Loi 25 et témoins : ce que la révolution numérique québécoise exige des entreprises

La plupart des sites web québécois ressemblent encore à ce qu'ils étaient en 2021. La loi qui les encadre, elle, a changé. Depuis le début du déploiement progressif de la Loi 25 en septembre 2022 — et l'entrée en vigueur, en septembre 2023, des obligations les plus contraignantes en matière de vie privée —, ce qui constitue une bannière de témoins (cookies) conforme, une politique de confidentialité conforme et un processus de traitement des données conforme a fondamentalement changé.

Et pourtant : parcourez dix sites web d'entreprises montréalaises cet après-midi et vous en trouverez huit qui affichent une bannière de témoins conforme à la LPRPDE, mais pas à la Loi 25. Des balises marketing qui se déclenchent avant le consentement. Des politiques de confidentialité qui invoquent un « consentement raisonnable » comme si cette formule suffisait encore. Des formulaires de contact qui envoient des renseignements personnels à un sous-traitant américain sans aucune mention d'une communication hors Québec.

Ce billet, c'est la synthèse de la Loi 25 que j'aurais aimé avoir quand nos clients ont commencé à nous poser des questions. Ce n'est pas un avis juridique — pour cela, il vous faut un avocat membre du Barreau du Québec. Mais c'est la lecture, par des gens de terrain, de ce que la loi exige réellement d'une entreprise québécoise qui exploite un site web marketing, de l'endroit où se situe le vrai risque d'application et de la démarche de conformité en cinq étapes que nous déployons pour nos clients.

Ce qu'est réellement la Loi 25

La Loi 25 — officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée sous le nom de projet de loi 64 — est la mise à jour la plus importante du droit québécois sur la protection de la vie privée en vingt-cinq ans. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé (la « Loi sur le privé ») et rapproche le cadre québécois bien davantage du RGPD que du régime fédéral canadien de la LPRPDE.

Le déploiement s'est fait en trois phases :

• 22 septembre 2022 — Chaque organisation doit désigner un responsable de la protection des renseignements personnels. L'obligation de déclarer les incidents de confidentialité entre en vigueur.
• 22 septembre 2023 — Les obligations de fond s'appliquent : transparence, consentement, confidentialité par défaut, droits des personnes concernées et obligation de réaliser une évaluation des facteurs relatifs à la vie privée pour les projets sensibles.
• 22 septembre 2024 — Portabilité des données : toute personne peut exiger que ses renseignements lui soient communiqués dans un format technologique structuré et couramment utilisé.

Nous avons maintenant dépassé la deuxième étape, celle qui compte le plus pour quiconque exploite un site web. Et la Commission d'accès à l'information — la CAI — a désormais le pouvoir d'imposer des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Pour les infractions pénales, le plafond grimpe à 25 M$ ou 4 %.

Ce qui change pour le site web d'une entreprise

Si vous exploitez un site web marketing pour une entreprise établie au Québec, cinq choses ont changé de façon importante le 22 septembre 2023. Une démarche de conformité sérieuse doit couvrir les cinq. La plupart n'en couvrent pas autant.

1. Le consentement doit être manifeste, granulaire et éclairé

Avant la Loi 25, la norme était ce que les juristes appellent le consentement implicite ou présumé : vous affichiez une bannière qui disait « en continuant à utiliser ce site, vous acceptez les témoins », l'utilisateur faisait défiler la page et vous déclenchiez toutes les balises marketing. Ce n'est plus suffisant. En vertu de la Loi 25, le consentement doit être manifeste, libre, éclairé, donné à des fins spécifiques, valable pour une durée limitée et granulaire — l'utilisateur doit pouvoir, par exemple, accepter les témoins d'analyse tout en refusant les témoins publicitaires, et chaque finalité doit être expliquée en termes clairs avant que le consentement soit recueilli.

Un seul bouton « Tout accepter » sans option équivalente « Tout refuser » n'est pas conforme. Les cases précochées ne sont pas conformes. Enfouir les finalités à trois clics de profondeur dans une politique de confidentialité n'est pas conforme.

2. Aucune balise ne se déclenche avant le consentement

C'est le point qui fait trébucher le plus de sites. La gestion du consentement n'est pas une bannière décorative — c'est un contrat technique avec votre gestionnaire de balises. Tant que l'utilisateur n'a pas fait de choix explicite, les seuls témoins qui devraient se déclencher sont ceux qui sont strictement nécessaires (session, CSRF, répartition de charge). Google Analytics, Meta Pixel, LinkedIn Insight Tag, TikTok Pixel, Hotjar, les cartes de chaleur, les widgets de clavardage qui déposent un identifiant persistant — tout cela doit attendre le consentement.

