Le formulaire ne dit rien.
Un formulaire qui recueille un nom et un courriel sans mention du traitement, de la durée de conservation ni du responsable est déjà en manquement, même si personne ne s'en est plaint.
Conformité Loi 25, Montréal et à distance
Mettre votre site web en règle avec la Loi 25.
Formulaire de contact, infolettre, outil de mesure, module d'avis, carte de localisation : dès que votre site recueille ou transmet un renseignement personnel, la loi impose des obligations précises. Je m'occupe de la partie web, de l'affichage jusqu'aux documents que personne ne voit.
2 à 4 semainesPour une mise en conformité complète
3 pages publiquesConfidentialité, mentions légales, témoins
1 responsableDésigné et publié, comme la loi l'exige
Ce qui coince
Trois manquements qu'on trouve presque partout.
Les outils tiers sont invisibles.
Mesure d'audience, module d'avis, carte, polices d'affichage, régie publicitaire : chacun transmet des renseignements et doit être déclaré, avec le consentement qui correspond.
Les documents internes manquent.
La loi demande aussi ce qui ne se voit pas : gouvernance, évaluation des facteurs relatifs à la vie privée, registre des incidents, encadrement des transferts hors Québec.
Ce qui est livré
Des documents qui décrivent votre site, pas un modèle générique.
Tout ce qui suit est écrit pour votre site, à partir de ce qu'il recueille réellement, puis intégré et testé dans les pages.
- PublicPolitique de confidentialité
Page publiée, en français, lisible par un client et non par un juriste : ce qui est recueilli, pourquoi, combien de temps, avec qui c'est partagé, comment exercer ses droits.
- PublicMentions légales
Identité de l'exploitant du site, responsable désigné, hébergeur, coordonnées de contact, propriété intellectuelle.
- PublicPolitique de témoins
Liste réelle des témoins déposés par votre site, leur finalité, leur durée, et la façon de les refuser. Pas une liste recopiée d'un modèle.
- PublicBandeau de consentement
Accepter et Refuser de poids visuel égal, refus par défaut, aucun témoin déposé avant le choix. Posé, puis vérifié dans un vrai navigateur.
- InterneDocuments de gouvernance
Politique de gouvernance des renseignements personnels, désignation du responsable, inventaire des traitements, registre des incidents.
- InterneÉvaluation des facteurs relatifs à la vie privée
Pour les projets concernés, notamment une refonte de site qui touche aux renseignements personnels, et pour les transferts hors Québec.
- SuiviJournal des correctifs
La liste de ce qui a été modifié dans le site, avec la date. C'est la pièce qui permet de démontrer ce qui était en place, plus tard.
Méthode
Quatre étapes, dans cet ordre.
Appel de cadrage
On passe en revue ce que votre site recueille, les outils tiers qui tournent et la personne qui portera le rôle de responsable. On décide aussi, dès maintenant, si un juriste doit valider les textes.
Recensement technique
Je passe le site au crible : formulaires, témoins réellement déposés au chargement, requêtes vers des domaines tiers, envois de courriels, stockage, durées de conservation.
- Liste des témoins avec leur source et leur durée
- Liste des fournisseurs qui reçoivent des données
- Liste des écarts, classés par ordre de priorité
Rédaction et intégration
Les pages légales sont écrites, intégrées à la charte du site, liées depuis le pied de page et les formulaires. Le bandeau de consentement est posé et testé dans un vrai navigateur, pas seulement déclaré.
Documents internes et passation
Gouvernance, évaluation des facteurs relatifs à la vie privée le cas échéant, registre des incidents, modèle de réponse à une demande d'accès ou de suppression. On termine par un résumé de ce qui est en place et de ce qu'il reste à surveiller.
Réalisations
Deux mises en conformité menées de bout en bout.
Les projets sont nommés avec l'accord des personnes concernées. Je ne publie pas les chiffres internes des clients.
JS Mécanique
Refonte complète du site, avec le volet conformité traité en même temps : politique de confidentialité et mentions légales réécrites et intégrées, gouvernance des renseignements personnels, évaluation des facteurs relatifs à la vie privée pour la refonte et pour les transferts hors Québec, fournisseurs identifiés (hébergeur, polices d'affichage, carte de localisation, module d'avis, messagerie), bandeau de consentement posé. Les éléments obligatoires ont été vérifiés un par un dans le code du site avant la mise en ligne.
