Loi 25 et publicité Facebook : ce que les PME du Québec doivent savoir

Trois moments de la publicité Meta sont concernés :

• Sur votre site Web. Le pixel Meta et les outils analytiques recueillent des données de navigation. La Commission d’accès à l’information (CAI) range explicitement les « outils analytiques Web » parmi les moyens de collecte.
• Dans un formulaire de leads. Un nom, un numéro de téléphone, un courriel et la réponse à une question de qualification sont des renseignements personnels.
• Dans votre suivi. Les demandes stockées dans un CRM, relancées par courriel ou transmises à un fournisseur restent sous votre responsabilité.

Une entreprise de rénovation de la Beauce qui fait tourner une campagne de leads a les mêmes obligations de base qu’une chaîne de magasins, proportionnées à ses activités.

La loi définit le profilage comme la collecte et l’utilisation de renseignements pour évaluer certaines caractéristiques d’une personne, notamment ses préférences, ses intérêts ou son comportement. C’est exactement ce que fait un pixel qui alimente des audiences publicitaires.

Dans ses lignes directrices sur le consentement, la CAI donne l’exemple d’un site qui déduit les intérêts de ses lecteurs grâce à des témoins (cookies). Comme cette technologie permet le profilage, le site affiche une fenêtre à la première visite et explique comment activer les témoins.

Meta va dans le même sens. Ses conditions d’utilisation des outils professionnels exigent un avis clair sur chaque page où un pixel est utilisé et, là où la loi l’exige, un consentement obtenu avant le dépôt des témoins. Techniquement, le pixel se met en pause avec la commande fbq('consent', 'revoke') et ne s’active qu’à fbq('consent', 'grant'), une fois le consentement donné.

L’API Conversions, qui envoie les événements depuis votre serveur plutôt que depuis le navigateur, ne change pas la règle : elle doit suivre le même consentement. Notre guide sur le pixel Meta et l’API Conversions explique comment les deux s’articulent.

Voici comment les huit critères de la CAI se traduisent sur un site qui utilise le pixel Meta :

La CAI ajoute qu’un consentement peut être retiré en tout temps, par un moyen simple : un lien « Gérer mes témoins » au bas de chaque page suffit.

Sur notre propre site, c’est la mécanique retenue : deux catégories, mesure d’audience et publicité, un bouton « Refuser » au même niveau que « Tout accepter », et aucun envoi vers Meta, ni par le pixel ni par notre serveur, sans accord à la publicité.

Le guide de la CAI pour rédiger une politique de confidentialité suggère d’y inclure :

1. Les moyens de collecte : formulaires, témoins, pixel, formulaires de leads.
2. Les personnes qui recueillent pour vous : votre agence, votre fournisseur de CRM, Meta.
3. Les technologies d’identification, de localisation ou de profilage, et la manière de les activer.
4. Les renseignements recueillis et leurs fins : rappeler une demande, mesurer une campagne, bâtir une audience.
5. Les moyens de refuser et leurs conséquences, par exemple refuser les témoins et utiliser le site quand même.
6. Qui y a accès à l’interne, à qui ils sont communiqués, et s’ils peuvent sortir du Québec.
7. Les droits d’accès, de rectification et de retrait du consentement, et les coordonnées du responsable.

Ne la fusionnez pas avec vos conditions d’utilisation : ce sont deux documents distincts.

Ce que Meta permet de faire dans un formulaire instantané :

• Ajouter un lien vers votre politique de confidentialité. Il ne peut pas pointer vers un fichier PDF ni vers un téléchargement direct.
• Ajouter un avis personnalisé, avec des cases à cocher. Une case peut être obligatoire ou facultative. Utilisez une case facultative et distincte pour l’abonnement à une infolettre : c’est une autre fin que le rappel de la demande.
• Expliquer pourquoi vous demandez les coordonnées. Meta le recommande, et demande de ne contacter les gens que pour la fin annoncée.

Meta interdit aussi certaines questions, notamment sur la santé, la situation financière, les numéros d’identification gouvernementaux ou l’orientation sexuelle. Ces interdits recoupent la notion de renseignement sensible de la Loi 25, qui appelle dans plusieurs cas un consentement exprès. Ne demandez que ce qui sert à rappeler et à qualifier la demande.

Le raisonnement vaut aussi pour une page d’atterrissage. Notre guide formulaire instantané ou page d’atterrissage compare les deux options sur le fond.

Quelques repères :

• Répondre à la demande : rappeler, envoyer la soumission demandée, fixer un rendez-vous. C’est la fin primaire de la collecte.
• Faire de la prospection : envoyer des promotions, une infolettre, des offres sur d’autres services. Identifiez-vous, offrez un moyen simple de se retirer, et cessez d’utiliser les renseignements à cette fin dès que la personne le demande.
• Respecter la Loi canadienne anti-pourriel (LCAP). Selon les lignes directrices du CRTC, une demande de renseignements crée un consentement tacite à recevoir des messages électroniques commerciaux pendant six mois. Au-delà, ou pour une liste d’infolettre, il faut un consentement exprès. Chaque message doit identifier l’expéditeur et offrir un mécanisme de désabonnement.

Une demande rappelée tôt n’a d’ailleurs pas besoin d’une longue séquence de relances. Notre guide sur le suivi des leads dans un CRM détaille la méthode.

Pour une PME, ça se traduit par trois gestes :

• Dresser la liste des outils qui reçoivent des renseignements personnels : Meta, CRM, courriel, prise de rendez-vous, agence.
• Évaluer chaque fournisseur (sécurité, hébergement, conservation) et garder une trace de cette évaluation.
• Encadrer les mandataires par écrit. Un fournisseur ou une agence qui manipule vos demandes doit s’engager à les garder confidentielles, à ne les utiliser que pour son mandat et à ne pas les conserver après la fin du contrat.

Téléverser une liste de clients dans Meta pour créer une audience personnalisée est une communication de renseignements personnels à une entreprise établie hors du Québec. Avant de le faire, vérifiez que vos clients ont été informés de cette utilisation, et validez l’approche avec un conseiller juridique.

Les obligations de base, en bref :

• Nommer et afficher le responsable de la protection des renseignements personnels.
• Adopter des règles de gouvernance proportionnées : conservation et destruction, rôles, traitement des plaintes.
• Gérer les incidents de confidentialité, comme une boîte courriel piratée ou un CRM exposé : tenir un registre et aviser la CAI et les personnes concernées quand l’incident présente un risque de préjudice sérieux.

Côté sanctions, la CAI indique que les sanctions administratives pécuniaires imposées aux entreprises peuvent atteindre 10 millions de dollars ou 2 pour cent du chiffre d’affaires mondial ; les amendes pénales vont plus loin encore. Pour une PME, le risque le plus concret reste souvent une plainte de client.

La conformité et la bonne publicité vont dans le même sens : un site qui dit franchement ce qu’il mesure, un formulaire qui ne demande que l’essentiel, des demandes rappelées vite. Notre page sur la génération de leads montre comment ce suivi s’organise, du formulaire jusqu’à l’appel, et celle sur l’acquisition de clients, jusqu’au contrat signé.