En pratique, vos déclencheurs GTM doivent être conditionnés à une variable d'état du consentement ou, plus proprement, vous devez implanter le Consent Mode v2 de Google et configurer explicitement les exigences de consentement de chaque balise. « J'ai installé la bannière », ce n'est pas la même chose que « mes balises sont bloquées jusqu'au consentement ».

3. La politique de confidentialité devient un document structuré

Le vieux gabarit d'une page « Votre vie privée nous tient à cœur » est chose du passé. Une politique de confidentialité conforme à la Loi 25 doit inclure, au minimum :

1. Les catégories de renseignements personnels recueillis, et les fins pour lesquelles ils le sont;
2. Les moyens par lesquels les renseignements personnels sont recueillis;
3. Les droits des personnes concernées en vertu de la Loi 25 — accès, rectification, retrait du consentement, portabilité et droit à la désindexation;
4. Le nom et les coordonnées du responsable de la protection des renseignements personnels;
5. Si des renseignements personnels sont communiqués à l'extérieur du Québec et, le cas échéant, vers quels territoires et avec quelles mesures de protection;
6. La durée de conservation, ou les critères utilisés pour la déterminer;
7. Le recours à des décisions automatisées, le cas échéant, et la façon dont elles sont prises.

La plupart des sites marketing que nous auditons en ont, au mieux, trois sur sept. La divulgation des communications hors Québec (point 5) et celle des décisions automatisées (point 7) sont presque toujours absentes.

4. Les communications hors Québec exigent une évaluation des facteurs relatifs à la vie privée

L'article 17 de la Loi sur le privé modernisée oblige les organisations à réaliser une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l'extérieur du Québec. Si votre formulaire de contact envoie vos leads vers les centres de données américains de HubSpot, si votre outil d'analyse envoie vos pages vues vers l'infrastructure américaine de Google ou si votre plateforme de courriel est hébergée sur AWS us-east-1, ce sont toutes des communications hors Québec, et elles exigent toutes une évaluation qui tient compte de la sensibilité des renseignements, de la finalité de leur utilisation et du régime juridique applicable dans le territoire de destination.

Vous n'avez pas à publier l'évaluation. Vous devez toutefois être en mesure de la produire si la CAI la demande.

5. Les droits des personnes concernées exigent un processus fonctionnel

Les utilisateurs peuvent désormais exiger l'accès à leurs renseignements personnels, la rectification de renseignements inexacts, le retrait de leur consentement et — depuis septembre 2024 — la portabilité de leurs données dans un format structuré. En pratique, il vous faut une adresse courriel de réception surveillée (souvent privacy@ ou l'adresse du responsable de la protection des renseignements personnels), un processus interne documenté pour traiter les demandes dans le délai de réponse de 30 jours, et un moyen d'effectuer concrètement les suppressions dans l'ensemble de vos outils marketing : CRM, plateforme de courriel, plateformes publicitaires, outil d'analyse, outil de soutien.

La démarche de conformité en cinq étapes que nous déployons

Quand un client nous demande de le rendre conforme à la Loi 25 — pas selon un idéal théorique parfait, mais selon une posture défendable et documentée —, voici l'ordre de travail que nous suivons. Chacune de ces étapes relève d'un département marketing, pas d'une équipe juridique.

Étape 1 — Auditer chaque balise qui se déclenche

Avant toute chose : faites un audit des balises. Ouvrez le site après avoir effacé les témoins, visitez trois ou quatre pages représentatives et répertoriez chaque témoin, chaque entrée du stockage local, chaque requête vers un tiers. Classez chacun comme strictement nécessaire, fonctionnel, d'analyse ou publicitaire. Cet inventaire alimente tout le reste. Sans lui, votre bannière de consentement n'est que du théâtre.

Étape 2 — Installer une plateforme de gestion du consentement qui bloque réellement les balises

Toutes les CMP ne se valent pas. Celles que nous déployons pour nos clients — Cookiebot, Osano, OneTrust pour les grandes entreprises — s'intègrent à Google Tag Manager par le Consent Mode v2 et empêchent réellement les balises de se déclencher tant que le consentement n'a pas été donné. L'erreur que nous voyons le plus souvent : une CMP est installée pour l'expérience de la bannière, mais les déclencheurs GTM ne sont pas conditionnés, alors toutes les balises se déclenchent quand même. Testez-le. Chargez votre site avec les DevTools ouverts et surveillez l'onglet Réseau avant de cliquer sur quoi que ce soit.

