Exposition publique d'informations sensibles — Exigences Loi 25 Québec

Contexte légal

La publication d'informations sur un site web est, juridiquement, une communication au public de renseignements personnels au sens de la Loi 25. Plusieurs articles s'appliquent : l'article 13 sur la communication à un tiers et le consentement exprès pour le sensible, l'article 28.1 sur le droit à la cessation de diffusion et à la désindexation, l'article 5 sur la minimisation, et le principe de nécessité que la CAI applique avec rigueur — confirmé par la décision biométrie 2024. L'enjeu n'est pas théorique : c'est le module qui révèle le plus d'écarts en audit de visibilité publique.

Définition légale du renseignement sensible

En pratique, sont considérés comme sensibles : données médicales, biométriques, données concernant la sexualité, l'origine ethnique, les convictions religieuses ou politiques, les données financières détaillées, les données concernant les mineurs. Mais le contexte peut rendre sensible un renseignement qui ne le serait pas autrement (ex. publier le nom et l'adresse d'un employé qui a quitté l'organisation pour un motif délicat).

Cadre juridique applicable

Article 13 — Communication à un tiers et consentement exprès

« Nul ne peut communiquer à un tiers les renseignements personnels qu'il détient sur autrui, à moins que la personne concernée n'y consente ou que la présente loi ne le prévoie. Le consentement doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible. »

Implication : la publication sur un site web est une communication au public — donc à des tiers. Pour un renseignement sensible (incluant souvent les photos, selon le contexte), le consentement doit être exprès — pas implicite, pas présumé.

Article 28.1 — Cessation de diffusion et désindexation

« La personne concernée par un renseignement personnel peut exiger d'une personne qui exploite une entreprise qu'elle cesse la diffusion de ce renseignement ou que soit désindexé tout hyperlien rattaché à son nom permettant d'accéder à ce renseignement par un moyen technologique, lorsque la diffusion de ce renseignement contrevient à la loi ou à une ordonnance judiciaire. »

L'article ouvre aussi le droit à la cessation lorsque trois conditions sont réunies : préjudice grave à la réputation ou à la vie privée, préjudice manifestement supérieur à l'intérêt public, et cessation/désindexation n'excédant pas le nécessaire.

Article 5 — Minimisation appliquée à la publication

Ne publier que les renseignements nécessaires à la finalité affichée. Pour une page Équipe, la finalité est la présentation professionnelle — un courriel professionnel, une fonction, un nom suffisent. Adresses personnelles, téléphones privés, dates de naissance, statut familial : non nécessaires donc non publiables.

Décision CAI biométrie 2024 — Le test de nécessité

Fin 2024, la section de surveillance de la CAI a rendu sa première décision en secteur privé depuis l'entrée en vigueur de la Loi 25, visant une imprimerie utilisant la reconnaissance faciale pour le contrôle d'accès des employés. La CAI a ordonné la cessation de cette technologie au motif que la collecte de renseignements biométriques n'était pas suffisamment nécessaire ni proportionnée dans les circonstances.

Cette décision est utile pour la formation : elle illustre la rigueur du test de nécessité que la CAI applique. Transposable à toute publication de photos identifiantes — la nécessité de publier doit être démontrable, pas présumée.

Obligations concrètes pour les organisations

• Consentement écrit et archivé pour chaque photo identifiante publiée (employés, clients en témoignage, partenaires)
• Limiter les listings aux renseignements nécessaires à la finalité affichée (nom, fonction, courriel professionnel, photo professionnelle au minimum)
• Stripping EXIF systématique des images uploadées — vérifier le comportement par défaut du CMS et des plugins
• X-Robots-Tag: noindex dans les en-têtes HTTP des PDF qui ne doivent pas être indexés (ne pas utiliser robots.txt seul, qui peut empêcher Google de voir l'instruction)
• Authentification pour les fichiers internes (zone client, intranet) plutôt que dépôt brut accessible
• Procédure documentée de désindexation Google Search Console pour les contenus déjà visibles
• Procédure de traitement des demandes de l'article 28.1 dans les délais (30 jours pour répondre)
• Revue périodique de l'exposition publique — au moins annuellement, et lors de chaque départ d'employé

Exemples concrets pour une PME

Erreur stratégique fréquente

Deux réalités possibles

Exemples d'application concrète

Procédure type pour une demande de désindexation

Quand une personne exerce son droit de l'article 28.1, l'organisation doit : (1) accuser réception et entamer le délai de 30 jours, (2) vérifier les conditions (loi/ordonnance, ou trois conditions cumulatives), (3) si applicable, retirer le contenu du site, demander la désindexation Google via Search Console, vérifier que le contenu n'est plus dans le cache, (4) confirmer par écrit à la personne.

Revue annuelle de l'exposition publique

Une bonne pratique consiste à intégrer une revue annuelle de l'exposition publique dans le programme PRP : recherche `site:domaine.com filetype:pdf`, vérification des pages Équipe et Conseil, scan EXIF d'un échantillon d'images, vérification des liens externes pointant vers d'anciens contenus. Documentée, datée, signée par le RPRP.

Photos d'événements et consentement

Lors d'un événement (formation, conférence, lancement), trois pratiques recommandées : (1) afficher un avis à l'entrée mentionnant les prises de vue prévues et les finalités, (2) prévoir une zone « sans photo » pour les personnes qui refusent, (3) demander un consentement écrit aux personnes au premier plan des photos qui seront publiées sur le site web.

Risques en cas de non-conformité

Sanctions juridiques

• Sanction administrative pécuniaire (art. 90.12) — jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial
• Amende pénale (art. 91) — de 15 000 $ à 25 M$ ou 4 % du CA mondial, doublée en récidive
• Ordonnance de cessation de diffusion (art. 28.1) — la CAI peut imposer le retrait et la désindexation
• Action privée — recours d'une personne ayant subi un préjudice du fait d'une publication non consentie
• Référence : décision biométrie 2024 — la CAI a démontré sa volonté de cesser activement les pratiques jugées non nécessaires

Coûts opérationnels

• Mise en conformité réactive sous pression d'une demande de désindexation
• Réponses individuelles à chaque ancien employé qui demande le retrait
• Procédure d'audit complet de l'exposition après une plainte (plusieurs jours de travail)
• Communications réputationnelles si une fuite est documentée publiquement
• Possible action en justice par une personne identifiable photographiée sans consentement

Une revue annuelle structurée prévient ces coûts — elle ne les crée pas.

Concrètement pour une PME

Lien avec la gouvernance PRP

Aucun module de la Formation Gouvernance PRP ne couvre l'exposition publique sur le site web — c'est un sujet exclusif à ce module. Le module Conservation, destruction, accès traite la suppression interne, mais pas la désindexation publique. Ce module-ci comble ce vide en ajoutant la dimension web à la gouvernance interne.

Concrètement

• Vos obligations existent dès qu'un seul renseignement personnel est publié sur votre site, qu'il soit visible directement ou indexé par Google.
• Mais sans revue d'exposition, vous ne pouvez ni démontrer que vous avez les consentements, ni répondre rapidement à une demande de l'article 28.1.
• Ce qui transforme la situation théorique en exposition réelle, c'est la première demande de désindexation, la première plainte CAI, ou le premier audit B2B.

La Formation Site web et Loi 25 met ce module en vedette parce qu'il est le seul à couvrir ce risque dans tout l'écosystème de formations PRP. C'est ici que se fait l'évaluation de ce qu'on a publié sans s'en rendre compte.

Faire auditer mon site web Planifier la formation