La LPRPDE pour votre boutique de commerce électronique : ce que les vendeurs canadiens doivent réellement à leurs clients

Une cliente de Trois-Rivières achète un coton ouaté à 40 $ dans votre boutique. En ces quatre-vingt-dix secondes, vous recueillez son nom, ses adresses de facturation et de livraison, son courriel, son numéro de téléphone, les quatre derniers chiffres de sa carte, son adresse IP, l'empreinte de son appareil, les produits qu'elle a regardés mais n'a pas achetés, et un profil comportemental cousu ensemble par quatre scripts tiers auxquels elle n'a jamais consenti. Vous ne vous voyez probablement pas comme une entreprise de données. Le Commissariat à la protection de la vie privée du Canada se moque de ce que vous croyez être. En vertu de la loi fédérale, vous êtes un dépositaire de renseignements personnels, et les règles s'appliquent à une boutique Shopify d'une seule personne exactement comme elles s'appliquent à Amazon.

Cet écart, entre la façon dont les vendeurs en ligne se perçoivent et la façon dont la loi les perçoit, est là où commence presque tout problème de confidentialité dans le commerce électronique canadien.

Ce que couvre réellement la LPRPDE pour une boutique de commerce électronique

La Loi sur la protection des renseignements personnels et les documents électroniques régit toute entreprise qui recueille, utilise ou communique des renseignements personnels dans le cadre d'une activité commerciale. Vendre des choses en ligne est une activité commerciale. Il n'y a pas d'exemption pour les petites entreprises. Le seuil de revenu d'un million de dollars que les gens répètent parfois n'existe pas dans la LPRPDE; vous pensez peut-être aux rumeurs sur la LCAP ou à une loi provinciale. Prenez une seule commande d'un client au Canada et la LPRPDE s'applique.

La LPRPDE repose sur dix principes d'équité du traitement de l'information, et vous n'avez pas besoin de les mémoriser. Ils se résument à une poignée de devoirs. Vous avez besoin d'une raison pour chaque donnée que vous recueillez, et « ça pourrait être utile plus tard » n'est pas une raison. Vous avez besoin d'un consentement valable. Vous devez protéger les données avec une sécurité proportionnelle à leur sensibilité. Vous devez laisser un client voir ce que vous détenez à son sujet et le corriger. Et vous devez rendre des comptes, ce qui en clair signifie qu'une personne nommée dans votre entreprise en est responsable et peut en répondre.

Le principe sur lequel la plupart des boutiques trébuchent est la minimisation des données, qui vit à l'intérieur des règles de consentement et de finalité. Votre formulaire de paiement demande une date de naissance parce que le modèle de thème est livré avec ce champ. Vous ne l'utiliserez jamais. La recueillir quand même est un problème de LPRPDE, car vous n'avez aucune finalité identifiée et raisonnable pour cela. Chaque champ que vous ajoutez est quelque chose que vous devez ensuite justifier, sécuriser et finalement supprimer.

Les quatre endroits où les données des clients fuient de votre boutique

Le paiement est l'évidence, et bizarrement c'est le moindre de vos soucis, car Stripe, Shopify Payments, Moneris et les autres portent la lourde charge de la norme PCI-DSS. Vous devriez tout de même comprendre que vous restez responsable des données même lorsqu'un sous-traitant les manipule. Le principe de responsabilité de la LPRPDE est sans détour à ce sujet : confier des données à un tiers pour traitement ne transfère pas votre responsabilité. Si votre processeur de paiement subit une atteinte touchant vos clients, une partie des explications vous revient.

L'analytique est la fuite discrète. Google Analytics, le pixel Meta, le pixel TikTok, les outils d'enregistrement de session, cette application de paniers abandonnés que vous avez installée en 2022 et oubliée. Chacun charge du JavaScript qui expédie le comportement des clients, et souvent les adresses IP et les identifiants, vers des serveurs à l'extérieur du Canada. Le CPVP traite les adresses IP comme des renseignements personnels dans la plupart des contextes. Le transfert transfrontalier est permis en vertu de la LPRPDE, mais vous devez dire aux clients qu'il a lieu et que leurs données peuvent devenir assujetties à une loi étrangère. La plupart des boutiques canadiennes en ligne ont une politique de confidentialité qui ne mentionne aucun des douze traceurs qui se déclenchent réellement sur la page.

Le marketing relève d'une autre loi, et il prend les vendeurs de court. La LCAP, appliquée par le CRTC, exige le consentement avant l'envoi de messages électroniques commerciaux. Ce courriel promotionnel à tous ceux qui ont déjà acheté chez vous a besoin d'un consentement exprès ou d'un consentement implicite valable, d'une identification claire de votre entreprise et d'un désabonnement fonctionnel que vous honorez dans les dix jours ouvrables. Les sanctions de la LCAP atteignent jusqu'à 10 millions de dollars pour une entreprise. Le CRTC a infligé des sanctions à sept chiffres à des entreprises bien plus petites qu'elles ne le supposaient.