Étape 3 — Réécrire la politique de confidentialité selon la liste de contrôle en sept points

À partir de la liste en sept points ci-dessus, rédigez une politique de confidentialité qui répond à chacun d'eux en langage clair. Nommez le responsable. Énumérez les sous-traitants par territoire. Précisez le calendrier de conservation. Ce n'est pas un exercice de gabarit — c'est un exercice de documentation, et le document doit refléter ce que vos outils font réellement. Si votre politique affirme que vous ne communiquez pas de données à l'extérieur du Québec alors que votre CRM est Salesforce, vous avez un problème.

Étape 4 — Mettre en place le processus de traitement des demandes des personnes concernées

Créez une boîte de réception partagée. Rédigez une procédure d'une page qui décrit ce qui se passe quand une demande arrive : qui en accuse réception, qui vérifie l'identité, quels outils sont interrogés, qui approuve la suppression, qui documente la réponse. Faites un exercice — envoyez-vous une fausse demande et chronométrez la durée du processus complet. La plupart des premiers exercices prennent de six à huit heures de travail manuel par demande. C'est correct, tant que le processus existe et s'exécute en moins de 30 jours.

Étape 5 — Documenter l'évaluation des facteurs relatifs à la vie privée de vos outils marketing

Un document de quatre à six pages. Pour chaque catégorie de renseignements personnels que vous recueillez : où vont-ils, quelles mesures de protection sont en place (clauses contractuelles types, adéquation au RGPD, rapports SOC 2) et pourquoi la communication est-elle proportionnée à la finalité? Classez-le. Révisez-le chaque fois que vous ajoutez un outil. C'est le document qui, si la CAI cogne un jour à votre porte, prouve que vous avez pris l'obligation au sérieux.

Où se situe vraiment le risque d'application

La CAI a été claire quant à ses priorités initiales en matière d'application. Elle ne s'attaque pas à chaque PME qui a une bannière de témoins désuète. Les situations qui attirent une inspection sont précises :

• Les incidents de confidentialité déclarés. La déclaration obligatoire des incidents est en vigueur depuis 2022. Si vous subissez un incident et que vous le déclarez, ou qu'on vous dénonce pour ne pas l'avoir déclaré, la CAI auditera l'ensemble de vos pratiques en matière de vie privée — pas seulement la source de l'incident.
• Les plaintes. Une seule plainte d'une personne concernée suffit à déclencher l'examen. Si un utilisateur soumet une demande d'accès et que vous ne pouvez pas produire ses renseignements en trente jours, il peut porter plainte auprès de la CAI, et la CAI examinera tout.
• Les secteurs sous surveillance. Les secteurs qui traitent des renseignements sensibles — santé, services financiers, juridique, éducation, immobilier détenant des données financières personnelles — présentent un risque de base plus élevé.
• Les communications hors Québec non documentées. Si un organisme de réglementation commence à regarder et trouve des communications vers les États-Unis sans EFVP au dossier, c'est ce document-là qu'il citera.

Quoi faire ce trimestre

Si vous avez lu jusqu'ici et que vous n'êtes pas certain de la situation de votre entreprise, voici le travail minimal à faire en un seul trimestre :

1. Faites un audit des balises de votre domaine principal. Documentez ce qui se déclenche et classez chaque élément selon sa finalité.
2. Désignez et publiez le nom de votre responsable de la protection des renseignements personnels. C'est une exigence de la Loi 25; l'information doit figurer dans la politique de confidentialité de votre site web et sur sa page de contact.
3. Installez ou mettez à niveau votre CMP pour que les balises non essentielles attendent réellement le consentement. Testez-la.
4. Réécrivez votre politique de confidentialité selon la liste de contrôle en sept points. Datez-la.
5. Rédigez une procédure d'une page pour les demandes des personnes concernées. Testez-la une fois.
6. Préparez une évaluation des facteurs relatifs à la vie privée pour vos outils marketing. Conservez-la là où votre responsable pourra la produire.

Rien de tout cela n'est excitant. Tout cela est faisable pour une équipe des opérations, à condition que quelqu'un en soit responsable. Les organisations qui seront prises au dépourvu par la Loi 25 ne sont pas celles qui ont lu la loi et choisi de ne pas s'y conformer — ce sont celles qui ont tenu pour acquis que quelqu'un d'autre s'en occupait et qui, dans six mois, découvriront que personne ne le faisait.

Si vous voulez un deuxième avis sur la situation réelle de votre entreprise, c'est le genre de travail que nous faisons. L'appel est gratuit; la liste de correctifs est généralement courte.