Pour beaucoup de dirigeants de PME, la Loi 25 évoque d'abord de la paperasse, du jargon juridique et une inquiétude diffuse. Pourtant, cette loi québécoise sur la protection des renseignements personnels s'applique à toute organisation qui collecte des renseignements personnels, peu importe sa taille. Un simple formulaire de contact, une infolettre ou un outil de mesure d'audience suffit à être concerné.
Pour rendre les choses concrètes, suivons une entreprise fictive : une boutique de décoration de la Montérégie, que nous appellerons Atelier Rivage. Sa propriétaire, Julie, gère un site vitrine avec une boutique en ligne et une infolettre. Voici comment elle utilise Connect Privacy, le module de conformité de la suite Pratcom Connect, étape par étape, depuis son propre espace client.
Le point de départ : une boutique qui collecte sans le savoir
Comme bien des PME, Atelier Rivage a construit son site au fil du temps. Une agence a ajouté un outil de statistiques, une campagne publicitaire a nécessité un pixel, un consultant a installé un outil d'analyse du comportement des visiteurs. Résultat : Julie ne sait plus vraiment quels scripts tournent sur son site, ni quelles données ils recueillent.
Or, la Loi 25 impose des obligations claires, notamment le consentement, la transparence et la nomination d'un responsable de la protection des renseignements personnels. Les enjeux ne sont pas théoriques.
Les sanctions prévues par la Loi 25 peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
Julie décide donc d'activer Connect Privacy. Son objectif : obtenir les éléments techniques clés de la conformité sans devenir experte juridique.
Étape 1 : scanner les outils de suivi du site
La première action de Julie consiste à lancer le scan des outils de suivi. Cette fonction détecte les témoins (cookies) et les scripts de suivi installés sur le site, afin de ne rien oublier.
Dans le cas d'Atelier Rivage, le scan fait ressortir plusieurs traceurs qu'elle avait presque oubliés :
- Google Analytics 4, utilisé pour mesurer la fréquentation du site
- Meta Pixel, ajouté lors d'une campagne publicitaire sur les réseaux sociaux
- Hotjar, installé pour observer la navigation des visiteurs
Ce portrait est précieux : Julie sait désormais exactement ce qui collecte des données sur son site. Ces outils détectés pourront ensuite être bloqués tant que le visiteur n'a pas donné son accord. C'est la base sur laquelle reposent toutes les étapes suivantes.
Étape 2 : configurer la bannière de consentement
Une fois les traceurs identifiés, Julie configure elle-même la bannière de consentement aux témoins depuis son espace. Connect Privacy propose un consentement granulaire, ce qui signifie que le visiteur peut faire des choix précis plutôt que d'accepter ou de refuser en bloc.
La bannière est personnalisable : Julie l'ajuste pour qu'elle s'harmonise avec l'image d'Atelier Rivage, tout en restant claire pour ses clients. Surtout, elle respecte le choix du visiteur. Si une cliente refuse les témoins de suivi publicitaire, le pixel correspondant ne se déclenche pas pour elle.
Ce que cela change pour les visiteurs
Pour les clients de la boutique, l'expérience devient plus transparente. Ils comprennent qu'on utilise des témoins pour améliorer leur expérience et gardent le contrôle sur leurs données. Pour Julie, c'est aussi un gage de confiance envers sa clientèle.
Étape 3 : générer la politique de confidentialité
Jusque-là, le site d'Atelier Rivage affichait une politique de confidentialité générique, copiée il y a plusieurs années. Elle ne mentionnait ni l'outil d'analyse comportementale, ni le pixel publicitaire.
Avec Connect Privacy, Julie génère une politique claire et à jour, adaptée à la collecte de données réelle de son site. Comme le module s'appuie sur ce qui est effectivement utilisé, le document reflète la réalité plutôt qu'un modèle abstrait. Elle répond ainsi à l'exigence de transparence de la Loi 25 de façon cohérente avec ses outils.
Étape 4 : s'appuyer sur le registre des consentements
La conformité ne s'arrête pas à l'affichage d'une bannière. Il faut aussi pouvoir la démontrer. C'est le rôle du registre des consentements, qui conserve une trace versionnée de chaque consentement donné par les visiteurs.
Pour Julie, cela signifie qu'en cas de demande de la Commission d'accès à l'information (CAI), elle dispose d'un historique prêt à présenter. Elle n'a pas à reconstituer après coup qui a accepté quoi et quand : l'information est déjà consignée, au fil de l'eau.
Au quotidien, cette étape ne lui demande pratiquement aucun effort. Le registre se tient automatiquement pendant qu'elle se concentre sur ses commandes, ses fournisseurs et ses clients.
Une conformité cohérente sur tout le site
Quelques mois plus tard, Julie ajoute un chatbot et des formulaires de la suite Pratcom Connect à son site. Bonne nouvelle : le consentement géré par Connect Privacy s'applique à l'ensemble de la suite, y compris Connect Chat et Connect Forms. Elle n'a pas à repartir de zéro, et son approche de conformité reste uniforme d'une page à l'autre.
Julie garde toutefois en tête une nuance importante : Connect Privacy ne remplace pas un avocat. Le module automatise les aspects techniques (consentement, scan, registre, politique), mais pour les questions juridiques propres à sa situation, il reste recommandé de consulter un conseiller juridique.
En résumé, la démarche d'Atelier Rivage tient en quatre gestes simples :
- Scanner le site pour repérer tous les témoins et scripts de suivi
- Configurer une bannière de consentement granulaire et personnalisée
- Générer une politique de confidentialité fidèle à la collecte réelle
- Laisser le registre consigner chaque consentement, prêt pour la CAI
Vous vous reconnaissez dans la situation de Julie ? Pratcom offre une vérification de conformité gratuite pour voir où en est votre site face à la Loi 25. C'est un bon point de départ pour passer de l'inquiétude à une conformité maîtrisée, l'esprit tranquille.
