Ai-je vraiment besoin d'une politique de confidentialité sur mon site web?

En 2018, le piratage de Facebook et l'entrée en vigueur de la politique de protection européenne (RGDP) ont fait de la confidentialité un sujet d'actualité important. En tant qu'entrepreneur ou opérateur de site web, combien de temps avez-vous dédié à la politique de confidentialité sur votre site web? Si vous êtes parmi la grande majorité et que la réponse est "pas assez", cet article vous aidera à mieux comprendre les enjeux d'un point de vue canadien et vous aidera à créer ou réévaluer votre propre politique de confidentialité.

Mais d'abord, répondons à l'une des questions les plus pressantes.

Qui lit les politiques de confidentialité?

Soyons francs: Les politiques de confidentialité ne reçoivent pas beaucoup d'attention. Une étude publiée en 2016 par l'Université York de Toronto a montré que 77% des gens ne lisent pas les politiques de confidentialité. En fait, cette même étude a révélé que pas moins de 98% des visiteurs avaient donné leur accord à une politique de confidentialité qui comprenait une clause prévoyant le versement de leur premier enfant à titre de paiement!

Il est donc vrai que peu de visiteurs de votre site web prendront le temps de bien lire votre politique de confidentialité. Mais ce n'est pas la seule raison d'en avoir une.

En fait, il y a 3 avantages importants d'avoir une politique de confidentialité sur votre site web:

1. Augmenter la confiance de vos utilisateurs: lorsque vos visiteurs/clients s'inquiètent de la confidentialité de leurs renseignements personnels, ils ont une ressource à inspecter pour se rassurer. Ce document permet donc de renforcer la perception de confiance envers votre marque ou organisme.
2. Réduire les risques potentiels: en publiant un document officiel détaillant votre approche sur la confidentialité des données des visiteurs, vous rajoutez une couche de transparence sur vos approches qui peuvent vous protéger de certains risques légaux suite à une faille de sécurité ou perte de données.
3. Identifier des faiblesses organisationnelles: en prenant le temps de publier une politique de confidentialité efficace, vous prenez aussi forcément le temps pour penser aux données de vos clients et ce que vous faites pour les protéger. Cet exercice vous permettra probablement de mettre en évidence les axes d'améliorations afin de vous permettre de mettre en place des mesures correctives rapidement.

Examinons la législation principale dictant les exigences en matière de confidentialité au Canada, la LPRPDE.

LPRPDE : Réponse du Canada aux préoccupations relatives à la protection de la vie privée

Si vous êtes une entreprise canadienne ou si vous recueillez des renseignements sur vos visiteurs canadiens, vous êtes assujetti à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada.

La LPRPDE définit ce qu'est un renseignement personnels et énonce dix principes que chaque entreprise doit respecter. Selon la LPRPDE, il existe deux types de renseignements personnels :

1. Client - comme les informations financières et les informations d'expédition.
2. Employé - comme les numéros d'assurance sociale, les curriculum vitae et les dossiers d'emploi.

Chacun des 10 principes est détaillé à l'annexe 1. Par exemple, le principe 3 explique la nécessité d'obtenir le consentement avant de recueillir des renseignements personnels ainsi que la façon dont vous pouvez utiliser et éliminer ces renseignements. La LPRPDE comprend également des procédures de vérification et de traitement des plaintes.

Si vous possédez l'un ou l'autre de ces deux types de renseignements, vous devez élaborer une politique de confidentialité.

Le site web de la commissaire à la protection de la vie privée contient un guide qui vous guidera dans l'application de chacun de ces principes et la façon de les aborder. Il existe également des archives intéressantes de situations passées qui fournissent des exemples précis et la façon dont elles ont été traitées.

Autres considérations relatives à la protection de la vie privée pour les propriétaires de sites web

Les dix principes de la LPRPDE sont très variés, mais le propriétaire d'un site web devrait connaître certains autres détails.

Abonnés et Anti-Spam

Si vous prévoyez recueillir des courriels pour une liste de contacts, vous recueillerez des renseignements personnels qui doivent aussi être protégés. Vous devez savoir qu'il existe une loi canadienne anti-pourriel (LCAP) qui dicte la façon de recueillir, de conserver et d'utiliser ce type de renseignements. Cette législation contient des règles régissant le consentement, la façon de fournir des moyens de se désabonner, la protection des données et des dispositions d'utilisation explicite. Pour un aperçu, consultez leur page d'information rapide.

Témoins (cookies)

Les témoins (appelés cookies en anglais) sont le plus souvent utilisés pour suivre votre activité sur un site web et enregistrer vos préférences. En raison des différents types de témoin et de la diversité des renseignements qu'ils peuvent recueillir, le gouvernement canadien n'a pas encore adopté une position ferme sur la question de la gestion des témoins au niveau de l'opérateur du site web. Plutôt, le politique officielle préfère se concentrer sur l'éducation des utilisateurs, leur indiquant plutôt que pour:

protéger votre vie privée sur le web, vous devez vous renseigner sur le contrôle des témoins dans votre navigateur.”

En d'autres termes, il appartient au visiteur de protéger ses informations par rapport aux témoins.

Vous voulez en savoir plus ? Vous trouverez des renseignements détaillés sur le suivi de la navigation web à l'aide de témoins sur le site web du Commissariat à la protection de la vie privée du Canada.

Créez votre politique de confidentialité!

Désormais, l'importance d'avoir une politique de confidentialité devrait être assez claire. Mais comment en créer une qui vous aidera vis-à-vis de vos obligations en tant qu'entreprise qui gère certaines données privées?

L'élaboration d'une politique de protection de la vie privée et de procédures internes est facilitée au Canada par l'examen du contenu de la page d'aide sur la conformité à la LPRPDE pour les entreprises, fourni par la commissaire à la protection de la vie privée.

Alors que les législateurs du Canada et du monde entier s'efforcent de trouver le juste équilibre entre l'application de la loi, la sécurité, le consentement de l'utilisateur et l'accès, les cadres juridiques vont continuer d'évoluer. Par conséquent, votre propre politique de confidentialité devrait être revue au moins une fois par an.

Nous vous suggérons de consulter 10 conseils du gouvernement du Canada pour une meilleure politique de protection de la vie privée en ligne pour prendre une longueur d'avance dans l'élaboration de la politique de confidentialité de votre propre site web.

L'Université de Montréal a développé un générateur de politique de confidentialité pratique pour vous aider à partir du bon pied. Essayez-le aujourd'hui!

Note finale sur la protection de la vie privée

Outre les obligations légales d'un propriétaire de site web, la protection de la vie privée est un enjeu important pour tous les membres de la communauté en ligne. Peut-être vous empêchez-vous de rouler à toute vitesse dans une zone scolaire ou de jeter des détritus dans les rues parce que c'est illégal, mais vous voyez surement aussi l'intérêt pour la communauté.

L'élaboration d'une politique de confidentialité est une façon de tester vos principes, votre intégrité et vos valeurs d'affaires en ligne ainsi que d'imposer des « limites de vitesse » en matière de protection de la vie privée à votre entreprise.

Nous devons prendre soin les uns des autres et de nos données afin d'assurer la prospérité de la communauté Internet au Canada, car nous en bénéficions tous au bout du compte. Évitez toutefois de demander les premiers-nés de vos visiteurs !