Comment convertir votre politique interne
en politique publique conforme à publier sur le site?

La politique interne décrit ce que vous faites, à l'intention de votre équipe — c'est un document opérationnel. La politique publique décrit ce que vous faites avec les renseignements du visiteur, à son intention — c'est un document de transparence accessible depuis chaque page du site. La conversion n'est pas un copier-coller : le langage change, certaines sections internes disparaissent, d'autres sont enrichies par les inventaires construits aux ateliers précédents. Cet atelier transmet la trame de conversion et la liste de validation finale.

Pour la théorie de base — référez-vous d'abord à

Ce que vous apportez à l'atelier

L'entrée de cet atelier est triple : la politique interne construite dans la formation Mise en place gouvernance partie 1 (livrable du module Politique de confidentialité), le registre étendu issu de l'atelier 1 (collectes web documentées) et le tableau des outils tiers issu de l'atelier 2 (sous-traitants identifiés avec localisation et transferts).

Si vous arrivez sans la politique interne, commencez par le module Politique de confidentialité — la démarche de cet atelier suppose que ce document existe déjà. Les ateliers 1 et 2 sont également des prérequis : la politique publique cite ce qui y a été inventorié.

La démarche concrète — étape par étape

Voici la séquence transmise pendant l'atelier, illustrée sur le cas-modèle d'une PME québécoise (entreprise électricienne avec site WordPress comportant une page de présentation, un formulaire de contact, une page de demande de soumission et une inscription à l'infolettre). Vous adaptez ensuite à votre propre site.

Étape 1 — Ouvrir la politique interne et identifier les sections transposables

Ouvrez la politique interne et lisez-la section par section. La majorité des sections sont transposables — identité du responsable, finalités, durées, droits, RPRP. Quelques sections restent internes et ne migrent pas vers la version publique : procédures opérationnelles détaillées, noms des employés ayant accès à telle ou telle catégorie, gabarits internes de traitement d'incident. Marquez clairement ce qui part en public et ce qui reste interne.

Étape 2 — Convertir le langage technique vers le langage accessible public

Une politique publique se lit en 3 à 5 minutes par un visiteur non spécialisé. Trois transformations courantes :

• Phrases courtes — une idée par phrase, jamais plus de 25-30 mots.
• Structure scan — titres clairs, listes à puces, paragraphes courts ; le visiteur scanne d'abord pour trouver l'information qu'il cherche.
• Jargon expliqué ou évité — « renseignement personnel » se garde (terme légal), mais « finalité » devient « pourquoi nous collectons », « base légale » devient « ce qui nous autorise à collecter ».

Sur le cas-modèle, la section interne « Le traitement des renseignements collectés via le formulaire de soumission s'effectue conformément aux finalités déclarées dans le registre » se convertit en : « Quand vous remplissez une demande de soumission, nous utilisons vos renseignements pour vous rappeler, planifier une visite et préparer votre estimation. Rien d'autre. ».

Étape 3 — Intégrer les inventaires construits aux ateliers précédents

La politique publique gagne en précision et en crédibilité quand elle cite les inventaires construits :

• Sous-traitants identifiés à l'atelier 2 — la politique nomme les principaux (« nous utilisons Google Analytics pour mesurer la fréquentation, Mailchimp pour notre infolettre, Stripe pour les paiements en ligne »).
• Transferts hors Québec — la politique signale clairement les transferts (États-Unis pour Google et Mailchimp, etc.) avec mention du mécanisme contractuel (clauses types).
• Durées de conservation par catégorie — la politique reprend les durées documentées au registre, pas des formulations vagues type « le temps nécessaire ».
• Catégories collectées par formulaire — la politique liste les types de renseignements collectés à chaque point d'entrée (formulaire de contact, demande de soumission, infolettre).