- Conformité
- Documents publics et internes
- Vérification
- Élément par élément, dans le code
test-blanc.ca
Site conçu avec la contrainte inverse de l'habitude : un dispositif de consentement construit avant même d'être utile. Bandeau Accepter et Refuser de poids visuel égal, refus par défaut, mode de consentement en position refusée, aucun script tiers chargé tant que le visiteur n'a pas accepté. Mentions légales qui ne publient aucune adresse civile ni identité personnelle, et qui désignent malgré tout un responsable avec des coordonnées valides.
- Consentement
- Refus par défaut, vérifié
- Mesure
- Aucun tier avant acceptation
Options
Trois façons d'aborder le sujet.
Chaque mandat est chiffré après l'appel de cadrage. Il n'y a pas de tarif affiché, parce que le travail dépend du nombre de formulaires, d'outils tiers et de pages du site.
Ce qui n'est pas inclus dans ces mandats : les honoraires d'un juriste, si vous décidez d'en consulter un, et les frais d'outils tiers éventuels.
Pour être clair
Ce que ce n'est pas.
- Je ne suis pas avocat et je ne rends pas d'avis juridique. Je prépare, je documente et je mets en place. Quand le risque le justifie, je vous oriente vers un juriste et je lui fournis les pièces dont il a besoin.
- Ce n'est pas un bandeau ajouté en trois minutes. Un bandeau posé sans déclarer les témoins réellement déposés ne protège personne.
- Ce n'est pas une politique copiée d'un modèle. Le texte doit décrire votre site et vos outils, sinon il ne sert à rien.
- Ce n'est pas une garantie d'absence de plainte ou de sanction. C'est la capacité de démontrer que les obligations applicables ont été traitées, avec les pièces en main.
Questions fréquentes
Ce qu'on me demande le plus souvent.
Suis-je concerné si je recueille seulement un nom et un courriel ?
Oui. Dès qu'un site recueille un renseignement personnel d'une personne au Québec, les obligations d'information s'appliquent, quel que soit le volume. La taille du site ne change pas la nature des obligations, seulement l'ampleur des documents à produire.
Combien de temps ça prend ?
Le diagnostic demande environ une semaine. La mise en conformité complète prend de deux à quatre semaines selon la taille du site et le nombre d'outils tiers qui transmettent des données.
J'ai déjà une politique de confidentialité. Est-ce qu'elle suffit ?
Souvent non. Soit elle décrit un site générique, soit elle ne mentionne pas les outils réellement présents, ni le responsable désigné, ni les durées de conservation. Le diagnostic le dit en une page, sans vous vendre un mandat dont vous n'avez pas besoin.
Est-ce que je risque une amende ?
La loi prévoit des sanctions, mais l'enjeu de tous les jours est de pouvoir démontrer que vous avez traité les obligations. C'est exactement ce que produisent les documents remis, et c'est ce qui distingue un site en règle d'un site qui a seulement l'air en règle.
Que dois-je faire moi-même ?
Trois choses : désigner la personne qui portera le rôle de responsable de la protection des renseignements personnels, répondre à mes questions sur les traitements réels, et valider les textes. Le reste, je m'en occupe.
Et les transferts hors Québec ?
Hébergeur, infonuagique, messagerie, polices d'affichage, modules tiers : plusieurs se trouvent hors Québec, et c'est normal. Il faut les identifier, les déclarer, et encadrer l'information donnée aux visiteurs. Le recensement technique les liste pour votre site, un par un.
À voir aussi
Souvent lié à ce mandat.
Qui fait le travail
Quentin Navarro, consultant web indépendant, travailleur autonome établi à Montréal. Je travaille à distance partout, avec une concentration au Québec, en français comme en anglais technique.
Un seul interlocuteur du premier appel à la livraison, et un nombre de mandats simultanés volontairement limité.
Prochaine étape
Savez-vous ce que votre site transmet vraiment ?
Un appel de 30 minutes suffit pour le dire : ce que votre site recueille, quels outils tiers reçoivent des données, et ce qu'il faut corriger en premier. Sans engagement.