La Loi 25 est la loi québécoise la plus cherchée par les entreprises d'ici, et la plupart des pages qui en parlent la résument. Celle-ci fait autre chose: elle dit ce qui doit changer dans votre site, vos formulaires et vos courriels. C'est la partie que les résumés ne couvrent pas, et c'est celle où on passe nos semaines.
Ce que cette page est, et ce qu'elle n'est pas
On n'est pas un cabinet d'avocats et cette page n'est pas un avis juridique. Pour le texte de la loi et son interprétation, la Commission d'accès à l'information du Québec fait foi, et un avocat répondra mieux que nous à une question de conformité.
Ce qu'on connaît, c'est l'autre bout du problème: ce que la loi change dans un site web, dans un formulaire, dans une infolettre et dans les outils qui reçoivent la donnée. C'est ce qu'on fait toutes les semaines pour des entreprises d'ici, et c'est de ça qu'on parle ici.
Si vous cherchez un résumé de la loi, allez à la source. Si vous cherchez quoi changer lundi matin sur votre site, continuez.
“Le bandeau de témoins ne vaut rien si les scripts de suivi se chargent avant le choix du visiteur.”
Le bandeau de témoins: le consentement vient avant le suivi
Le problème le plus fréquent qu'on voit n'est pas l'absence de bandeau. C'est un bandeau qui s'affiche pendant que les outils de suivi ont déjà démarré. Le visiteur n'a rien choisi et son comportement est déjà parti chez trois fournisseurs.
Techniquement, ça veut dire que les scripts d'analytique, le pixel publicitaire et les outils de carte de chaleur ne doivent pas se charger tant que la personne n'a pas accepté. La plupart des installations qu'on reprend chargent tout dans l'en-tête de la page et affichent le bandeau par-dessus, pour la forme.
Deuxième piège: un bandeau avec un seul bouton. Si accepter est possible et refuser ne l'est pas, le consentement n'est pas libre. Refuser doit être aussi facile qu'accepter, au même endroit, en un clic.
Troisième piège: le choix ne se souvient pas. Si le bandeau revient à chaque page, soit le refus n'est pas enregistré, soit il est enregistré et ignoré. Les deux sont des problèmes.
Vos formulaires: un consentement, un but
Un formulaire de contact qui ajoute discrètement la personne à l'infolettre est le cas le plus répandu, et le plus simple à corriger. Demander une chose et en faire une autre n'est pas un consentement valable, peu importe ce qui est écrit en petit.
La règle pratique: une case par usage, décochée au départ, avec un libellé qui dit ce qui va se passer. Recevoir une réponse à sa question et recevoir une infolettre mensuelle sont deux choses différentes et méritent deux cases.
La case ne doit pas non plus être collée aux conditions d'utilisation. Mélanger l'acceptation des conditions et le consentement marketing dans une seule case fait disparaître les deux.
Et il faut pouvoir prouver le consentement plus tard. Ça veut dire garder la date, l'heure, le libellé exact affiché au moment de la soumission et l'origine. Un CRM qui enregistre seulement un courriel et une étiquette ne prouve rien.
Vos infolettres: deux lois, pas une
C'est la confusion qu'on corrige le plus souvent. La Loi 25 est québécoise et porte sur les renseignements personnels. La Loi canadienne anti-pourriel, la LCAP, est fédérale et porte sur les messages commerciaux. Elles se superposent, elles ne se remplacent pas.
En pratique, une liste de courriels québécoise doit satisfaire les deux: un consentement valide pour la donnée, et un consentement valide pour l'envoi. Une entreprise peut être en règle d'un côté et pas de l'autre.
Les conséquences concrètes sont simples. Pas d'ajout automatique après un achat sans case distincte. Un lien de désabonnement qui fonctionne en un clic et qui prend effet rapidement. Une identification claire de l'expéditeur dans chaque message. Et une trace de l'origine de chaque adresse de la liste.
Le cas qui fait mal: une liste achetée ou importée d'un ancien système, dont personne ne sait d'où viennent les adresses. Elle est inutilisable, et la nettoyer coûte plus cher que de l'avoir fait correctement au départ.
Vos outils: la donnée ne reste pas chez vous
Un site québécois moyen envoie de la donnée à une dizaine d'endroits sans que personne l'ait décidé explicitement: analytique, pixel publicitaire, outil de clavardage, système de réservation, plateforme courriel, hébergeur de formulaires, carte de chaleur.
La première chose à faire n'est pas de choisir des outils, c'est de faire la liste. On ouvre les outils de développement du navigateur, on regarde les requêtes sortantes sur une page, et on écrit ce qu'on voit. Presque chaque fois, il y a au moins un outil que personne dans l'entreprise ne savait encore actif.
Ensuite, pour chacun: quelle donnée part, qui la reçoit, où elle est hébergée, et combien de temps elle est gardée. C'est cette liste qui permet d'écrire une politique de confidentialité honnête plutôt qu'un gabarit copié ailleurs.
Les outils qui sont restés branchés après le départ d'un fournisseur sont une catégorie à eux seuls. On en trouve à peu près partout.
La politique de confidentialité: une page, pas un PDF
Une politique copiée d'un autre site est pire qu'absente: elle décrit des pratiques qui ne sont pas les vôtres, et elle est vérifiable par n'importe qui en deux minutes.
Ce qui compte: qu'elle soit à une adresse stable et accessible depuis chaque page, qu'elle soit en français, qu'elle dise quels renseignements sont collectés et pourquoi, qu'elle nomme les catégories de tiers qui les reçoivent, qu'elle explique comment exercer ses droits, et qu'elle donne un moyen de joindre la personne responsable chez vous.
Un PDF à télécharger ne remplit pas le travail. Une page web le fait, et elle se corrige quand les outils changent.
Et elle doit correspondre à la réalité mesurée à l'étape précédente. Une politique qui ne mentionne pas l'outil de clavardage installé l'an dernier est fausse, même si elle a été rédigée par un avocat.
Par où commencer cette semaine
Faites la liste des outils qui reçoivent de la donnée sur votre site. Une heure, les outils de développement du navigateur, une page à la fois. C'est la seule étape qu'on ne peut pas sauter, parce que tout le reste en dépend.
Ouvrez vos formulaires et regardez les cases. Décochées au départ, une par usage, un libellé qui dit la vérité. C'est la correction la moins chère et celle qui a le plus d'effet.
Vérifiez dans quel ordre votre bandeau et vos scripts de suivi se chargent. Si le suivi démarre avant le choix, le reste du bandeau est décoratif.
Demandez à votre plateforme courriel d'où vient chaque adresse. Si elle ne peut pas répondre, vous avez trouvé le prochain chantier.
Ensuite seulement, parlez à un avocat avec une liste de faits plutôt qu'avec une inquiétude générale. Vous paierez moins cher et vous aurez de meilleures réponses.