Protection des renseignements personnels et langage clair : 3 choses à savoir
Les règles en matière de protection des renseignements personnels que le Québec et le Canada s’apprêtent à adopter pourraient vous obliger à revoir complètement le contenu de votre politique concernant la vie privée. Êtes-vous prêt ? Voici trois points essentiels pour une transformation réussie.
1. Vous aurez l’obligation de produire des textes en langage clair et simple
Si on se fie aux projets de loi actuels, ne pas être clair vous exposera à de lourdes amendes. Au-delà des pénalités prévues, manquer de transparence en matière de protection de la vie privée peut nuire à la réputation de votre organisation. Vos communications doivent donc bien refléter vos pratiques.
Quelles sont les organisations concernées ?
Que vous soyez un acteur public ou privé, assujetti aux règles fédérales ou provinciales, les principes de design d’information en langage clair sont essentiellement les mêmes.
Votre Politique de protection des renseignements personnels est probablement votre outil de communication le plus important à cet égard, et celui sur lequel vous devriez concentrer vos énergies. Mais votre obligation de rédiger en langage clair et simple ne s’y limite pas. Pensez notamment aux avis, aux formulaires de consentement ou aux courriels que vous produisez. Toutes ces communications devront être dans un langage clair et simple.
Clair et simple pour qui?
Au fédéral, les bonnes pratiques suggérées indiquent déjà que vous devez : « expliquer vos pratiques de manière à vous faire comprendre par l’utilisateur moyen qui consulte votre site ». Les Lignes directrices sur l’obtention d’un consentement valable vont dans le même sens.
[Mise à jour le 17 novembre 2020]
Le projet de loi C-11 prévoit des obligations de langage clair pour:
Obtenir le consentement des consommateurs
L’information contenue dans les politiques de protection de la vie privée (qui doivent aussi être facilement accessibles)
Les demandes d’accès aux renseignements personnels recueillis
[Fin de la mise à jour]
Au provincial, le projet de loi 64 (#pl64) va légèrement plus loin en introduisant, un peu par accident, le concept de “public cible” [en date du 20 octobre 2020].
Politique de confidentialité
8.2. La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l’entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l’avis dont toute modification à cette politique doit faire l’objet.
Consentement
14. Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs, distinctement de toute autre information communiquée à la personne concernée. Lorsque celle-ci le requiert, il lui est prêté assistance afin de l’aider à comprendre la portée du consentement demandé.
Le contenu devra donc être "rédigé en termes simples et clairs" et "diffusé par tout moyen propre à atteindre les personnes concernées". Lorsqu'un consentement est requis, il doit être demandé distinctement, "en termes simples et clairs" et viser des “fins spécifiques”, de manière à permettre à la personne concernée de donner un consentement “manifeste, libre et éclairé" .
Une question se pose déjà: avec la multiplication des demandes de consentement spécifiques, comment éviter la fatigue cognitive, parfois appelée fatigue du consentement ou, en anglais, consent fatigue?
Des règlements et des lignes directrices viendront fort probablement préciser les attentes provinciales en matière de langage clair et simple.
Un an pour se préparer au Québec?!
Votre politique actuelle requiert un Ph.D. pour être comprise? Vous n’êtes pas les seuls!
Il vous faudra néanmoins réagir vite après l’entrée en vigueur du projet de loi 64. En effet, selon la mouture actuelle du texte, le projet de loi 64 aura force de loi 1 an après avoir reçu la sanction du parlement. Au moment d’écrire ces mots, le texte est étudié en commission parlementaire. On peut imaginer que le vote aura lieu au plus tard d’ici la fin de l’année 2021 et que vous aurez ensuite 1 an jour pour jour pour vous conformer aux nouvelles exigences. Disons… décembre 2022!
C’est demain matin, si vous considérez l’ampleur de la tâche qui est devant vous en termes de mise en conformité!
Comment vous préparer?
En attendant, voici déjà quelques bonnes pratiques dont la mise en œuvre est attendue par le Commissariat à la vie privée, et qui s’inspirent directement des lignes directrices européennes sur la transparence et sur le consentement, adoptées à la suite du Règlement général sur la protection des données (RGPD).
Évitez le jargon juridique. Une évidence pas toujours facile à mettre en pratique !
Construisez votre politique de manière à en faciliter la consultation. Utiliser des « termes simples et clairs », cela implique plus que des mots de tous les jours et des phrases courtes. C’est une question d’ergonomie et de navigabilité. L’information doit donc être présentée dans un format convivial, et divisée à l’aide de titres clairs et informatifs.
Prévenez la densité et la surcharge d’informations. Même si la précision peut vous sembler synonyme de transparence, votre politique doit être aussi concise que possible. Bien sûr, cette concision ne s’obtient pas en condensant l’information. Trouvez un équilibre pour que chaque mot compte et visez un temps de lecture raisonnable pour vos lecteurs.
