Rédiger une politique de confidentialité conforme à la Loi 25
Une politique copiée d'un autre site ne dit rien sur vos traitements. Voici les sections à écrire, et celles qu'il vaut mieux retirer.
Depuis le 22 septembre 2023, une entreprise qui collecte des renseignements personnels doit rendre ses pratiques disponibles dans un langage clair et simple. La politique nomme le responsable, dit pourquoi les renseignements sont collectés, combien de temps ils sont gardés, et comment la personne peut exercer ses droits. Un texte qui promet seulement de « respecter votre vie privée » ne répond pas à ça.
Les sections à écrire
1. Qui est responsable
Titre et coordonnées de la personne responsable de la protection des renseignements personnels. Une adresse générique du type info@ suffit s'il y a quelqu'un derrière qui lit les messages le jour même.
2. Quels renseignements, et pourquoi
Listez les catégories réelles : clients, employés, candidats, visiteurs du site. Pour chacune, dites la fin. « Améliorer nos services » sans dire lesquels ne permet pas à la personne de comprendre.
3. Comment vous les obtenez
Formulaire, contrat, témoin de navigation, fournisseur qui vous les transmet. Si vous achetez une liste, dites-le. La personne doit pouvoir relier la collecte à un geste qu'elle a fait, ou à une source que vous nommez.
4. À qui vous les communiquez
Hébergeur, paie, infonuagique, cabinet comptable. Nommez le rôle, pas seulement « nos partenaires ». Si un renseignement peut quitter le Québec, la politique le dit. Le détail de l'évaluation se documente à part.
5. Combien de temps
Une durée, ou le critère qui sert à la fixer, par catégorie. Renvoyez vers vos règles internes. Ne recopiez pas un délai fiscal unique pour tout le fichier.
6. Les droits et la façon de les exercer
Accès, rectification, retrait du consentement, et portabilité lorsque les renseignements sont informatisés et collectés auprès de la personne. Indiquez l'adresse où envoyer la demande et le délai de réponse de 30 jours.
Ce qu'il vaut mieux retirer
Une clause qui autorise tout usage futur « compatible » sans le décrire.
Un renvoi vers une politique d'un fournisseur américain comme si elle remplaçait la vôtre.
Une date de mise à jour absente. La personne, et la Commission, doivent voir quelle version s'applique.
Où la publier
Sur le site, à un lien stable dans le pied de page, pas seulement dans un courriel d'accueil. Si vous n'avez pas de site, remettez le texte au moment de la collecte, sur papier ou dans le contrat. La version publiée et la version que les équipes appliquent doivent être la même.
Une politique alignée sur le registre des traitements
CapPRP relie les traitements, les durées et le texte que vous publiez, pour que la politique ne dérive pas du registre.