Gestion du consentement au Canada : pourquoi le consentement enfoui dans une politique échoue sous la LPRPDE et la Loi 25

Une jeune entreprise en santé numérique à qui j'ai parlé l'an dernier était fière de son flux d'inscription. Design épuré, un seul bouton : « En continuant, vous acceptez notre politique de confidentialité et nos conditions. » La politique faisait environ 4 200 mots et se cachait derrière un hyperlien que presque personne ne cliquait. Ils avaient recueilli de cette façon le consentement de 18 000 Canadiens, et leur avocat leur avait dit que c'était correct.

Ce n'était pas correct.

Le Commissariat à la protection de la vie privée le dit, dans un langage de plus en plus clair, depuis la parution de ses lignes directrices sur le consentement valable. La Commission d'accès à l'information du Québec appuie maintenant le principe avec de l'argent bien réel. L'écart entre « nous avons une politique de confidentialité » et « nous avons un consentement valable » est exactement l'endroit où la plupart des entreprises canadiennes sont discrètement exposées.

Le consentement est un verbe, pas une case à cocher

En vertu de la LPRPDE, le consentement figure parmi les dix principes d'équité en matière de renseignements, et le seuil fixé par la loi est le consentement valable. Cette expression a du poids. Les *Lignes directrices pour l'obtention d'un consentement valable* du CPVP, en vigueur depuis janvier 2019, énoncent ce qu'une personne doit réellement comprendre avant que son accord ne compte : ce que vous recueillez, avec qui vous le partagerez, pourquoi, et le risque réel de préjudice en cause. Si une personne raisonnable ne pouvait pas saisir ces quatre éléments à partir de la façon dont vous les avez présentés, vous n'avez pas de consentement. Vous avez une signature sur un document que personne n'a lu.

La case précochée est l'échec le plus net de tous. La LPRPDE soutient depuis longtemps que le consentement ne devrait pas être obtenu par tromperie, et une case déjà cochée au chargement de la page en est l'exemple classique. Le retrait par défaut (opt-out) fait peser sur l'utilisateur le fardeau de remarquer et de s'opposer, ce qui inverse ce que la loi veut. Une action expresse et affirmative est la base sécuritaire pour tout ce qui est sensible, tout ce qui est secondaire au service de base, ou tout ce à quoi un utilisateur ne s'attendrait pas raisonnablement.

Puis il y a le regroupement. Vous ne pouvez pas rendre l'accès à un service conditionnel à l'acceptation par un client d'utilisations de données dont le service n'a pas réellement besoin. Le CPVP a été explicite : le consentement à une collecte au-delà de ce qui est requis pour livrer le produit doit être séparable. Si votre bouton « accepter » couvre à la fois l'exécution de la commande et la vente de données de navigation à un courtier publicitaire tiers, ces éléments doivent être dissociés. L'un est nécessaire. L'autre est un choix que la personne peut faire selon ses propres conditions.

Le Québec a changé le calcul

Pendant des années, l'application de la loi sur la vie privée au Canada avait un problème de crédibilité : des principes solides, mais sans mordant. Le CPVP pouvait enquêter et nommer une organisation, mais il ne pouvait pas en sanctionner une directement. La Loi 25 du Québec a mis fin à cet arrangement confortable pour toute entreprise touchant les renseignements personnels de résidents du Québec.

Depuis septembre 2023, la CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. En plus de cela, des poursuites pénales peuvent entraîner des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, encore une fois selon le montant le plus élevé. Il s'agit d'une exposition de calibre RGPD, et elle atteint un seul propriétaire d'entreprise à Trois-Rivières de la même façon qu'elle atteint une banque.

La Loi 25 a aussi affûté la norme de consentement elle-même. Le consentement doit être clair, libre et éclairé, et donné à des fins spécifiques — demandé fin par fin, en langage simple, distinctement de toute autre information. Pour les renseignements personnels sensibles tels que les données de santé, biométriques, financières ou sur l'orientation sexuelle, il doit être exprès. Le consentement implicite ne suffira pas. Et il y a une règle de paramétrage par défaut qui a du mordant : toute technologie qui identifie, localise ou profile une personne doit être livrée avec ces fonctions désactivées par défaut. L'utilisateur les active, et non l'inverse. Une entreprise qui lance le profilage activé d'emblée a enfreint la loi avant que quiconque ne clique sur quoi que ce soit.

Pour les mineurs de moins de 14 ans, vous avez besoin du consentement du parent ou du tuteur d'emblée, sauf si la collecte est manifestement au profit du mineur. Cette seule règle a pris au dépourvu plus d'entreprises de technologie éducative et de jeux vidéo que n'importe quelle autre disposition de la loi.

