La majorité des entreprises québécoises possèdent désormais un site web. Bon nombre recueillent des informations personnelles sur leurs visiteurs. Mais, savent-elles vraiment quels sont leurs devoirs en matière de protection des renseignements personnels?

La majorité des entreprises québécoises possèdent désormais un site web. Bon nombre recueillent des informations personnelles sur leurs visiteurs. Mais, savent-elles vraiment quels sont leurs devoirs en matière de protection des renseignements personnels?

«Pour le savoir, nous avons évalué les pratiques de 35 sites web d'entreprises québécoises sur le plan de la publicité interactive, et plus particulièrement du marketing par courriel», explique Stéphanie Le Rouzic, directrice principale chez Impact Recherche, filiale du Groupe Cossette Communication. Cette étude a été réalisée pour le compte de l'Office de la protection du consommateur du Québec.

De cette étude, la firme de recherche a tiré 12 leçons de bonnes pratiques.

Leçon #1 : N'offrir qu'un formulaire par courriel pour être jointe est une pratique à bannir. Au total, 94 % des entreprises étudiées proposent une page présentant une façon de les rejoindre. Toutefois, seulement 66 % fournissent leur adresse et leur numéro de téléphone.

Leçon #2 : Avoir une politique de protection et d'utilisation des renseignements personnels. «Au total, 82 % des entreprises évaluées en ont une et l'affichent sur leur site web. Celles qui n'en ont pas, sont principalement de petites entreprises», précise Stéphanie Le Rouzic.

Leçon #3 : La politique de confidentialité doit être accessible partout sur le site en un seul clic.

Leçon #4 : Avoir une politique complète qui aborde les 10 principes1. L'étude nous apprend que les politiques présentées contiennent la plupart du temps des informations sur les objectifs de la collecte des données et sur les mesures de sécurité prises pour les protéger. Toutefois, elles ne précisent pratiquement jamais le nom d'une personne contact dans l'entreprise ni la durée de stockage des informations.

Leçon #5 : Faciliter la lecture de la politique par une présentation claire. Au total, 63 % des entreprises ont une politique très bien ou assez bien présentée. Pour juger de la présentation, trois indicateurs ont été observés de plus près : la disposition, la lisibilité et la possibilité de l'imprimer. À proscrire : les textes trop longs et les caractères trop petits.

Leçon #6 : Faciliter la compréhension de la politique. Au total, 78 % des entreprises présentent une politique très ou assez compréhensible. Toutes les sociétés ont fait des efforts de vulgarisation. Pour 81 % des entreprises disposant d'une politique, le texte est pertinent par rapport aux services offerts sur le site (les autres se contentent de texte très généraux). «En revanche, aucun site n'a mis en place un lexique permettant d'expliquer la teneur de certains termes utilisés pouvant être jugés plus techniques, commente Stéphanie Le Rouzic. Enfin, seulement 12 % affichent des liens vers des sites gouvernementaux ou des organismes de certification (sceau) pour les internautes qui souhaitent approfondir la question de la protection des renseignements personnels.»

Leçon #7 : Demander seulement les informations nécessaires. Au total, seulement 29 % des sites récoltent uniquement les informations nécessaires à l'exécution de la tâche demandée. «Par exemple, pour s'abonner à une lettre d'information, nous avons considéré que seule l'adresse courriel était indispensable», explique l'expert.

Leçon #8 : Pratiquer le consentement par confirmation (opt-in actif). Au total, 69 % des sites recueillent le consentement des internautes en leur demandant de cocher une case pour donner leur consentement (forme la plus recommandée).

Leçon #9 : Demander une double confirmation. Seulement 24 % des sites web pratiquent la technique du double consentement.

Leçon #10 : Donner accès aux données. Au total, 60 % des entreprises permettent d'accéder directement sur leur site à un compte personnel auquel l'internaute peut accéder et modifier ses informations personnelles. De la même façon, 43 % incluent un lien vers ce compte dans les courriels qu'elles envoient la première fois (40 % le mettent dans tous leurs envois).

Leçon #11 : Toujours laisser le choix de se désabonner facilement. Sur les 77 % des entreprises qui ont envoyé un courriel après les démarches, la moitié y ont inséré un lien pour se désabonner (par exemple, bulletin d'information).

Leçon #12 : Respecter ses engagements. «Au total, 96 % des entreprises qui nous ont envoyé un courriel, ont respecté leurs engagements et nous ont envoyé uniquement les informations demandées, précise Stéphanie Le Rouzic. Concernant les messages provenant de partenaires commerciaux, 11 % des entreprises ont utilisé cette possibilité que nous avions acceptée. Nous n'avons reçu aucun pourriel.»

À la lumière de ces résultats, force est de constater que les sites québécois sont encore loin d'appliquer toutes les bonnes pratiques et que des efforts restent à faire.

----------

1 : Pour connaître les 10 principes énoncés dans le Code type sur la protection des renseignements personnels de l'Association canadienne de normalisation.

https://www.aucc.ca/privacy/index_f.html

----------

Liette D'Amours est directrice des communications au CEFRIO, un centre de recherche-expérimentation et de transfert spécialisé en appropriation des technologies de l'information.