Cas pratique de la loi 25 - Évaluation des facteurs relatifs à la vie privée

🌘 Mise en situation

• Projet: Création d'une séquence d'abonnement de 3 courriels avec livraison d'un produit gratuit PDF au premier
• Options étudiées: ConvertKit, Cakemail et MailerLite
• Hypothèses:
  • Nous allons utiliser seulement des informations disponibles publiquement, sans nous créer de compte.
  • Le parcours est organique seulement pour cet exemple. Un parcours utilisant de la publicité pourra être basé sur ce qu'on va faire aujourd'hui, mais en ajoutant les outils publicitaires et en faisant un audit de leur accord de gestion des données (ce qu'on ne fera pas aujourd'hui).

🌘 Processus

• Tracer le parcours client désiré
• Étudier si chaque logiciel permet de réaliser le parcours client
• Noter les données personnelles recueillies à chaque étape
• Regarder comment sont traitées les données personnelles dans chaque logiciel
• Faire une évaluation des facteurs relatifs à la vie privée
• Déterminer les logiciels candidats et définir les autres critères

🌘 Tracer le parcours client désiré

À cette étape, on ne se préoccupe pas encore de la loi 25.
On liste toutes les étapes du processus, qu'elles soient faites automatiquement ou manuellement. On met autant les actions client que les actions du côté de l'entreprise.

• Parcours typique de lead magnet

  • Client: Cliquer sur une publication sur Instagram
  • Client: Visiter la page web
  • Client: Remplir le formulaire d'inscription
  • Entreprise: Ajouter à l'infolettre
  • Entreprise: Envoyer le courriel de confirmation d'abonnement
  • Client: Cliquer sur le lien du formulaire de confirmation d'abonnement
  • Client: Compléter le formulaire de confirmation d'abonnement
  • Entreprise: Envoyer le courriel avec le lien de téléchargement du produit gratuit
  • Client: Téléchargement du produit gratuit

• J'utilise le logiciel draw.io pour l'illustrer visuellement

🌘 Étudier si chaque logiciel permet de réaliser le parcours client

🌘 Les logiciels requis

On a besoin de quels briques technologiques ?

• Instagram
• Une page web
• Un logiciel d'infolettre

🌘 Les fonctionnalités requises

On a besoin de quelle fonctionnalités de ces outils ?

• Un lien cliquable sur Instagram
• Un formulaire d'inscription sur la page web
• Un formulaire de confirmation fourni par le logiciel d'infolettre

🌘 Les fonctionnalités utiles

Quels sont les "nice to have" ?

• Un envoi automatisé à l'inscription
• En français

🌘 L'inventaire

On peut généralement trouver l'information requise pour faire notre inventaire des fonctionnalités sur le site web de l'entreprise.

Cependant, plusieurs sites web sont de vrais labyrinthes, donc tu peux aussi utiliser un moteur de recherche avec le mot clé site: pour restreindre les résultats au site web du produit que tu examines.

🌘 ConvertKit

Source: https://convertkit.com/

Source: https://search.brave.com/search?q=site%3Aconvertkit.com+double+opt-in&source=desktop

Source: https://convertkit.com/features/automations

• [x] Page web (landing page)
• [x] Formulaire d'inscription (subscription form)
• [x] Confirmation d'abonnement (double opt-in)
• [x] Envoi automatisé à l'inscription (autoresponder)
• [ ] En français

🌘 Cakemail

Source: https://support.cakemail.com/hc/en-us/articles/360059001713-Glossary-of-terms

Source: https://support.cakemail.com/hc/en-us/articles/360058099873-Setting-up-double-opt-in-and-getting-better-quality-lists

Source: https://fr.cakemail.ca/

• [ ] Page web (landing page)
• [x] Formulaire d'inscription (subscription form)
• [x] Confirmation d'abonnement (double opt-in)
• [x] Envoi automatisé à l'inscription (autoresponder)
• [x] En français

🌘 MailerLite

Source: https://www.mailerlite.com

Source: https://www.mailerlite.com/help/how-to-use-double-opt-in-when-collecting-subscribers

• [x] Page web (landing page)
• [x] Formulaire d'inscription (subscription form)
• [x] Confirmation d'abonnement (double opt-in)
• [x] Envoi automatisé à l'inscription (autoresponder)
• [ ] En français

🌘 Tableau d'importance

🌘 Noter les données personnelles recueillies à chaque étape

Comme les données personnelles proviennent soit du client ou de sources externes à l'entreprise, on peut enlever les étapes "Entreprise" du parcours client. Ce qui nous intéresse ici, ce sont seulement les données qui se rendent à l'entreprise, pas aux tierces parties comme Instagram.

Tu peux retrouver un inventaire relativement complet des types de données personnelles que tu pourrais rencontrer ici: Aide-mémoire sur les données personnelles.

