Le consentement est l’endroit où la Loi 25 casse le plus de formulaires existants. Une case précochée, un bouton unique « J’accepte » qui couvre trois finalités, une mention « en poursuivant votre navigation, vous acceptez » : ces trois pratiques, encore répandues sur les sites de PME québécoises, ne produisent aucun consentement valide.
Cette page reprend les conditions du texte, les mentions obligatoires au moment de la collecte, les règles pour les mineurs et le cas particulier de la géolocalisation et du profilage.
Réponse rapide : Un consentement valide doit être manifeste, libre, éclairé, donné à des fins spécifiques et demandé pour chacune de ces fins, en termes simples et clairs. Un consentement qui échoue à une seule de ces conditions est sans effet, l’article 14 le dit explicitement. Pour un renseignement sensible, il doit en plus être exprès.
1. Les cinq conditions de l’article 14
Déplié, le texte donne cinq tests. Un consentement qui échoue à un seul est sans effet.
Manifeste. Il faut un geste. Le silence n’est pas un consentement. Une case précochée n’est pas un geste de la personne. Une mention « en poursuivant votre navigation, vous acceptez » n’en est pas un non plus.
Libre. La personne doit pouvoir refuser sans perdre le service. L’article 9 interdit de refuser un bien, un service ou un emploi parce que la personne refuse de fournir un renseignement personnel, sauf si la collecte est nécessaire à la conclusion ou à l’exécution du contrat, si elle est autorisée par la loi, ou s’il y a des motifs raisonnables de croire que la demande n’est pas licite. En cas de doute, l’article 9 précise qu’un renseignement personnel est réputé non nécessaire.
Éclairé. La personne sait ce qu’elle accepte, ce qui renvoie aux mentions obligatoires de l’article 8.
Spécifique et demandé pour chaque fin. C’est le changement qui casse le plus de formulaires. Un seul bouton qui couvre à la fois la livraison de la commande, l’infolettre et le partage avec des partenaires n’est pas valide. Il faut une demande distincte par finalité.
Formulé simplement et présenté distinctement. Quand la demande est écrite, l’article 14 exige qu’elle soit présentée séparément des autres informations. Le consentement noyé au paragraphe 14 des conditions générales ne tient pas.
Deux règles s’ajoutent. Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins visées. Et lorsque la personne le requiert, il faut lui prêter assistance pour comprendre la portée de ce qu’on lui demande.
2. Consentement exprès pour le sensible, et cas des mineurs
Les articles 12 et 13 exigent un consentement manifesté de façon expresse dès qu’il s’agit d’un renseignement personnel sensible, tant pour une utilisation à une nouvelle fin que pour une communication à un tiers. Concrètement : une case à cocher dédiée, décochée, avec un libellé qui nomme la donnée et la finalité.
L’article 4.1 interdit de recueillir auprès d’un mineur de moins de 14 ans des renseignements personnels sans le consentement du titulaire de l’autorité parentale ou du tuteur, sauf lorsque la collecte est manifestement au bénéfice de ce mineur. L’article 14 complète : sous 14 ans, le consentement est donné par le parent ou le tuteur ; à 14 ans et plus, il peut être donné par le mineur, par le parent ou par le tuteur.
Si votre entreprise vend au grand public, en camps de jour, en sports, en formation ou en commerce en ligne, cette règle vous concerne directement.
3. Ce qu’il faut dire au moment de la collecte
L’article 8 impose d’informer la personne, au moment de la collecte et par la suite sur demande :
- des fins auxquelles les renseignements sont recueillis ;
- des moyens par lesquels ils sont recueillis ;
- des droits d’accès et de rectification prévus par la loi ;
- de son droit de retirer son consentement à la communication ou à l’utilisation des renseignements.
S’il y a lieu, il faut aussi nommer le tiers pour qui la collecte est faite, nommer les tiers ou les catégories de tiers à qui il est nécessaire de communiquer les renseignements, et mentionner la possibilité que les renseignements soient communiqués à l’extérieur du Québec.
Sur demande, la personne doit également être informée des renseignements recueillis auprès d’elle, des catégories de personnes qui y ont accès dans l’entreprise, de la durée de conservation, et des coordonnées du responsable de la protection des renseignements personnels.
L’article 8.3 précise que la personne qui fournit ses renseignements suivant l’article 8 consent à leur utilisation et à leur communication aux fins visées. Autrement dit, si les mentions sont faites correctement, la fourniture des renseignements vaut consentement pour ces fins précises. Pour toute autre fin, il faut un consentement distinct.
4. Géolocalisation, profilage et confidentialité par défaut
L’article 8.1 vise les technologies comprenant des fonctions permettant d’identifier une personne, de la localiser ou d’effectuer son profilage. La loi définit le profilage comme la collecte et l’utilisation de renseignements personnels pour évaluer certaines caractéristiques d’une personne, notamment le rendement au travail, la situation économique, la santé, les préférences, les intérêts ou le comportement.
Deux obligations avant la collecte : informer du recours à une telle technologie, et informer des moyens offerts pour activer ces fonctions. Dans une PME, ce qui est visé, c’est la géolocalisation des véhicules de service et des téléphones fournis, les outils de mesure de productivité, l’analytique comportementale sur un site web, la reconnaissance faciale et les outils de notation de clients.
L’article 9.1 ajoute la confidentialité par défaut : l’entreprise qui offre au public un produit ou un service technologique disposant de paramètres de confidentialité doit faire en sorte que ces paramètres assurent, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de la personne. Le texte exclut expressément les paramètres des témoins de connexion. Si vous éditez une application ou un portail client, cette obligation vous vise.
5. La politique de confidentialité du site
L’article 8.2 est court et net. Toute personne qui recueille des renseignements personnels par un moyen technologique doit publier sur le site Internet de l’entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées, une politique de confidentialité rédigée en termes simples et clairs. Il en va de même pour l’avis de toute modification à cette politique.
Un formulaire de contact sur votre site est un moyen technologique de collecte. Cette obligation vise donc à peu près toutes les entreprises qui ont un site web, y compris les sites vitrines de quelques pages.
Le travail technique associé est réel : savoir quels formulaires collectent quoi, quels outils d’analyse sont chargés sur vos pages, où aboutissent les soumissions et combien de temps elles sont conservées. C’est le genre d’audit que nous menons dans le cadre de nos services informatiques gérés.
Foire aux questions
Une case précochée est-elle un consentement valide au Québec ?
Non. L’article 14 exige un consentement manifeste, donc un geste de la personne. Une case déjà cochée, une acceptation par défaut ou une mention de navigation ne constituent pas un consentement valide.
Faut-il un consentement distinct pour l’infolettre et pour la commande ?
Oui. Le consentement doit être demandé pour chacune des fins visées. Livrer une commande et envoyer des communications commerciales sont deux finalités différentes, donc deux demandes distinctes dans le formulaire.
Un site vitrine a-t-il besoin d’une politique de confidentialité ?
S’il comporte un formulaire de contact, un suivi d’analyse ou tout autre moyen technologique de collecte, oui. L’article 8.2 impose de publier une politique en termes simples et clairs, et d’aviser des modifications.
Revoir vos formulaires avec un partenaire TI du Québec
La mise à niveau du consentement se joue autant dans le texte que dans la configuration : formulaires, outils d’analyse, listes d’envoi, connecteurs vers le CRM. Nos services informatiques pour PME couvrent l’inventaire de ces points de collecte et leur nettoyage, à Trois-Rivières comme partout au Québec. Écrivez-nous par le formulaire de contact ou appelez au 450-231-3836 pour faire le tour de vos formulaires.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.