketing et de reciblage. Les agents conversationnels (chatbots), les vidéos intégrées, les intégrations aux médias sociaux, les extensions tierces et les systèmes de prise de rendez-vous en ligne peuvent chacun définir des témoins ou envoyer des données à des tiers. En coulisses, votre CRM, votre plateforme de marketing par courriel, vos bases de données clients, votre hébergement de site Web et votre stockage en nuage détiennent tous des renseignements personnels, et certains fonctionnent sur des serveurs situés à l’extérieur du Québec.

Concrètement, il s’agit de cerner, pour chaque système, une liste concise d’éléments : quelles données à caractère personnel sont collectées, pourquoi, comment elles sont utilisées, où elles sont stockées, qui peut y accéder et si elles sont partagées avec des tiers. Sur un site de commerce électronique, cette liste est plus longue et comprend souvent des informations relatives au paiement et à la livraison. Ce recueil d’informations sous-tend presque toutes les autres obligations, du consentement à la gestion des incidents.

Pourquoi la gestion du consentement aux témoins est-elle importante?

On croit souvent à tort que le simple fait d’installer une bannière relative aux cookies rend un site web conforme. Ce n’est pas le cas. Une bannière n’est utile que si elle reflète ce que votre site fait réellement.

En vertu de la Loi 25, une entreprise devrait être en mesure de répondre à plusieurs questions concernant son propre site Web :

• Quels témoins et quelles technologies de suivi sont actifs?
• Lesquels sont essentiels, et lesquels ne le sont pas?
• Quelles données chacun recueille-t-il, et pourquoi?
• Quels tiers reçoivent ces données?
• Une partie de ces données est-elle traitée ou stockée à l’extérieur du Québec?
• Un consentement valide est-il requis?
• Les visiteurs peuvent-ils retirer ou modifier leur consentement?
• Plus important encore, le site Web respecte-t-il réellement les choix de chaque visiteur?

Une nuance mérite d’être connue : l’exigence de définir le niveau de confidentialité le plus élevé par défaut ne s’applique pas aux témoins de navigateur, mais les règles plus larges sur le consentement, la transparence et les technologies qui identifient, localisent ou profilent une personne façonnent toujours la façon dont le suivi doit être géré.

Une plateforme de gestion du consentement correctement configurée peut aider.

Selon l’outil, elle peut :

• Analyser votre site Web pour repérer les témoins et les scripts
• Les catégoriser
• Bloquer certaines technologies non essentielles avant l’obtention du consentement
• Afficher un avis de consentement
• Enregistrer les préférences des utilisateurs
• Permettre aux utilisateurs de modifier ou de retirer leur consentement
• Conserver la documentation
• Mettre à jour votre déclaration relative aux témoins
• Prendre en charge plusieurs langues
• S’intégrer aux plateformes d’analyse et de publicité

Notre guide sur la gestion du consentement aux témoins couvre ce qu’il faut rechercher lors du choix d’une plateforme de gestion du consentement.

Deux mises en garde sont importantes.

Premièrement, ne choisissez pas une plateforme simplement parce qu’elle affiche une bannière; elle doit être configurée, examinée et testée afin que le suivi sur votre site réponde réellement aux sélections de chaque visiteur.

Deuxièmement, une plateforme de consentement est un composant d’un programme plus large. Elle ne remplace pas l’avis juridique, les politiques de confidentialité internes, la formation des employés, les inventaires de données, les procédures de conservation et de destruction, les évaluations des facteurs relatifs à la vie privée, les plans d’intervention en cas d’incident, l’examen des fournisseurs, une sécurité des données solide ou la documentation de vos décisions en matière de confidentialité.

Par où votre entreprise devrait-elle commencer?

Si vous n’avez pas encore travaillé sur la Loi 25, cette séquence est un point de départ pratique :

• Désigner ou confirmer la personne responsable de la protection des renseignements personnels et publier ses coordonnées.
• Créer un inventaire des renseignements personnels que détient votre entreprise.
• Cartographier la façon dont ces informations sont collectées, utilisées, stockées, divulguées et détruites.
• Examiner les formulaires de sites Web, les témoins, les analyses, les pixels publicitaires et les scripts de suivi.
• Examiner votre politique de confidentialité et le langage de consentement pour plus de clarté et d’exactitude.
• Établir des procédures de conservation et de destruction.
• Créer un plan d’intervention en cas d’incident de confidentialité.
• Tenir un registre des incidents de confidentialité.
• Examiner les fournisseurs de services, les plateformes d’hébergement et les fournisseurs de technologie.
• Mener des évaluations des facteurs relatifs à la vie privée lorsque requis.
• Examiner comment les renseignements personnels sont transférés ou stockés à l’extérieur du Québec.
• Former les employés sur leurs responsabilités en matière de confidentialité.
• Documenter vos décisions et vos activités de conformité.
• Coordonner l’expertise juridique, informatique, en cybersécurité et en marketing numérique, le cas échéant.

