La loi 25 et son impact sur le marketing numérique

Qu’est-ce que la loi 25 ?

La Loi 25, anciennement connue sous le nom de projet de Loi 64, est un texte législatif qui a marqué un tournant majeur en matière de protection des renseignements personnels au Québec. Adoptée le 21 septembre 2021 par l'Assemblée nationale du Québec, cette loi modernise les dispositions législatives entourant la protection des renseignements personnels dans le secteur privé de la province, de manière comparable à la réglementation RGPD en France. Elle a un impact significatif sur la collecte, le traitement et la gestion des données personnelles, et notamment sur le marketing numérique.

La Loi 25 s'applique à une vaste gamme de renseignements personnels, qu'ils soient écrits, graphiques, sonores, visuels, informatisés ou de toute autre nature. En général, cette loi interdit la communication de renseignements personnels à des tiers, à moins d'exceptions spécifiques. De plus, elle permet aux individus de demander et d'obtenir leurs propres informations personnelles, avec la possibilité de demander des corrections en cas d'inexactitude. En somme, la Loi 25 partage des similitudes avec la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

Les différents types de données?

Il est essentiel de comprendre les différentes catégories de données d'identification.

Qu’est-ce qu’un renseignement personnel ?

Un renseignement personnel englobe une variété d'informations :

- Renseignements personnels : nom, prénom, adresses, téléphone ect…

- Identification des employés : dossier disciplinaire, numéro d’assurance sociale ect..

- Renseignements financiers : numéros de compte, numéro de carte bancaire, ect…

- Identifiants numériques : nom d’utilisateur, mot de passe, adresse IP, ect..

- Identifiant généré pour du profilage : Google Analytics, Pixel Facebook, ect…

Qu’est-ce qu’un renseignement dépersonnalisé

Ils ne permettent plus d'identifier directement une personne spécifique. Ces informations ne doivent pas inclure celles de la catégorie précédente. Cependant, elles peuvent potentiellement conduire à l'identification d'une personne si elles sont associées à d'autres informations internes de manière indirecte. Ils sont également soumis à la Loi 25.

Qu'est ce qu'un renseignement anonymisé

Ces renseignements ne permettent plus, de manière irréversible, d'identifier directement ou indirectement une personne. En conséquence, ils ne sont pas soumis à la Loi 25. C'est pourquoi ils sont considérés comme une alternative à la suppression des données.

L'anonymisation des données permet de préserver la confidentialité des individus tout en maintenant l'utilité des informations à des fins d'analyse et de recherche, sans enfreindre la Loi 25.

Qu'est ce qu'une données sensibles ?

Les données sensibles, comme leur nom l'indique, sont des informations personnelles qui méritent une attention particulière en raison de leur nature et de leur potentiel d'impact sur la vie privée. Ces données sont caractérisées par plusieurs traits distinctifs :

1. Effet Discriminant : Les données sensibles sont celles dont la collecte et l'utilisation peuvent potentiellement entraîner une discrimination envers une personne ou un groupe de personnes. Elles peuvent être utilisées pour prendre des décisions préjudiciables fondées sur des caractéristiques personnelles, telles que l'appartenance syndicale, l'opinion politique, les croyances religieuses, ou l'appartenance à une communauté particulière.

2. Attente Raisonnable en Matière de Vie Privée : Les données sensibles sont également définies par le degré élevé d'attente raisonnable en matière de vie privée qu'elles génèrent. En d'autres termes, les individus s'attendent naturellement à ce que ces informations restent confidentielles et ne soient pas utilisées à leur détriment.

Exemples de Données Sensibles :

Les données sensibles englobent un large éventail d'informations personnelles, notamment :

• L'appartenance syndicale.

• L'opinion politique.

• Les croyances religieuses ou philosophiques.

• Les détails sur la santé physique ou mentale.

• Les données biométriques (comme les empreintes digitales ou la reconnaissance faciale).

• Les informations financières.

• Les pièces d'identité (comme les numéros de sécurité sociale).

• L'appartenance à des communautés issues de la diversité (par exemple, l'origine ethnique ou l'orientation sexuelle).

La Loi 25 impose également une attention particulière au cycle de vie des données personnelles, de leur collecte à leur destruction. Les entreprises doivent être en mesure de documenter et de déclarer de manière transparente les étapes de ce cycle pour garantir la conformité.

Rétention à Long Terme : Certaines données, en particulier celles nécessaires à des fins légales ou réglementaires, peuvent être conservées à long terme dans des archives permanentes.

Impact de la Loi 25 sur le marketing numérique

La Loi 25 a un impact substantiel sur les pratiques de marketing numérique au Québec. Voici quelques éléments clés à prendre en compte :

Désignation d'un Responsable de la Protection des Renseignements Personnels

L'une des obligations légales essentielles consiste à désigner un responsable de la protection des données personnelles. Cette personne est chargée de veiller à ce que l'entreprise respecte les réglementations en matière de protection des données. Les coordonnées de cette personne sont généralement publiées sur le site web de l'entreprise, souvent dans la politique de confidentialité.

Gestion des Incidents

En cas d'incident de confidentialité impliquant des informations personnelles, il est impératif de prendre des mesures immédiates pour minimiser les risques de préjudice et empêcher que des incidents similaires se reproduisent. Il est également nécessaire de tenir un registre de ces incidents pour une transparence et une conformité totales.

