Vous avez sans doute entendu parler de la Loi 25 (anciennement le Projet de loi 64), mais savez-vous si votre présence en ligne respecte réellement ces nouvelles obligations ?
Depuis septembre 2024, toutes les étapes majeures de la loi sont en vigueur, et les sanctions peuvent atteindre jusqu'à 25 millions de dollars ou 4 % de votre chiffre d'affaires mondial.
Au-delà de l'aspect légal, c'est la confiance de vos clients qui est en jeu : un utilisateur qui ne se sent pas en sécurité ne vous confiera jamais ses projets.
Désigner un responsable de la protection des données
C'est la première étape obligatoire. Chaque entreprise doit nommer une personne responsable de la protection des renseignements personnels (RPP).
Par défaut, il s'agit de la personne ayant la plus haute autorité (le dirigeant).
Action requise : Publiez le titre et les coordonnées de cette personne directement sur votre site web, généralement dans votre politique de confidentialité.
Publier une politique de confidentialité claire
Votre site doit impérativement héberger une politique de confidentialité rédigée en termes simples. Elle doit préciser :
Collecte : Quels renseignements vous collectez (nom, courriel, adresse IP).
Finalité : Pourquoi vous les collectez (marketing, facturation, stats).
Partage : Avec qui vous les partagez (Google Analytics, Mailchimp).
Droits : Comment l'utilisateur peut demander la suppression de ses données.
Gérer le consentement et les témoins (Cookies)
Le simple bandeau "En continuant votre navigation..." ne suffit plus. La Loi 25 impose un consentement explicite.
Opt-in par défaut : Les témoins non essentiels doivent être désactivés tant que l'utilisateur n'a pas cliqué sur "Accepter".
Bouton Refuser : Il doit être aussi facile de refuser que d'accepter.
Transparence : L'utilisateur doit pouvoir modifier ses préférences à tout moment.
Signalement des incidents de confidentialité
Si votre site subit une cyberattaque ou une fuite de données, la loi vous oblige à agir rapidement.
Vous devez tenir un registre des incidents de confidentialité.
Si l'incident présente un "risque de préjudice sérieux", vous devez en informer la Commission d'accès à l'information (CAI) et les personnes concernées.
Privacy by Design : La protection par défaut
Désormais, tout nouveau projet numérique doit intégrer le principe de la protection de la vie privée dès la conception.
Cela signifie que vous ne devriez collecter que les données strictement nécessaires à l'accomplissement de vos services.