Étape 4 — Vérifier que les sections obligatoires sont toutes couvertes

Avant publication, une liste de validation est passée :

• Identité et coordonnées du responsable du traitement
• Coordonnées du RPRP (nom, fonction, courriel, téléphone)
• Finalités précises de chaque collecte
• Catégories de renseignements et catégories de personnes concernées
• Bases légales et sources de la collecte
• Tiers à qui les renseignements peuvent être communiqués (sous-traitants nommés)
• Transferts hors Québec et mécanisme applicable
• Durées de conservation par catégorie
• Droits des personnes (accès, rectification, retrait, portabilité, désindexation) et procédure d'exercice
• Mécanisme de plainte et coordonnées de la Commission d'accès à l'information du Québec
• Date d'entrée en vigueur et date de dernière mise à jour

Une section manquante = revoir avant publication.

Étape 5 — Choisir le format de publication

Trois principes non négociables pour le format :

• HTML accessible — pas seulement un PDF téléchargeable. Le visiteur lit la politique dans le site, sans téléchargement.
• Lien permanent dans le pied de chaque page — « Politique de confidentialité » accessible depuis n'importe où, en un clic.
• Version multilingue si site bilingue — la politique existe dans chaque langue du site, avec contenu équivalent (pas un résumé court dans une langue et un texte complet dans l'autre).

Étape 6 — Mettre en ligne avec dates visibles et revue annuelle

La page publiée affiche en haut la date d'entrée en vigueur et la date de dernière mise à jour. Une revue annuelle systématique est planifiée (idéalement couplée à la revue du registre faite à l'atelier 1). Chaque changement matériel (nouveau sous-traitant, nouvelle finalité, modification des durées) déclenche une mise à jour avec date révisée et, si pertinent, un avis ponctuel aux visiteurs récurrents ou aux abonnés à l'infolettre.

Outils et gabarits transmis pendant l'atelier

• Trame de conversion section par section — politique interne → politique publique, avec exemples de reformulation langage technique → langage accessible.
• Liste de validation des sections obligatoires — à cocher avant publication ; une section manquante bloque la mise en ligne.
• Modèle d'avis de mise à jour — pour signaler aux visiteurs récurrents ou aux abonnés à l'infolettre un changement matériel.
• Procédure d'arrimage au registre — la politique publique cite ce que le registre documente ; les deux documents doivent rester cohérents.

Ces outils sont à appliquer ensuite, à votre rythme, sur votre propre politique interne et votre propre site. L'atelier transmet la méthode sur le cas-modèle ; l'application complète à votre organisation se fait après la formation.

🌐 Dimension internationale

Une politique publique multi-régimes mentionne explicitement les juridictions qui s'appliquent selon le visiteur :

• Loi 25 (Québec) — toujours applicable à un site exploité par une organisation québécoise, même si le visiteur est ailleurs.
• RGPD (Union européenne) — applicable si vous offrez des biens ou services à des résidents de l'UE ou si vous suivez leur comportement. Une PME électricienne du Saguenay sans clientèle UE n'est en principe pas concernée — mais Google Analytics suit potentiellement des visiteurs UE en transit.
• CCPA / CPRA (Californie) — applicable au-delà d'un seuil de chiffre d'affaires ou de volume de données ; rare pour une PME locale, mais à connaître.

Côté visiteur, la politique mentionne les transferts internationaux (et pas seulement côté sous-traitants — qui est la mention de l'atelier 2). Si site bilingue ou multilingue, la politique existe dans chaque langue avec contenu équivalent. Pour la base conceptuelle multi-régimes, voir la formation Initiation aux normes internationales.

Pièges à éviter lors de la transposition

En résumé

Cet atelier 3 ne vous redonne pas la théorie du Bloc 1 site web — il vous donne la démarche pour partir de votre politique interne existante et la convertir en politique publique conforme, en intégrant les inventaires construits aux ateliers 1 et 2. Plus la liste de validation des sections obligatoires à cocher avant publication. L'atelier suivant rend le RPRP visible et active la grille EFVP avant chaque nouvel outil web.