Utilisez des outils de visualisation au besoin. Les schémas peuvent être efficaces pour expliquer de l’information multidimensionnelle. Par exemple, illustrer graphiquement un processus de plainte qui s’échelonne dans le temps pourrait bien valoir mille mots !
2. Placez votre public cible au centre de votre démarche, et documentez vos décisions
Comment prouver que vos contenus sont véritablement clairs et simples? Indice: les professionnels spécialisés en matière de protection de la vie privée ne sont pas les mieux placés pour évaluer si un texte est véritablement clair et simple.
Voici quelques pistes de réflexion pour éviter les ennuis.
Définissez votre public cible avec précision
De manière consciente et délibérée, demandez-vous qui sont vos clients ou vos usagers. Définissez leurs caractéristiques, leurs particularités, leurs besoins et leurs attentes en matière de vie privée.
Afin de documenter qui est votre public cible et quels sont ses besoins, rassemblez les données que votre organisation détient déjà au sein de divers services (ventes et marketing, service à la clientèle, plaintes et litiges). Allez aussi chercher des statistiques démographiques sur les segments de population que vous desservez. Et prenez le temps d'examiner le tout en équipe!
N’oubliez pas que votre public cible peut évoluer avec le temps. Votre organisation avait comme clientèle des jeunes de 18 à 25 ans il y a 10 ans ? Ont-ils vieillis avec vous et ont maintenant entre 28 et 35 ans ? Mauvais élève, Instagram comportait il y a quelques années un nombre important d’utilisateurs ayant entre 13 et 18 ans. Mais sa politique de confidentialité était tout sauf adaptée à ces utilisateurs. Et les journalistes l’ont fait remarquer à plusieurs reprises !
Créez des personas pour susciter l’empathie
Les personas sont des représentations fictives mais réalistes de votre public cible. Ils synthétisent les données que vous avez rassemblées, tout en suscitant de l’empathie auprès des membres de votre équipe. Donnez-leur un nom, un visage, une histoire, des intentions, qui permettent de garder en tête les besoins du public cible.
Voici un exemple. Christina, 35 ans, est mère de deux enfants et infirmière à temps plein. Avant de s’inscrire à votre service, elle consulte votre politique. Elle le fait sur son cellulaire pendant un de ses seuls moments libres de sa journée : dans un bus plutôt bruyant, en allant chercher ses enfants à l’école. Elle dispose d’environ 10 minutes. Christina a tendance à décrocher si le contenu ne l’interpelle pas après quelques secondes. Son objectif réel ? Elle veut savoir si vous utiliserez les photos de ses enfants pour reconnaitre leurs visages et si vous allez vendre des informations à son sujet. Si vous la rassurez rapidement, elle s’inscrira à votre service.
Conservez les versions de travail et documentez vos décisions
La transformation d’une politique est un processus. Gardez en tête que plusieurs versions seront certainement requises pour finaliser votre politique. L’important est de se doter d’un outil qui permet de garder une trace des changements et surtout, pourquoi ces changements ont été apportés.
3. Testez vos contenus
La clarté et la simplicité s’évaluent du point de vue des lecteurs, pas du point de vue des concepteurs. Comme organisation, adoptez une attitude agnostique vis-à-vis de la clarté et de la simplicité des contenus que vous produisez. Les tests de compréhension sont presque toujours révélateurs d’enjeux insoupçonnés, même pour les rédacteurs les plus aguerris !
C’est non seulement une bonne idée et une bonne pratique, mais c’est aussi une attente claire du côté du Commissariat à la vie privée, qui s’attend à ce que les consommateurs concernés soient consultés lors de l’élaboration de votre politique visant la collecte et l’utilisation de leurs renseignements personnels.
Voici quelques éléments à considérer
Chiffrez le temps de lecture requis en fonction du nombre de mots, et demandez-vous s’il est réaliste pour vos lecteurs.
Utilisez les tests de lisibilité à titre indicatif (avec beaucoup, beaucoup de précautions).
Recrutez des testeurs aux profils variés, mais toujours représentatifs de votre public cible.
Sélectionnez un nombre de testeurs adapté à votre projet. Des tests auprès de quelques personnes ne sont peut-être pas généralisables, mais ils ont souvent une très forte valeur ajoutée et permettent de savoir ce qui ne va pas.
Placez vos testeurs dans des conditions qui se rapprochent le plus possible du contexte réel d’utilisation. Lors de tests en laboratoire, l'attention des lecteurs est souvent focalisée pendant des périodes beaucoup plus longues que ce qui se produirait dans la "vraie vie".
Documentez les résultats et dressez la liste des changements à apporter.
Recommencez le processus jusqu'à ce que vous ayez atteint un résultat satisfaisant !
Pour en savoir plus
Inscrivez-vous à notre webinaire sur la protection des renseignements personnels et le langage clair!
Découvrez notre service de simplification de politiques de protection des renseignements personnels.