Puis il y a la fuite que presque personne ne suit encore.

Les outils d'IA qui manipulent discrètement les données de vos clients

Vous avez greffé un agent conversationnel d'IA au soutien. Il est réellement utile. Il lit aussi chaque conversation, et selon le fournisseur, ces conversations peuvent entraîner des modèles, rester indéfiniment sur des serveurs américains, ou passer à un sous-traitant dont vous n'avez jamais entendu parler. Même histoire pour les moteurs de recommandation par IA, les résumés d'avis par IA, les outils de notation de fraude, et la barre de recherche « intelligente » qui profile ce que les acheteurs tapent.

La personnalisation n'est que du profilage dont l'équipe marketing aime la sonorité.

La LPRPDE n'interdit rien de tout cela. Elle vous demande d'être honnête à ce sujet. Lorsqu'un système automatisé prend une décision importante au sujet d'un client, comme le signaler comme un risque de fraude et bloquer un achat, ce client s'attend raisonnablement à le savoir. La Loi 25 du Québec va plus loin : les résidents ont un droit explicite d'être informés lorsqu'une décision repose exclusivement sur un traitement automatisé, plus le droit de demander les raisons et les principaux facteurs qui la sous-tendent. Une boutique en ligne qui fait tourner un filtre antifraude prêt à l'emploi contre des clients québécois est carrément dans cette règle, que quelqu'un l'ait remarqué ou non.

Le Québec change le calcul

Expédiez au Québec, comme le fait presque toute boutique canadienne, et la Loi 25 s'applique. Elle est plus stricte que la LPRPDE sur presque tous les axes. Son organisme de réglementation, la Commission d'accès à l'information (la CAI), peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, avec une voie pénale distincte qui grimpe à 25 millions de dollars ou 4 %.

Trois obligations de la Loi 25 mordent le plus durement le commerce électronique. Vous devez nommer une personne responsable de la protection des renseignements personnels, et son titre et ses coordonnées doivent être publiés là où un visiteur peut les trouver, et non enfouis dans un PDF. Vous devez réaliser une évaluation des facteurs relatifs à la vie privée avant de déplacer des renseignements personnels hors du Québec ou de déployer un système à haut risque, ce qui englobe beaucoup de technologie ordinaire de boutique. Et les paramètres de confidentialité de votre site doivent être réglés par défaut à l'option la plus protectrice, l'exigence que les gens désignent par « confidentialité par défaut ». Une bannière de témoins qui précoche chaque catégorie de pistage échoue carrément. Beaucoup de boutiques canadiennes livrent encore exactement cette bannière.

Pour les vendeurs liés à la santé, une pharmacie, une boutique de suppléments, une clinique exploitant une vitrine, la LPRPS de l'Ontario peut faire entrer dans le champ d'application les renseignements personnels sur la santé sous son propre organisme de réglementation, le Commissaire à l'information et à la protection de la vie privée de l'Ontario, avec un régime de consentement et de mesures de sécurité superposé.

Ce qu'il faut réellement faire ce trimestre

Cartographiez vos données avant d'écrire une seule ligne de politique. Ouvrez la liste des applications et des scripts de votre boutique et notez chaque outil qui touche à de l'information sur les clients et où il envoie ces données. La plupart des vendeurs y trouvent une demi-douzaine de surprises. Éliminez les champs et les traceurs que vous ne pouvez rattacher à une finalité réelle. Réécrivez la politique de confidentialité pour qu'elle nomme les catégories de données, les tiers, les transferts transfrontaliers et vos périodes de conservation dans un langage qu'un client peut lire. Corrigez la bannière de témoins pour que rien de non essentiel ne se déclenche avant le consentement et que les valeurs par défaut soient désactivées pour le Québec. Nommez votre personne responsable. Mettez en place un processus de base pour traiter une demande d'accès et un incident, car la déclaration obligatoire des atteintes de la LPRPDE mord fort : lorsqu'une atteinte présente un risque réel de préjudice grave, vous devez la déclarer au CPVP et aviser les personnes touchées dès que possible, tenir un registre des atteintes pendant 24 mois, et le fait de manquer sciemment à ces devoirs est une infraction passible d'amendes pouvant atteindre 100 000 $.

Rien de tout cela n'exige un consultant à 500 000 $, ce qui est toute la raison d'être de Valdra : une conformité automatisée, bilingue et hébergée au Canada, conçue pour l'entreprise en ligne ordinaire plutôt que pour le Fortune 500. Pour voir où en est votre boutique par rapport à la LPRPDE et à la Loi 25 avant qu'une plainte de client ne force la question, commencez par une évaluation LPRPDE gratuite pour votre boutique en ligne.