Loi 25 : ce que votre site WordPress doit avoir

La Loi 25 a modernisé la protection des renseignements personnels au Québec. Elle touche toutes les entreprises, y compris les plus petites, et votre site Web est souvent le premier endroit où elle s’applique : c’est là que vous recueillez des noms, des courriels et des données de navigation.

Cet article donne des repères pratiques. Ce n’est pas un avis juridique : pour une situation précise, consultez un juriste.

Un calendrier en trois étapes

• Septembre 2022 : désignation d’une personne responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité dans l’entreprise) et obligation de signaler les incidents de confidentialité.
• Septembre 2023 : la majorité des obligations, dont la politique de confidentialité, les règles sur le consentement, les technologies de profilage et les nouvelles sanctions.
• Septembre 2024 : le droit à la portabilité, c’est-à-dire obtenir ses renseignements dans un format technologique structuré et couramment utilisé.

Les sanctions sont sérieuses : jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial en sanctions administratives, et jusqu’à 25 millions ou 4 % en amendes pénales.

La liste à vérifier sur votre site

1. Une vraie politique de confidentialité

Si vous recueillez des renseignements par un moyen technologique, comme un formulaire, vous devez publier une politique rédigée en termes simples et clairs. Attention au texte d’exemple que WordPress crée à l’installation : il parle de commentaires, de Gravatar et de comptes utilisateurs, souvent sans rapport avec votre site. Ce n’est pas une politique conforme.

Elle doit au minimum expliquer quels renseignements vous recueillez, pourquoi, à qui ils sont communiqués, s’ils sortent du Québec, combien de temps vous les gardez et comment exercer ses droits.

2. Le titre et les coordonnées de la personne responsable

La loi exige que le titre et les coordonnées de la personne responsable de la protection des renseignements personnels soient publiés sur votre site. Une ligne dans la politique de confidentialité suffit, avec un moyen concret de la joindre.

3. Les témoins et outils de suivi

Les outils qui permettent d’identifier, de localiser ou de profiler un visiteur, comme les pixels publicitaires ou certaines configurations d’analyse, demandent d’informer la personne et de lui offrir le moyen d’activer ces fonctions. En pratique, cela veut dire une bannière de consentement où les témoins non essentiels sont désactivés tant que le visiteur ne les accepte pas.

Faites l’inventaire : Google Analytics, pixel Meta, cartes intégrées, vidéos YouTube, outils de clavardage. Chaque extension WordPress peut en ajouter sans que vous le sachiez.

4. Des formulaires qui ne demandent que l’essentiel

Ne recueillez que ce qui est nécessaire. Un formulaire de contact n’a pas besoin d’une date de naissance. Vérifiez aussi où vont les réponses : plusieurs extensions de formulaires conservent chaque envoi dans la base de données WordPress, indéfiniment. Fixez une durée de conservation et supprimez les anciens envois.

5. Vos fournisseurs, surtout hors Québec

Hébergeur, service d’envoi de courriels, outil d’infolettre, CRM : avant de communiquer des renseignements personnels à l’extérieur du Québec, la loi demande une évaluation des facteurs relatifs à la vie privée. Sachez où sont vos données et nommez vos fournisseurs dans votre politique.

6. La sécurité et les incidents

Un site piraté peut devenir un incident de confidentialité à déclarer. Les sauvegardes contiennent aussi des renseignements personnels : elles doivent être protégées et avoir une durée de conservation. Tenez un registre des incidents, même mineurs.

Par où commencer

1. Remplacez le texte d’exemple de WordPress par une vraie politique.
2. Ajoutez le titre et les coordonnées de la personne responsable.
3. Faites l’inventaire des témoins et installez une bannière de consentement si nécessaire.
4. Révisez vos formulaires et leurs durées de conservation.
5. Dressez la liste de vos fournisseurs et de l’endroit où ils traitent les données.

Côté hébergement, je m’occupe de la partie technique : sécurité du serveur, sauvegardes et surveillance. Si vous voulez un coup d’œil sur ce que votre site WordPress recueille réellement, écrivez-moi.