En ce qui concerne les aspects technologiques et de cybersécurité de ce travail, notamment le chiffrement, les contrôles d’accès, les audits et la préparation aux incidents, cette liste de contrôle relative à la conformité à la Loi 25, élaborée par Info-Tech Montréal, une société informatique montréalaise de confiance, fournit des détails pratiques supplémentaires qui complètent les informations partagées dans notre article.

La conformité à la Loi 25 est un processus continu

La conformité n’est pas un projet que vous terminez une fois. Vos technologies, vos fournisseurs, vos pratiques de données et vos opérations changent, et les conseils réglementaires évoluent avec eux. L’ajout d’un nouvel outil d’analyse, d’une plateforme publicitaire, d’un CRM, d’un agent conversationnel ou d’une intégration tierce peut changer ce que vous collectez, donc chaque ajout mérite un examen de confidentialité. Prendre l’habitude d’une révision périodique est beaucoup plus facile que de reconstruire vos pratiques de données après coup.

Foire aux questions sur la Loi 25

La Loi 25 s’applique-t-elle aux petites entreprises? Oui. Il n’y a pas d’exemption basée sur la taille, bien que ce qui compte comme un effort raisonnable soit proportionnel à vos activités.

Mon site Web a-t-il besoin d’une bannière de consentement aux témoins? Oui, en pratique, la plupart des sites Web d’entreprise en ont besoin. Si votre site exécute des analyses, des pixels publicitaires ou d’autres suivis non essentiels, vous devez en informer les visiteurs et obtenir un consentement valide, et une bannière de consentement est la façon standard de le faire. La bannière doit toujours refléter votre suivi réel et respecter les choix des visiteurs, car la bannière elle-même ne crée pas la conformité.

Google Analytics est-il affecté par la Loi 25? Oui. Il collecte des informations sur les visiteurs et peut impliquer des tiers et des flux de données transfrontaliers; examinez-le donc pour le consentement, la transparence et votre politique de confidentialité.

Une plateforme de gestion du consentement garantit-elle la conformité? Non. Elle peut soutenir le consentement et la transparence, mais elle n’est qu’une partie d’un programme plus large; elle ne remplace pas l’avis juridique, les politiques, la formation ou la sécurité.

Qui devrait être responsable de la protection des renseignements personnels? Par défaut, la personne ayant la plus haute autorité. Le rôle peut être délégué par écrit, et les coordonnées de la personne doivent être publiées.

Quand une évaluation des facteurs relatifs à la vie privée est-elle requise? Avant d’acquérir, de développer ou de refaire un système d’information impliquant des renseignements personnels, et avant de communiquer des renseignements personnels à l’extérieur du Québec, entre autres cas.

Conclusion

La conformité à la Loi 25 du Québec peut sembler intimidante, mais vous n’avez pas à résoudre toutes les questions juridiques et techniques d’un seul coup. La première étape la plus utile consiste à comprendre vos propres pratiques en matière de données, y compris ce que vous collectez, pourquoi, où ces données sont stockées et qui y a accès, avant de faire appel à l’expertise adéquate pour combler les lacunes.

WSI Digital Marketing à Montréal peut vous aider avec le volet numérique et Web de cet effort : examens des témoins et du suivi du site Web, mise en œuvre de la plateforme de gestion du consentement, configuration de la bannière de consentement, placement de la politique de confidentialité, examens des formulaires de contact et d’infolettre, examens des scripts d’analyse et de publicité, examens des extensions tierces et audits de suivi de site Web. Nous assurons également la coordination avec vos experts juridiques, informatiques et en cybersécurité afin que tous les éléments s’imbriquent parfaitement.

Prêt à examiner le côté site Web, témoins, analyses et suivi de votre programme de confidentialité?

Contactez WSI Digital Marketing à Montréal pour en discuter.

Cet article est fourni à des fins d’information générale seulement et ne constitue pas un avis juridique. La Loi 25 peut s’appliquer différemment selon les activités, les technologies et l’utilisation des renseignements personnels de votre organisation. Pour vos obligations spécifiques, consultez un professionnel du droit qualifié. WSI Digital Marketing Montréal ne fournit pas d’avis juridique, ne certifie ni ne garantit la conformité, et ne remplace pas un avocat, un professionnel de la confidentialité, un fournisseur informatique ou un spécialiste de la cybersécurité.