Votre site utilise un formulaire de contact, Google Analytics, une infolettre, une boutique en ligne ou un outil publicitaire? Il recueille probablement des renseignements personnels. Pour une PME québécoise, une bannière de témoins et une politique de confidentialité générique ne suffisent pas : la conformité repose sur l’ensemble du parcours des données.
Les éléments essentiels à vérifier
Votre entreprise doit désigner une personne responsable de la protection des renseignements personnels et publier son titre ainsi que ses coordonnées. Votre politique de confidentialité doit aussi être facile à trouver, écrite clairement et fidèle aux pratiques réelles de votre site.
Elle devrait expliquer les renseignements recueillis, leur utilisation, les personnes ou fournisseurs qui peuvent y avoir accès, leur durée de conservation, les droits des utilisateurs et la façon de communiquer avec la personne responsable.
Formulaires et consentement
Chaque formulaire doit demander uniquement les renseignements nécessaires. Une personne qui sollicite une soumission n’a pas toujours besoin de fournir sa date de naissance ou son adresse complète. Présentez clairement la raison de la collecte et ajoutez un lien visible vers votre politique de confidentialité.
Le consentement à une infolettre ou à une autre utilisation secondaire doit être clair et distinct. Évitez les cases précochées et les formulations vagues.
Témoins, statistiques et publicité
Une bannière efficace doit permettre d’accepter ou de refuser les témoins non essentiels. Les outils comme Google Analytics, Meta Pixel, les vidéos intégrées ou certaines solutions de clavardage ne devraient pas se déclencher avant le choix de l’utilisateur lorsque le consentement est requis.
- Expliquez les catégories de témoins et leurs fonctions.
- Offrez un refus aussi simple que l’acceptation.
- Permettez à l’utilisateur de modifier son choix.
- Vérifiez techniquement que les outils respectent la préférence enregistrée.
Sécurité et gestion des incidents
La conformité inclut également la sécurité du site. Maintenez WordPress, les thèmes et les extensions à jour, limitez les accès administrateurs, utilisez l’authentification multifacteur et conservez des sauvegardes protégées.
Votre PME devrait aussi disposer d’une procédure et d’un registre pour les incidents de confidentialité. Lorsqu’un incident présente un risque de préjudice sérieux, des avis à la Commission d’accès à l’information et aux personnes concernées peuvent être requis.
Votre vérification rapide
- Responsable de la protection des renseignements personnels identifié.
- Politique de confidentialité personnalisée et accessible.
- Formulaires limités aux données nécessaires.
- Témoins non essentiels contrôlés selon le consentement.
- Règles de conservation et procédure d’incident en place.
- Site, extensions et comptes régulièrement sécurisés.
Faites évaluer votre site
“3PEAKS Digital peut analyser vos formulaires, vos témoins, vos outils tiers et vos pages de confidentialité, puis vous remettre une liste claire des correctifs prioritaires. Demandez votre audit de conformité web Loi 25.”
Important : cet article présente de l’information générale et ne constitue pas un avis juridique.
