Votre formulaire de contact demande un nom, un courriel et parfois un numéro de téléphone. Ce sont des renseignements personnels, et un site web conforme à la Loi 25 commence par là : savoir ce que votre site recueille, où il le conserve et à qui il le transmet.
Beaucoup de propriétaires de PME croient que la conformité se règle avec une bannière de cookies installée en vitesse, ce bandeau de témoins de connexion qu’on voit partout. Ce n’est pas le cas. L’inverse est faux aussi : changer d’hébergeur ne suffit pas à rendre un site web conforme à la Loi 25. L’hébergement règle une partie précise du problème. Voyons laquelle.
Ce qu’il faut pour un site web conforme à la Loi 25
La Loi 25, adoptée en 2021, a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur en trois vagues, en septembre 2022, 2023 et 2024. Elles visent toutes les entreprises qui recueillent des renseignements personnels, peu importe leur taille. Un salon de coiffure à Donnacona qui prend des rendez-vous en ligne est concerné au même titre qu’une chaîne de 40 succursales.
Pour un site web, voici les obligations qu’on croise le plus souvent :
- désigner une personne responsable de la protection des renseignements personnels (par défaut, la personne qui a la plus haute autorité dans l’entreprise) et publier son titre et ses coordonnées sur le site;
- publier sur le site une politique de confidentialité rédigée en termes simples et clairs, dès que vous recueillez des renseignements par un moyen technologique;
- informer le visiteur, avant la collecte, que vous utilisez une technologie capable de l’identifier, de le localiser ou de faire du profilage, et lui indiquer comment activer ces fonctions;
- tenir un registre des incidents de confidentialité et aviser la Commission d’accès à l’information ainsi que les personnes touchées lorsqu’un incident présente un risque de préjudice sérieux;
- réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant de communiquer des renseignements personnels à l’extérieur du Québec.
Les sanctions ne sont pas théoriques. La Commission peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les amendes pénales peuvent monter jusqu’à 25 millions ou 4 %. Pour une PME, le risque concret ressemble plutôt à un incident mal géré, à une plainte d’un client ou à une perte de confiance qu’on aurait pu éviter.
Où sont stockées les données de votre formulaire?
C’est ici que l’hébergement entre en jeu.
Quand un visiteur remplit un formulaire WordPress, l’extension enregistre souvent une copie de la soumission dans la base de données du site. Cette base de données vit sur le serveur de votre hébergeur. Si ce serveur se trouve en Virginie, en Ontario ou en Europe, vos renseignements personnels sont conservés à l’extérieur du Québec, même si vous n’avez jamais « envoyé » quoi que ce soit à personne.
L’article 17 de la loi exige une EFVP avant de communiquer un renseignement personnel hors du Québec, et la même règle s’applique quand vous confiez à une entreprise située ailleurs la tâche de le conserver pour vous. L’évaluation doit notamment tenir compte de la sensibilité des renseignements, de leur utilisation, des mesures de protection en place et du régime juridique de l’endroit où ils se retrouvent. Ensuite, une entente écrite doit encadrer le tout.
Avec un hébergement web au Québec, cette étape tombe pour le site lui-même. Nos serveurs sont à Montréal : la base de données de votre WordPress et vos fichiers restent au Québec. C’est une évaluation de moins à rédiger. Si vous voulez comprendre la différence entre un serveur au Canada et un serveur aux États-Unis, nous l’expliquons dans notre article sur l’emplacement des données.
Ce que l’hébergeur ne règle pas à votre place
Un site est rarement seul. Regardez ce qui est branché dessus. Les statistiques de Google, le pixel de Meta, un service d’infolettre, une fenêtre de clavardage, un module de prise de rendez-vous hébergé chez un tiers, un reCAPTCHA sur le formulaire. Chacun de ces outils peut recevoir des données de vos visiteurs, et la plupart les traitent aux États-Unis.
Héberger votre site à Montréal ne change rien à ces flux. Ils doivent être nommés dans votre politique de confidentialité. Pour les outils qui font du suivi ou du profilage, la loi parle des « moyens offerts pour activer » ces fonctions : la lecture la plus répandue, c’est qu’ils doivent rester éteints tant que le visiteur ne les a pas acceptés.
Notre conseil : faites l’inventaire une fois, sur une feuille. Pour chaque outil, notez ce qu’il recueille, où il envoie les données et si quelqu’un s’en sert vraiment. Ce qu’on voit souvent, ce sont des sites qui chargent deux ou trois outils de statistiques dont personne ne lit les rapports. Retirez-les. Moins de scripts tiers, c’est moins de choses à déclarer et des pages qui s’affichent plus vite.
La sécurité du serveur fait partie de la conformité
La loi oblige les entreprises à prendre des mesures de sécurité raisonnables, compte tenu de la sensibilité des renseignements qu’elles détiennent. Pour un site WordPress, ça se traduit par des gestes très terre à terre.
Un certificat SSL actif. WordPress et ses extensions à jour. Un mot de passe unique et la double authentification sur chaque compte administrateur. Des sauvegardes régulières. Un pare-feu qui bloque les attaques connues avant qu’elles atteignent le site.
Une extension de formulaire pas mise à jour depuis deux ans, avec une faille publiée, c’est exactement le genre de détail qu’on reprochera à une entreprise après un incident. C’est là que le choix d’hébergeur pèse. Chez nous, la protection OPShield surveille les serveurs 24/7, les sauvegardes sont quotidiennes et les mises à jour WordPress sont incluses dans les forfaits actuels. Ça ne remplace pas votre politique de confidentialité. Ça réduit les chances d’avoir un incident à déclarer.
Que faire si un incident touche votre site?
Un site piraté qui contenait des soumissions de formulaire, c’est un incident de confidentialité au sens de la loi. Vous devez l’inscrire au registre, prendre des mesures pour limiter les dégâts et évaluer s’il existe un risque de préjudice sérieux pour les personnes concernées. Si c’est le cas, il faut aviser la Commission et ces personnes avec diligence.
Deux choses aident énormément à ce moment-là. Savoir exactement quelles données le site conservait. Et avoir un hébergeur qui répond en français et peut vous dire ce que montrent les journaux du serveur. Pour les gestes techniques à poser tout de suite, lisez quoi faire dans la première heure après un piratage.
Six questions à vous poser sur votre site
- Votre politique de confidentialité est-elle en ligne, à jour et accessible depuis chaque page?
- Le titre et les coordonnées de la personne responsable des renseignements personnels y figurent-ils?
- Votre formulaire garde-t-il une copie des soumissions dans WordPress? Si oui, pendant combien de temps, et à quoi sert-elle?
- Dans quelle ville se trouve physiquement le serveur de votre site?
- Quels outils tiers chargent des scripts sur vos pages, et ceux qui font du suivi attendent-ils le consentement du visiteur?
- Qui a un accès administrateur au site, et chaque compte a-t-il la double authentification?
Une précision honnête : cet article ne remplace pas un avis juridique. Si votre site recueille des renseignements plus sensibles, comme des données de santé ou des renseignements sur des enfants, faites valider votre démarche par un avocat ou un consultant en protection des renseignements personnels.
Votre site est hébergé hors du Québec? Nous le déménageons gratuitement sur nos serveurs de Montréal; il suffit de nous donner l’accès à votre hébergeur actuel. Écrivez-nous avec l’adresse de votre site.