La gestion du consentement au Canada signifie le prouver, pas seulement le recueillir

Voici la partie que les équipes sous-estiment. Recueillir le consentement est la moitié facile. La moitié difficile est de démontrer, dix-huit mois plus tard, exactement ce à quoi une personne précise a consenti, quand, dans quelle langue, par rapport à quelle version de votre avis de confidentialité, et si elle a ensuite changé d'avis.

Ce registre défendable est ce qu'une pratique sérieuse de gestion du consentement au Canada représente réellement. Lorsque la CAI ou le CPVP vient s'enquérir — et en vertu du signalement obligatoire des atteintes de la Loi 25, une enquête peut démarrer à partir d'un seul incident — la question ne sera pas « avez-vous une politique de confidentialité ». Ce sera « produisez le consentement de cette personne ». Si votre réponse est une capture d'écran de la page d'inscription d'aujourd'hui, vous avez déjà perdu, parce que vous ne pouvez pas prouver à quoi elle ressemblait le jour où la personne s'est inscrite.

Un véritable registre de consentement a besoin d'un horodatage, de la fin spécifique consentie, de la version de la politique en vigueur à ce moment-là, du canal, et de la langue que la personne a réellement vue. La réalité bilingue du Québec rend ce dernier élément non négociable : un consentement présenté uniquement en anglais à un résident du Québec invite une contestation à lui seul. Le registre doit survivre à vos trois prochaines refontes de site Web, parce que la loi se soucie du moment du consentement, pas de votre page d'accueil actuelle.

Le retrait est l'endroit où les systèmes brisent

Les deux régimes accordent aux personnes le droit de retirer leur consentement, sous réserve de limites juridiques et contractuelles, et le droit d'être informées des conséquences de ce retrait. Cela semble simple. En pratique, c'est là que la plupart des programmes de consentement s'effondrent, parce que le retrait doit se propager en aval pour signifier quoi que ce soit.

Lorsqu'une personne se désinscrit du marketing, ce signal doit atteindre votre plateforme de courriel, vos pixels publicitaires, votre CRM et tout sous-traitant avec qui vous avez partagé les données. Un retrait qui change un indicateur dans une base de données pendant que la liste de reciblage tierce continue de bourdonner n'est pas un retrait. C'est une responsabilité accompagnée d'une trace écrite prouvant que vous le saviez.

La LCAP empile une autre couche par-dessus. Chaque message électronique commercial a besoin d'un mécanisme de désabonnement fonctionnel, et vous devez donner suite à une demande dans les 10 jours ouvrables. Les règles de consentement pour l'envoi du message en premier lieu sont plus strictes que ne le supposent la plupart des spécialistes du marketing, et les sanctions atteignent 10 millions de dollars par violation pour les organisations. Le CRTC a démontré qu'il les utilisera.

Le test opérationnel est d'une simplicité brutale. Une cliente envoie un courriel : « Cessez d'utiliser mes données et montrez-moi ce que vous détenez à mon sujet. » Pouvez-vous produire l'historique de consentement, supprimer les enregistrements dans chaque système, et le confirmer dans le délai légal? Si cela prend trois jours à un développeur et une feuille de calcul, vous n'avez pas de système de consentement. Vous avez de l'espoir.

À quoi ressemble réellement un bon flux

Dépouillez le jargon juridique et un flux conforme a une forme reconnaissable. Les fins sont séparées et décrites dans un langage qu'une personne fatiguée au téléphone peut suivre. Tout ce qui est sensible ou secondaire utilise un consentement exprès, non précoché. Le profilage et le suivi sont livrés désactivés par défaut. Chaque autorisation est horodatée et liée à la version exacte de l'avis que la personne a vu, dans sa langue. Le retrait se fait en un clic, et il se propage partout. L'ensemble produit un journal de vérification que vous remettriez à un organisme de réglementation sans en modifier une ligne.

La plupart des petites et moyennes entreprises canadiennes ne peuvent pas construire cela à la main, et elles ne devraient pas avoir à le faire. Les consultants qui le font manuellement facturent des tarifs d'entreprise qui excluent les 95 % d'entreprises portant exactement la même obligation juridique que la banque du coin. C'est l'écart qui vaut la peine d'être comblé avec un logiciel qui enregistre, horodate, versionne et prouve le consentement automatiquement, de sorte que la réponse à « produisez le consentement de cette personne » prenne quelques secondes au lieu de trois jours.

Pour voir à quoi ressemble en pratique un registre de consentement défendable et horodaté, jetez un coup d'œil au centre de consentement de Valdra.