Protection des données personnelles et loi 25

La loi 25 s’inscrit dans un mouvement mondial de protection des données personnelles.

Cela répond à une préoccupation grandissante de la population, alimentée par des polémiques récurrentes sur l’utilisation des données par le groupe Meta ou le ciblage publicitaire très/trop précis permis par les cookies. 

En réaction, le marché se transforme, dessinant un monde sans cookies (IOS 14 de Apple, privacy sandbox de Google) et la législation s’est renforcée dans de nombreux pays, imposant aux entreprises de mettre en place des règles encadrant la collecte de données personnelles.

Au Canada la réglementation PIPEDA impose certaines pratiques aux provinces qui n’ont pas de loi dédiée sur le sujet. L’Alberta, la Colombie-Britannique et le Québec ne sont donc pas concernés et la Loi 25 s’applique à toute entreprise collectant des données personnelles de Québécois. Cette loi est d’ailleurs très similaire à la règlementation Européenne RGPD.

Un des aspects de cette loi 25 est la demande de consentement pour pouvoir collecter et exploiter des données personnelles. Le consentement au Québec, comme en Europe doit-être explicite, c’est-à-dire qu’on ne peut collecter aucune donnée tant que l’internaute n’y a pas consenti.

La loi 25 est progressivement mise en application en 3 vagues: 

• Obligations depuis le 22 septembre 2022:

• • Chaque entreprise doit avoir une personne en charge de ces questions. Soit en nommant un DPO (Data Protection Officer), soit par défaut, le PDG de l’entreprise.
  • Les entreprises victimes d’une fuite de données doivent le déclarer à la Commission d’accès à l’information du Québec (CAI)
  • Il en va de même pour les organismes collectant des données personnelles sensibles comme les données biométriques.

• Obligations depuis le 22 septembre 2023: 

• • Avoir une page de politique de données personnelles sur son site.
  • Obtenir le consentement pour la collecte de données.
  • Destruction des données personnelles sur demande d’un internaute.

• Obligations à partir du 22 septembre 2024: 

• • Portabilité des données: Un internaute pourra demander à récupérer le détail des données qu’une organisation dispose sur lui.

La suite de cet article va se concentrer sur la collecte du consentement, qui est la partie la plus visible, avec le plus d’impact et sur laquelle Rablab peut accompagner ses clients en tant qu’agence de marketing digital. Cependant, il est important de se conformer à tous les aspects de la loi 25. Les sanctions peuvent-être très élevées jusqu’à 25 millions de dollars ou 4% du chiffre d’affaire mondial de l’entreprise.

Dans un monde idéal, la mise en conformité prend une équipe multidisciplinaire avec les compétences suivantes: 

• • Juriste/Avocats/DPO
  • CRM/équipes marketing
  • Experts tracking et UX

C’est sur cette dernière expertise que nous accompagnons nos clients et il est important que nous puissions collaborer avec les autres services pour mener à bien la mission de mise en conformité.

Pour en savoir plus: 

• Lire cet article détaillé
• Écouter cette vidéo où Nicolas Rabouille, co-fondateur de Rablab y résume les différentes obligations
• Consulter le Webinaire Solulan

La collecte du consentement

Pour continuer à mesurer le trafic, les conversions et à faire du ciblage publicitaire, un site internet a besoin de balises et de cookies. Avec l’obligation de consentement explicite, chaque site web doit maintenant obtenir l’accord de l’internaute dès son arrivée sur le site pour activer le tracking. Cet aspect de la loi 25 est la face visible de l’iceberg, c’est la première chose que verra l’internaute en arrivant sur un site internet.

Cette demande de consentement passe par une bannière, que nous avons tous déjà vus sur les sites Européens. Le choix de la bannière peut avoir un impact très fort sur les performances de vos campagnes publicitaires et sur la mesure du site.

