Quelles informations ne devrais-je pas afficher publiquement sur mon site?

On parle beaucoup des cookies, des bannières et des politiques de confidentialité. On parle rarement de ce qui est exposé directement, en clair, sur le site lui-même : la photo d'équipe avec les noms complets et les fonctions, le trombinoscope avec les courriels personnels, le PDF de procès-verbal mis en ligne en 2021 et indexé par Google, les coordonnées GPS encore présentes dans les images. Aucun module de la Formation Gouvernance PRP ne couvre ce sujet — parce que la gouvernance interne ne sait pas ce qu'on a involontairement publié. C'est un module 100 % site web, le seul qui s'attaque à ce que vous voyez sans le voir.

Les quatre fuites les plus fréquentes sur un site PME

1. Photos identifiantes sans consentement écrit

Photos d'équipe, photos d'événements, photos de clients dans des témoignages. La Loi 25 s'applique aux photos dans la mesure où elles contiennent des renseignements personnels ou permettent d'identifier une personne — ce qui inclut tout visage reconnaissable au premier plan. La publication exige un consentement écrit explicite (article 13), pas un consentement présumé issu d'une présence à un événement.

2. Listings d'employés trop détaillés

Pages « Notre équipe » ou « Conseil d'administration » qui affichent : nom complet, fonction, photo, mais aussi courriel personnel, téléphone direct, parfois adresse complète, biographie incluant des éléments familiaux. Ces informations dépassent le minimum nécessaire pour la finalité affichée (présentation professionnelle).

3. PDF indexés par Google

Anciens fichiers RH, listes de personnel, factures, procès-verbaux, propositions commerciales — uploadés au fil du temps dans `/wp-content/uploads/` ou équivalent, jamais supprimés, indexés par Google. Une recherche `site:votresite.com filetype:pdf` peut révéler des dizaines de documents oubliés.

4. Métadonnées EXIF dans les images

Les photos prises avec un smartphone ou un appareil contiennent souvent : coordonnées GPS précises, date et heure exactes, modèle d'appareil. Si elles sont uploadées sans traitement, elles révèlent la géolocalisation des bureaux, du domicile d'un employé qui télétravaille, ou les déplacements de l'équipe.

🎯 Diagnostic rapide : qu'est-ce que Google voit de votre site?

Trois tests, à faire vous-même en 5 minutes :

• Cherchez sur Google : site:votresite.com filetype:pdf. Combien de documents apparaissent? Tous sont-ils encore pertinents et autorisés à être publics?
• Listez les noms et courriels de vos employés visibles sur la page « Équipe ». Avez-vous le consentement écrit de chacun pour cette publication précise?
• Téléchargez une image récente de votre site et inspectez ses métadonnées EXIF (verexif.com ou exiftool). Y a-t-il des coordonnées GPS, dates précises, ou modèles d'appareils?

Si une réponse est inattendue à un seul test, votre site expose des renseignements que vous ne contrôliez pas.

Dans la réalité des PME québécoises

Cas réel simplifié

Quatre croyances erronées sur l'exposition publique

• « Si la photo est sur notre site, c'est qu'on avait le droit de la publier. » Faux. La majorité des photos d'équipe ou d'événement n'ont jamais fait l'objet d'un consentement écrit explicite. La présence à un événement ne vaut pas autorisation de publication.
• « Une fois supprimée, l'information disparaît. » Faux. Si Google a indexé un PDF, il reste accessible via le cache et les copies tant que la désindexation n'est pas demandée. La suppression du fichier ne suffit pas.
• « Les EXIF, c'est technique, c'est pas grave. » Faux. Les coordonnées GPS dans une photo permettent à un tiers de localiser des bureaux, des chantiers, le domicile d'un télétravailleur. C'est un risque concret pour la sécurité physique.
• « Robots.txt suffit pour bloquer Google. » Faux. Si Google ne voit pas le robots.txt, il ne respecte pas le « no-index ». La bonne pratique est `X-Robots-Tag: noindex` dans les en-têtes HTTP — pas le robots.txt qui peut au contraire empêcher Google de voir l'instruction de désindexation.

Ce que vous ne voyez plus sur votre site, Google le voit encore.

Site exposé / Site nettoyé

Ce que la Loi 25 implique concrètement

• Article 13 — pas de communication à un tiers sans consentement; consentement exprès pour les renseignements sensibles. La publication sur un site web est une communication au public.
• Article 28.1 — droit à la cessation de diffusion et à la désindexation : une personne peut exiger le retrait d'un renseignement la concernant si la diffusion contrevient à la loi ou cause un préjudice grave.
• Article 5 — minimisation : ne publier que les renseignements nécessaires à la finalité affichée.
• Décision CAI biométrie 2024 — illustre la rigueur du test de nécessité/proportionnalité. Transposable à toute publication de photos identifiantes.

Pourquoi c'est critique

• C'est la fuite la plus dommageable. Cookies et politique sont du formalisme; une photo d'employé sans consentement est nominative.
• C'est le plus facile à constater pour un visiteur informé. Aucune compétence technique nécessaire pour voir une page Équipe ou un PDF indexé.
• C'est ce qui déclenche les demandes de désindexation. Article 28.1 — vous devez y répondre dans les délais, et la simple existence des demandes est un signal de risque.

Concrètement pour une PME

Aucun module de la Formation Gouvernance PRP ne couvre l'exposition publique sur le site — c'est un sujet 100 % site web. Le module Conservation/destruction (G-M4) traite la suppression interne, mais pas la désindexation publique. Ce module-ci comble ce vide.

Faire auditer mon site web Planifier la formation