Popup de consentement: obligatoire?

⚠️ Attention, cette note s’adresse d’abord à un public québécois. Il ne s’agit pas d’un avis légal. Nous vous conseillons de consulter des spécialistes pour vérifier la conformité de votre site web.

Exigences de la loi

La Loi 25 oblige entre autres d’obtenir le consentement d’un individu pour tout partage de renseignement personnel. La personne qui consent doit comprendre comment les renseignements seront utilisés, communiqués et partagés, s’il y a lieu.

Donc oui, il est obligatoire sur votre site web de demander un tel consentement si vous récoltez des enseignements personnels, par exemple via des cookies qui collectent l’adresse IP des appareils utilisés. La collecte ne doit pas être automatique et elle doit s’activer seulement si un geste positif de consentement est posé, ce qui se fait généralement via un popup ou une bannière contextuelle.

Cependant, l’entrée en vigueur de cette loi, largement inspirée du « Règlement général sur la protection des données » (RGPD) européen, est une bonne occasion pour se poser une question : avez-vous réellement besoin de collecter de tels renseignements?

Désavantages du popup

• L’intégration d’un popup doit idéalement être effectuée par des professionnel·les qui s’assureront du bon fonctionnement de l’outil et de sa conformité avec la loi. Ceci peut être coûteux, entre autres pour une petite organisation qui a peu de moyens.
• Le popup peut avoir un impact négatif sur l’expérience de navigation. Certaines personnes vont d’ailleurs quitter immédiatement un site sur lequel le processus de consentement n’est pas fluide. Ceci est particulièrement vrai si cela s’ajoute à d’autres requêtes telles que des messages, une demande de création de compte ou d’inscription à l’infolettre, une requête pour l’activation des notifications, etc.
• Il faut également s’assurer que le mécanisme est accessible et fonctionne adéquatement pour les personnes aveugles ou ayant une déficience visuelle. Malheureusement, plusieurs popup de consentement ne sont pas faciles à utiliser avec des lecteurs d’écran, rendant parfois la navigation impossible. Pour en savoir plus, nous vous invitons à consulter les outils d’évaluation d’accessibilité du web développés par le Regroupement des aveugles et amblyopes du Montréal métropolitain (RAAMM).

Quels renseignements sont collectés sur un site web?

La nature des renseignements personnels varie d’un site à l’autre et la loi exige d’en faire un inventaire complet. Pour un site informatif standard, les renseignements suivants peuvent par exemple être captés :

• Adresse IP via des cookies qui visent à assurer le bon fonctionnement du site web, par exemple pour enregistrer une préférence de langue.
• Informations diverses visant à compiler des statistiques de fréquentation du site web.
• Renseignements personnels via les formulaires, par exemple de contact ou d’abonnement à l’infolettre.
• Renseignements captés par des outils tiers qui sont utilisés sur votre site, si vous avez par exemple intégré du contenu généré par un service tiers ou si vous utilisez un outil automatisé de partage sur des réseaux sociaux. Ces renseignements sont captés par des entreprises externes, mais vous avez l’obligation d’exiger un consentement s’il sont utilisés sur votre site web.

🔎 Inventaire des témoins
Il existe des outils en ligne gratuits qui vous permettent d'inventorier les cookies qui sont actuellement en fonction sur votre site web, tel que celui-ci. 

Existe-t-il des solutions alternatives?

Une solution qui évite de demander le consentement des personnes qui visitent votre site web existe et elle est simple: ne pas capter de renseignements personnels! Bien sûr, cela n’est pas possible sur tous les sites web, mais il est utile de se questionner sur la pertinence de la collecte de certains renseignements. Voici quelques propositions qui vont dans ce sens:

• Ne pas utiliser d’outils tiers pour intégrer des contenus externes ou pour automatiser le partage sur des réseaux sociaux.
• Ne pas utiliser un outil d’analyse de la fréquentation de votre site, ou encore utiliser un outil qui anonymise les renseignements collectés (par exemple, l’outil Matomo permet une telle configuration).
• Si vous utilisez des formulaires sur votre site web, vous pouvez demander un consentement de manière ciblée pour les personnes qui utilisent le formulaire. Il peut s’agir par exemple d’une case à cocher obligatoire, semblable au consentement exigé lorsqu’on crée un compte sur un outil en ligne. Le texte du consentement doit alors être clair et renvoyer vers votre politique de protection des renseignements personnels. Cette solution reste moins invasive qu’un popup qui est exigé lors de chaque visite.

🧰 Ressources complémentaires
Nous vous proposons de consulter cet Inventaire de l’offre de services et formations à destination du communautaire concernant la loi 25.