Politique de confidentialité et Loi 25 : ce que la loi exige
La politique de confidentialité est la déclaration publique de la façon dont votre entreprise recueille, utilise, communique et protège les renseignements personnels. Au Québec, la Loi 25 en fait une obligation de publication pour toute entreprise qui recueille des renseignements par un moyen technologique. Ce guide explique ce que la loi exige, ce que doit contenir une politique conforme et comment le générateur gratuit de Valdra la rédige à partir de vos réponses.
La Loi 25 oblige-t-elle à publier une politique de confidentialité ?
Oui. La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, exige qu'une entreprise qui recueille des renseignements personnels par un moyen technologique publie sur son site Web une politique de confidentialité rédigée en termes simples et clairs, et diffuse un avis de toute modification.
L'entreprise doit aussi publier sur son site des renseignements détaillés sur ses règles de gouvernance, ainsi que le titre et les coordonnées du responsable de la protection des renseignements personnels. Par défaut, ce responsable est la personne ayant la plus haute autorité dans l'entreprise; la fonction peut être déléguée par écrit.
Hors Québec, la LPRPDE s'applique aux activités commerciales. Son principe de transparence exige de rendre facilement accessibles des renseignements précis sur vos politiques et pratiques. Une politique publiée sur votre site est la façon pratique d'y répondre.
Ce que contient une politique conforme
Valdra structure chaque politique selon les mêmes sections, pour que rien de ce que vérifie un organisme de réglementation ne manque :
- Introduction : qui vous êtes et ce que couvre la politique.
- Renseignements recueillis : les catégories de renseignements, y compris les témoins, et les décisions automatisées si vous en prenez.
- Utilisation : les fins de chaque type de renseignement.
- Fondement juridique : le consentement et les autres motifs invoqués.
- Communication : les fournisseurs de services qui traitent des données pour vous, et les sous-traitants si vous les indiquez.
- Transferts hors Québec ou hors Canada : où les renseignements sont stockés ou traités.
- Conservation : combien de temps vous conservez les renseignements.
- Vos droits : accès, rectification et retrait du consentement avec une réponse dans les 30 jours, ainsi que la portabilité et la désindexation pour le Québec.
- Sécurité : les mesures qui protègent les renseignements.
- Témoins : ce que vous utilisez et pourquoi.
- Enfants : votre âge minimal, si vous en fixez un.
- Modifications : comment vous informez les gens des changements.
- Coordonnées : comment joindre le responsable de la protection des renseignements personnels et comment porter plainte.
Ce que vous indiquez dans le formulaire
Le générateur demande le nom de votre entreprise, votre site Web, une courte description, la province, le secteur et la date d'entrée en vigueur. Il vous interroge ensuite sur vos pratiques : types de données recueillies, témoins, décisions automatisées, âge minimal, courriels de marketing et plateforme d'envoi, fournisseurs et sous-traitants, transferts hors Canada, modèle d'affaires et processeur de paiement, contenu des utilisateurs, responsable de la protection des renseignements personnels, adresse courriel de confidentialité et règlement des différends.
Si vous envoyez des courriels de marketing, la politique ajoute des mentions conformes à la LCAP sur le consentement et le désabonnement. La section des droits renvoie à votre propre page de demandes, pour que les gens sachent où envoyer une demande d'accès.
Générateur, modèle ou avocat ?
Chaque option a sa place. Voici comment elles se comparent pour une PME québécoise ou canadienne.
| Générateur Valdra | Modèle générique en ligne | Rédigée par un avocat | |
|---|---|---|---|
| Coût | Inclus dans le forfait gratuit | Souvent gratuit | Honoraires professionnels |
| Rédigée selon vos pratiques | Oui, à partir du formulaire | Surtout des cases à remplir | Oui |
| Exigences de la Loi 25 | Intégrées | Souvent pensé pour le droit américain ou européen | Oui |
| Français canadien | Oui, par document | Rarement | Sur demande |
| Versions et comparaison | Oui | Non | Manuel |
| Idéal pour | Se conformer maintenant | Une solution temporaire | Entreprises complexes ou réglementées |
Garder votre politique à jour
Une politique n'est exacte que si elle reflète ce que vous faites. Quand vous ajoutez un outil, commencez à envoyer des courriels de marketing ou transférez des données hors du Québec, générez une nouvelle version et publiez-la, avec l'avis de modification exigé par la loi. Valdra conserve chaque version et permet de les comparer. La politique ne se met pas à jour seule quand la loi change : révisez-la chaque fois que les règles canadiennes évoluent.
Les sanctions justifient l'effort. En vertu de la Loi 25, la Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et les amendes pénales imposées par un tribunal atteignent 25 millions de dollars ou 4 %, selon le montant le plus élevé.
Au-delà de la politique de confidentialité
La politique de confidentialité est le document offert dans le forfait gratuit, qui comprend aussi une évaluation LPRPDE, une évaluation de votre loi d'attache si vous êtes une entreprise du Québec (Loi 25), de l'Alberta ou de la Colombie-Britannique (PIPA) ou un organisme public de la Nouvelle-Écosse (FOIPOP), des alertes dans l'application et des demandes de signature électronique. Le forfait Starter ajoute les conditions d'utilisation, une entente de traitement des données, une politique d'utilisation acceptable et une politique sur les témoins remplie à partir de votre analyse des témoins. Le forfait Professionnel ajoute les politiques de conservation, de sécurité de l'information, de réponse aux incidents, de communication hors Canada et d'IA.
Valdra offre un forfait gratuit sans limite de temps. Starter coûte 249 $ CAD par mois et Professionnel 599 $ CAD par mois, avec deux mois gratuits en facturation annuelle. Le forfait Entreprise est sur mesure. Vos dossiers sont stockés au Canada et le produit fonctionne en français et en anglais.