🌘 Cliquer sur une publication sur Instagram

Pour voir les statistiques que nous fournit Instagram, on va accéder au Meta Business Suite à l'adresse: https://business.facebook.com/.

On va rapidement remarquer qu'Instagram ne fournit que des volumes d'interactions par publication et par jour, et aucune donnée individuelle. Ils les gardent pour eux, c'est ça leur modèle d'affaires.

🌘 Visiter la page web

Lors de la visite de ton site web, il y a capture de l'adresse IP et des caractéristiques de base du navigateur. C'est normal, puisque le travail du serveur web est d'envoyer la page à l'adresse IP qui l'a demandée dans un format que le navigateur peut afficher.

L'adresse IP est une donnée personnelle qui permet d'identification indirecte de la personne qui visite. l'empreinte du navigateur est aussi une méthode de pistage plus complexe. On doit l'ajouter à notre liste de données.

Si tu as installé d'autres outils tels que Google Analytics ou Matomo pour faire le suivi de ton trafic web, tu dois aussi ajouter ces informations à la liste de données. Ces outils fonctionnement généralement à l'aide de cookies ou de code JavaScript qui vont capturer l'adresse IP, la page visitée, la date de visite, le temps de visite et les liens cliqués. Tu as accès à ces donnes de navigation au niveau individuel dans le tableau de bord de ces outils.

Un bon moyen de voir le comportement de son site web est d'utiliser un navigateur en mode incognito et d'ouvrir les outils de développement.

Tu peux y accéder avec la touche F12 sur ton clavier, ou avec le raccourci Control+Shift+I.

Ensuite, positionne-toi sur l'onglet Network, puis rafraîchis la page avec le bouton du navigateur, la touche F5 ou le raccourci Control+R.

Généralement, le premier résultat sera le document principal de la page web (1). Positionne-toi dessus et va dans l'onglet Cookies. Ça permet de voir les cookies (2) et les scripts (3) qui sont utilisés par ton site.

S'il y a aucun cookies, bonne nouvelle ! S'il y en a, on va voir comment les traiter.

S'il y a des scripts, il faut vérifier si ce sont des scripts locaux ou distants. Les scripts locaux vont généralement venir des extensions que tu as installées sur ton site web. Les scripts distants viennent de fournisseurs tiers. Tu peux voir ça en cliquant sur la case 3rd party requests en haut.

Si tu as des cookies tiers, tu dois installer une extension de consentement sur ton site web. Ces extensions vont automatiquement faire l'inventaire des cookies pour lesquels il faut demander un consentement.

🌘 Remplir le formulaire d'inscription

Dans ton formulaire d'inscription, tu vas, au minimum, demander l'adresse courriel. C'est aussi une pratique courante de demander le prénom pour pouvoir personnaliser les courriels.

Si ton formulaire est hébergé sous forme de module intégré à ton site web, alors les cookies liés à ce module vont être des cookies tiers. Par contre, si tu rediriges les gens vers un formulaire d'inscription fourni par ton logiciel d’infolettre, c'est eux qui gèrent les cookies à ce moment là.

Voici un exemple de mon formulaire d'infolettre:

🌘 Cliquer sur le lien du formulaire de confirmation d'abonnement

Ce lien ne génère pas de données personnelles additionnelles.

🌘 Compléter le formulaire de confirmation d'abonnement

En confirmant la validité de son abonnement, la personne augmente la qualité des données personnelles reçues en confirmant qu'il s'agit d'un courriel valide.

🌘 Téléchargement du produit gratuit

Certains logiciels permettent de générer un lien personnalisé pour le téléchargement du produit gratuit. Comme ça, tu sais exactement depuis quelle adresse courriel le produit a été téléchargé, et quand (marqueur de temps).

C'est une forme de pistage puisque c'est basé sur des données personnelles que tu as déjà recueillies. Le pistage, c'est lorsque tu as plusieurs occurrences des données personnelles associées à des événements différents.

🌘 Identifier les risques associés aux données personnelles recueillies.

🌘 Données inférées

Un des éléments de données personnelles qu'on peut inférer avec une liste d'adresses courriel est l'appartenance à un groupe. La nature de ton entreprise joue beaucoup ici. Si tu as un commerce de détail d'alimentation, c'est différent que si tu as un service d'accompagnement aux victimes de violence conjugales.

La détermination des risques et des moyens de précaution peut se faire à l'aide d'un tableau des types de données et des risques associés. Tu le retrouveras dans les ressources qui viennent avec l'enregistrement.

🌘 Usage des données

L'usage des données va aussi avoir une influence sur les moyens de précaution. Par exemple, ce serait inutile d'anonymiser les données de courriel puisqu'on en a besoin pour envoyer l'infolettre.

Par contre, on peut anonymiser l'adresse IP en enlevant les deux derniers nombres. On peut alors déterminer la géolocalisation approximative au niveau de la région administrative ou de la ville au Québec. C'est comme ça que les sites web savent de quel pays tu proviens et peuvent s'ajuster automatiquement.