Exemple de bannière avec un faible taux de consentement

Sur ce premier exemple, la bannière en bas de page ne bloque pas la navigation. La majeure partie des internautes sur desktop risquent donc de continuer leur navigation sans y prêter attention, ce qui empêche de poser les cookies. On risque donc de perdre énormément de visibilité sur le trafic et les conversions générées en desktop pour des outils comme Google Ads, Google Analytics 4 ou Facebook Ads. Sur mobile, le bandeau prend naturellement plus de place, ce qui laisse moins le choix à l’internaute que de faire son choix

Une solution tout aussi conforme à la loi 25, qui permet en plus de maximiser le taux de consentement est le cookiewall, qui consiste à mettre un bandeau central qu l’internaute ne peut ignorer.

Exemple de bannière avec un fort taux de consentement

Ce type de bandeau testé sur le site Rablab permet de maximiser le consentement avec un taux d’acceptation dépassant les 90%. L’idée est d’encourager l’internaute à faire un choix quand il arrive sur site. On lui laisse la possibilité de refuser les cookies sur l’écran de personnalisation, mais on ne souhaite pas qu’il poursuive sa navigation sans tenir compte de la bannière.

Attention cependant, pour être conforme, une bannière ne suffit pas. Il faut que les tags et cookies soient conditionnés au consentement de l’internaute.

Voilà un schéma de la CAI qui résume bien les conditions pour qu’un consentement soit considéré comme valide.

En savoir plus sur les conditions de validité du consentement énoncées par la CAI.

L’accompagnement de Rablab

Mise en conformité initiale

En tant qu’agence de marketing digitale, le tracking est notre cœur de métier. Entre le suivi des performances sur Google Analytics et l’optimisation des campagnes sur Google ou Facebook Ads, nous suivons au quotidien les performances de nos clients grâce aux données recueillies par les cookies. La mise en place d’un bandeau non adapté peut avoir des conséquences dévastatrices pour vos campagnes publicitaires. Il est donc crucial de prendre le sujet au sérieux et de faire les choses bien. Les investissements réalisés pour mener à bien ce projet dépasseront largement les pertes de bénéfice qu’un bandeau inadapté pourrait causer.

C’est pourquoi nous avons développé une offre de service au sein du pôle data & tracking.

Notre accompagnement se concentre sur la partie consentement avec la mise en place du bandeau et le conditionnement des cookies après acceptation. Nous avons un double objectif de mise en conformité et de maximisation du taux de consentement.

Voici le détail de l’accompagnement Rablab:

Setup technique initial

• Installation d’un bandeau optimisé pour maximiser le taux d’acceptation
• Listage de tous les cookies, scripts et tags actifs sur le site
• Reposer sur GTM tous les scripts des plateformes actuellement en dur ou en serverside
• Catégorisation des tags sur GTM: publicitaire, mesure ou fonctionnel
• Activation après consentement des tags et cookies de publicité et de mesure
• Proposition et mise en ligne des textes sur la bannière en Français et Anglais
• Partage d’un template et des prérequis pour aider à la création de la privacy policy
• Accompagnement de nos Gestionnaires d’Expérience client et du spécialiste data

Un travail de long terme

La notion d’optimisation dans le temps est importante. La mise en conformité n’est pas un sprint, mais un marathon. Il ne s’agit pas d’être en conformité le 22 septembre et de ne plus s’en occuper, mais de mettre en place un process pérenne pour que chaque nouveau tag soit conditionné au consentement. Nous proposons un accompagnement récurrent tout au long de l’année pour maximiser le taux de consentement et maintenir la conformité.

Recurring

• Scan du site mensuel pour vérifier si on est toujours en conformité
• Remise en conformité des éventuels nouveaux tags ou cookies
• Optimisation continue du taux d’acceptation (Monitoring, AB tests, redemander le consentement aux internautes qui ont refusé)
• Suivi des nouveautés légales et mises à jour de la CMP
• Accompagnement en cas de demande d’un client à effacer ou récupérer ses données

Contactez-nous