Nouvelles obligations à compter du 22 septembre 2023

Si vous collectez des renseignements personnels par un moyen technologique, vous devez avant le 22 septembre 2023 :

• rédiger une politique de confidentialité en termes clairs et simples;
• publier cette politique sur votre site Internet et la diffuser par tout moyen propre à atteindre les personnes concernées;
• publier et diffuser un avis lorsque des modifications sont apportées à cette politique.

De quelle façon peut-on recueillir des renseignements personnels par un moyen technologique?

Voici quelques exemples :

• formulaires, questionnaires, plateformes, applications Web et courriels;
• formulaire pour obtenir une soumission à remplir par un consommateur sur un site Internet;
• collecte d’information par l’entremise de témoins de connexion (cookies);
• échange de renseignements entre le serveur de l’entreprise et l’appareil de la personne qui visite le site Internet (ex.: adresse IP, fournisseur de services Internet, type de navigateur, système d’exploitation, date/heure de la visite, pages consultées, langue du navigateur, etc.);
• utilisation de Google Analytics et de Microsoft Clarity, qui permettent de mesurer l’audience Web et d’analyser les visites sur un site Internet;
• utilisation de pixels de suivi pour les plateformes publicitaires.

Qu’est-ce qu’une politique de confidentialité?

La Loi ne définit pas ce qu’est une politique de confidentialité. De façon générale, une telle politique présente les règles et les pratiques de l’entreprise en matière de protection des renseignements personnels collectés par un moyen technologique.

Cela s’inscrit dans la philosophie de la Loi qui est notamment d’offrir un meilleur contrôle aux citoyens sur leurs renseignements personnels et leur utilisation. L'objectif est de bien informer les personnes concernées pour leur permettre de prendre des décisions éclairées.

Que doit-on inclure dans la politique de confidentialité?

La Loi ne précise pas le contenu de la politique de confidentialité. Ce contenu varie selon le type de collecte d’information effectuée et les moyens technologiques utilisés par l’entreprise.

Selon le gouvernement du Québec, la politique devrait traiter de ces aspects :

• le nom et les coordonnées de l’entreprise qui collecte les renseignements personnels;
• une brève description des activités de l’entreprise;
• une description des moyens technologiques utilisés pour recueillir les renseignements;
• la nature des renseignements personnels collectés;
• les fins pour lesquelles les renseignements sont recueillis (l’utilité de ces renseignements, ce que vous allez en faire);
• le cas échéant, les renseignements transmis, le nom de tout tiers à qui ces renseignements sont transmis, les fins envisagées et la possibilité qu’ils soient transmis à l’extérieur du Québec (en précisant les destinations);
• une description des mesures mises en place pour assurer la confidentialité et la sécurité des renseignements;
• les coordonnées où acheminer les questions, les demandes et les plaintes relatives à la politique de confidentialité (ex.: le nom et les coordonnées du responsable de la protection des renseignements personnels);
• les droits d’accès et de rectification prévus par la Loi;
• le droit des personnes concernées de refuser de consentir ou de retirer leur consentement à la collecte, à la communication ou à l’utilisation de leurs renseignements;
• la date d’entrée en vigueur de la politique et, le cas échéant, la date de la plus récente mise à jour.

Exemples de politique de confidentialité

Veuillez consulter des exemples de politique de confidentialité sur le site Internet de la Commission d’accès à l’information et du gouvernement du Québec :

• cai.gouv.qc.ca/politique-de-confidentialite/
• quebec.ca/politique-confidentialite
  
  

Publication et diffusion de la politique

La politique doit être adaptée aux personnes à qui elle est destinée, souvent des consommateurs qui ne sont pas spécialistes en informatique ou en sécurité de l’information. La politique doit donc être rédigée dans des termes facilement compréhensibles, précis et à la portée de tous.

La politique devrait être diffusée sur une page réservée à cet effet sur le site Internet de l’entreprise. Elle devrait être facilement repérable. Un lien Politique de confidentialité se trouve souvent dans le bas de la page avec les droits d’auteur (copyrights) et les sections du type Conditions d’utilisation, Accessibilité et Plan du site.

Avis de modification de la politique

Lorsque l’entreprise modifie sa politique de confidentialité, elle doit publier un avis de modification sur son site Internet et le diffuser par tout moyen permettant d’atteindre les personnes concernées (ex.: courriel). Il est recommandé de le faire avant d’appliquer les modifications pour laisser le temps aux gens de réagir.

L’avis devrait indiquer ce qui suit :

• la date de publication de l’avis;
• les modifications apportées à la politique;
• la date de l’entrée en vigueur des modifications (si ce n’est pas la même que la date de publication de l’avis).

Sources :

Gouvernement du Québec, Politique de confidentialité lors d’une collecte de renseignements personnels par un moyen technologique, 23 février 2023.

Commissariat à la protection de la vie privée du Canada, Les Canadiennes et les Canadiens sont moins persuadés que leur droit à la vie privée est respecté, selon un sondage, 14 juin 2023.

Retour