Liste de contrôle Loi 25 pour votre site web

Ce que le site doit afficher

• AFF-01Un responsable de la protection des renseignements personnels est désignéPar défaut, c’est la personne ayant la plus haute autorité dans l’entreprise; la fonction peut être déléguée par écrit. Son titre et ses coordonnées sont publiés sur le site (art. 3.1).
• AFF-02Une politique de confidentialité est publiée sur le siteObligatoire lorsque des renseignements sont recueillis par un moyen technologique, comme un formulaire. Rédigée en termes simples et clairs (art. 8.2). Un lien visible dans le pied de page et près de chaque formulaire est une bonne pratique.
• AFF-03La politique dit quoi, pourquoi, comment, et quels sont vos droitsRenseignements recueillis, fins, moyens de collecte, droits d’accès et de rectification, droit de retirer son consentement, coordonnées du responsable, communication possible à l’extérieur du Québec, durée de conservation.
• AFF-04Les règles de gouvernance sont résumées sur le siteL’entreprise adopte des politiques et pratiques encadrant la gouvernance des renseignements (conservation, destruction, rôles, traitement des plaintes) et en publie l’information détaillée, en termes simples et clairs, sur son site (art. 3.2).

Ce que le site doit demander, et comment

• DEM-01Chaque formulaire explique pourquoi il recueille les renseignementsAu moment de la collecte, la personne est informée des fins, des moyens, de ses droits d’accès et de rectification et de son droit de retirer son consentement (art. 8).
• DEM-02Seuls les renseignements nécessaires sont demandésOn ne recueille que ce qui est nécessaire aux fins déterminées avant la collecte (art. 5). Un formulaire de contact n’a généralement pas besoin d’une adresse postale ni d’une date de naissance.
• DEM-03Le consentement est manifeste, libre, éclairé et propre à chaque finDemandé pour chaque fin, en termes simples et clairs et, s’il est demandé par écrit, présenté séparément de toute autre information (art. 14). Selon les orientations de la Commission, une case pré-cochée ou un consentement noyé dans les conditions d’utilisation ne répond pas à ces critères.
• DEM-04L’infolettre a sa propre case à cocherRépondre à une demande et envoyer de la prospection sont deux fins distinctes : la prospection commerciale ne peut pas être considérée comme une fin compatible (art. 12). Deux fins, deux consentements. (L’envoi de messages commerciaux est aussi encadré par la loi canadienne anti-pourriel.)
• DEM-05Les fonctions qui identifient, localisent ou profilent sont annoncées et activées par le visiteurSi le site utilise une technologie qui permet d’identifier, de localiser ou de profiler un visiteur (certains outils publicitaires ou de mesure d’audience), il doit l’en informer au préalable ainsi que des moyens d’activer ces fonctions (art. 8.1).
• DEM-06Les tiers et la communication hors Québec sont mentionnésLe cas échéant, indiquer le nom des tiers ou des catégories de tiers à qui les renseignements sont communiqués (outil de formulaire, infolettre, hébergeur) et la possibilité qu’ils soient communiqués à l’extérieur du Québec (art. 8).

Ce que l’entreprise doit gérer en coulisse

• GER-01Un registre des incidents de confidentialité est tenuTout incident est consigné (art. 3.8). S’il présente un risque de préjudice sérieux, la Commission d’accès à l’information et les personnes concernées sont avisées avec diligence (art. 3.5).
• GER-02Une évaluation est faite avant d’envoyer des renseignements hors QuébecAvant de communiquer des renseignements à l’extérieur du Québec, par exemple à un hébergeur ou un outil infonuagique situé ailleurs, une évaluation des facteurs relatifs à la vie privée est réalisée (art. 17).
• GER-03Une durée de conservation est fixée, puis les données sont détruitesUne fois la fin accomplie, les renseignements sont détruits ou anonymisés, sous réserve des délais de conservation prévus par la loi (art. 23). Pensez aux messages du formulaire qui s’accumulent dans une boîte courriel.
• GER-04Les demandes d’accès, de rectification et de portabilité ont une procédureLe responsable répond par écrit dans les 30 jours suivant la réception (art. 32). Depuis septembre 2024, une personne peut aussi demander ses renseignements dans un format technologique structuré et couramment utilisé (art. 27).
• GER-05Les fournisseurs qui traitent des renseignements ont une entente écriteConfier des renseignements à un prestataire (hébergeur, outil d’envoi de courriels, développeur) exige un contrat écrit qui précise les mesures de protection (art. 18.3).
• GER-06Des mesures de sécurité raisonnables protègent les donnéesSite en HTTPS, accès aux messages limité aux personnes qui en ont besoin, mots de passe solides, mises à jour appliquées : des mesures adaptées à la sensibilité des renseignements (art. 10).

Références : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), articles indiqués entre parenthèses dans le guide. Outil de vérification, pas un avis juridique. Fix ProTech — https://fix-protech.com/ressources/loi-25-liste-imprimable/