Demande d'Accès aux Renseignements Personnels

En vertu de la loi, toute personne a le droit de demander l'accès à toutes les informations la concernant. En tant qu'entreprise, nous nous engageons à être en mesure de répondre à ces demandes dans le respect de la loi et des droits des individus.

Obtention du Consentement Explicite : Les entreprises doivent désormais obtenir un consentement explicite avant de collecter des renseignements personnels. Un consentement est considéré comme explicite lorsque l'utilisateur effectue une action claire pour indiquer son intérêt à recevoir des contenus, par exemple en s'abonnant, en s'inscrivant ou en faisant une demande.

Activation Proactive (Opt-in) : pour la Collecte de Renseignements : L'utilisation de technologies d'identification, de localisation ou de profilage, comme les témoins (cookies), exige désormais une activation proactive. En l'absence de consentement, certaines pratiques deviennent impossibles, notamment le reciblage (remarketing), l'attribution de sources de conversion et la collecte de données sans autorisation.

Paramètres de Confidentialité : Les produits et services technologiques doivent être configurés avec le "plus haut niveau de confidentialité" par défaut, ce qui signifie qu'aucun témoin (cookie) ne peut être utilisé sans avoir obtenu la permission de l'utilisateur.

La suppression des données personnelles : Une fois que vous avez rassemblé des données personnelles pour une finalité précise et que cette finalité est atteinte, il est impératif de procéder à la suppression sécurisée de ces informations. Cependant, à partir du 22 septembre 2023, une autre option à la suppression des données personnelles devient possible : l'anonymisation.

Le marketing du consentement

Il est désormais essentiel de mesurer le taux de consentement et de concevoir une expérience utilisateur (UX) convaincante pour maximiser le taux d'acceptation du consentement. Il est également recommandé d'expérimenter différentes approches pour évaluer l'impact de variations dans le style ou le message sur le taux de consentement.

Selon la manière dont le consentement est recueilli et le domaine d'activité, on peut s'attendre à obtenir un taux de consentement compris entre 50 et 70 %. Ce pourcentage peut varier en fonction de la transparence de l'entreprise dans sa politique de confidentialité, de la confiance que les utilisateurs ont en elle, et de la valeur perçue dans le partage de leurs données.

L'obtention du consentement a également un impact majeur sur l'attribution de la source d'une conversion. Alors que les entreprises cherchent à comprendre d'où proviennent leurs ventes et leurs conversions, l'absence de consentement peut compliquer la tâche. Les utilisateurs ont souvent des parcours complexes sur le web, et sans leur consentement explicite pour suivre leur activité, il devient de plus en plus difficile de déterminer l'origine de chaque conversion.

Politique de confidentialité

Une obligation majeure découlant de la Loi 25 est la nécessité de mettre en place une politique de confidentialité complète. Cette politique doit informer les individus des renseignements personnels collectés, des fins pour lesquelles ils sont recueillis, du partage potentiel de ces renseignements et des mesures de protection mises en place pour préserver leur confidentialité. La politique doit également informer les utilisateurs de l'utilisation de témoins de connexion (cookies), le cas échéant, et de toute modification apportée à la politique.

La politique de confidentialité peut également nommer et communiquer les coordonnées du responsable de la protection des renseignements personnels, et elle doit être rédigée de manière simple et accessible.

Gestionnaire de consentement (CMP)

Les gestionnaires de consentement deviennent des outils incontournables pour les entreprises traitant des données personnelles. Ils permettent de collecter et d'enregistrer le consentement, d'adapter les pratiques en fonction des régions et des législations, de mesurer les taux de consentement et de vérifier la conformité du site web.

Il est important de noter que les CMP ne bloquent pas automatiquement la collecte d'informations. Le choix du consentement doit être respecté au niveau de la programmation du site web et du déclenchement des balises dans des outils comme Google Tag Manager.

Conclusion

En conclusion, la Loi 25 redéfinit la manière dont les entreprises au Québec abordent la collecte et l'utilisation des renseignements personnels. Pour être en conformité, les entreprises doivent non seulement se conformer à la loi, mais aussi repenser leurs stratégies de marketing numérique et de gestion des données personnelles.

La gestion du consentement émerge comme une nouvelle branche essentielle du marketing moderne. À l'ère de la confidentialité des données et de la réglementation accrue, l'obtention du consentement des utilisateurs est devenue une priorité pour les entreprises de tous les secteurs. Cette démarche peut avoir un impact significatif sur divers indicateurs de performance, notamment le nombre d'utilisateurs, les sessions, et bien plus encore.

Il est essentiel de rappeler que pour avoir un site web conforme, il est impératif de disposer d'une politique de confidentialité claire et accessible. Cette politique doit expliquer en détail ce que l'entreprise collecte, pourquoi elle le collecte, avec qui elle partage ces données, et quelle est la durée de vie de ces informations. La transparence est la clé pour gagner la confiance des utilisateurs et obtenir leur consentement en toute légalité.

De plus, conformément aux réglementations en vigueur, il est impératif de demander le consentement des utilisateurs avant de déposer un témoin, communément appelé "cookie", sur leurs appareils. Cette pratique permet aux utilisateurs de garder le contrôle sur leurs données et de décider s'ils souhaitent ou non partager leurs informations avec le site web.