🌘 Niveau de risque

Le niveau de risque est subjectif et va avec la sensibilité des données. Il augmente aussi si les données sont utilisées plusieurs fois parce qu'il est possible de faire du pistage à ce moment là.

🌘 Tableau sommaire des données personnelles

Ce sont les 6 premières colonnes de ce tableau que tu peux mettre sur ton site web dans l'avis de confidentialité.

🌘 Faire une évaluation des facteurs relatifs à la vie privée

🌘 Le contexte

• Quelles lois sont concernées ?
  • Loi 25 au Québec
  • Loi anti-pourriel au Canada
• Ton ordre professionnel ?
  • Aucun
• Qu'est-ce qui est demandé par tes assurances ?
  • Mesures de cybersécurité de base
• As-tu des contrats avec des clauses de confidentialité ?
  • Non
• As-tu signé des ententes de non-divulgation ?
  • Non
• Est-ce que ton domaine d'activité a des normes à respecter ?
  • Non

🌘 Risques d'atteinte à la vie privée

• Pourquoi ce projet ?
  • Développer une liste d'abonnement à une infolettre en offrant un produit gratuit en prime (la finalité ici présentée aux visiteurs du site ne doit pas être le produit gratuit, mais l'abonnement à l'infolettre).
• Quels logiciels sont évalués ?
  • ConvertKit
  • Cakemail
  • MailerLite
• Est-ce que ces logiciels ont des accords (addendum) de traitement des données (DPA) applicables aux lois identifiées?
  • ConvertKit: Non disponible publiquement https://legal.convertkit.com/dpa
  • Cakemail: https://www.cakemail.fr/mentions-legales/data-processing-addendum
  • MailerLite: https://www.mailerlite.com/legal/data-processing-agreement
• Quelle est la localisation des données ?
  • ConvertKit: États-Unis
    • https://convertkit.com/privacy
  • Cakemail: Canada
    • https://fr.cakemail.ca/legal/politique-de-confidentialité
  • MailerLite: Union Européenne
    • https://www.mailerlite.com/legal/security-statement

🌘 Tableau de décision

Voici un exemple de tableau de décision pour ce cas d'étude basé sur les logiciels d'infolettre.

🌘 Tâches à faire

• Faire une cartographie du parcours client
  • Fait précédemment
• Lister les caractéristiques des données
  • Volume proportionnel au nombre de personnes abonnées
  • Aucune données massives
  • Données tabulaires (enregistrements)
• Faire une cartographie des flux de données en combinant le parcours client avec les caractéristiques des données.
  • Voir le tableau sommaire
• Identifier les techniques de traitement des données utilisées
  • Stockage
  • Détermination de la géolocalisation par adresse IP
• Lister les parties prenantes
  • Entreprise
  • Fournisseur courriel
  • Personne abonnée
• Inventaire des renseignements et risques
  • Voir le tableau sommaire
• Enjeux éthiques
  • Comme nous avons identifié, selon la nature de l'entreprise qui offre l'infolettre, il peut y avoir un lien potentiel avec une appartenance ou une situation en lien avec le secteur d'affaires de l'entreprise.

🌘 Stratégies pour réduire les risques de cybersécurité

Quelles stratégies sont possibles:

🌘 Conclusion

Ce que nous avons vu ici représente un scénario complet d'application de la loi 25. Le secret dans les processus complexes est de les décomposer en étapes plus simples et de regarder quelles données concernent uniquement ce processus.

L'utilisation d'un seul fichier de données pour tout mettre dedans peut être une bonne idée pour voir quelles données servent dans plusieurs processus clients.

Quand ça se produit, une fois le travail complété pour chaque parcours, il faut ensuite augmenter le niveau de risque partout en prenant en compte du volume d'utilisation de la donnée. On peut utiliser une colonne séparée pour ça pour garder une trace des niveaux de risque individuels.

Un logiciel de bases de données comme AirTable ou Notion (ou une version libre comme NocoDB) peut être un bon allié pour ce genre de tâches. Assure-toi d'avoir des sauvegardes et de bien gérer les accès avec la double authentification, lorsque disponible. Ce genre d'information est précieuse pour les pirates !

🌘 Ressources

• Commission d'accès à l'information - Principaux changements aux lois sur la protection des renseignements personnels
• Gouvernement du Québec - Entrée en vigueur des nouvelles dispositions de la Loi 25 -
• Mesprocedures.ca - Modèles gratuits de procédures
• Politique de confidentialité de jevalide.ca
• Gouvernement du Québec - Conseils en cybersécurité
• Gouvernement du Canada - Plateforme Pensez Cybersécurité
• Commissariat à la protection de la vie privée du Canada - Protection de la vie privée en ligne)
• République Française - Sécuriser son organisation