Votre organisme recueille des données personnelles. Les coordonnées de vos membres, les courriels de votre infolettre, les inscriptions à vos événements, parfois des renseignements bien plus sensibles. C’est normal, sans ces données, difficile de faire vivre une mission.
Ce qui l’est moins, c’est de ne pas dire clairement aux gens ce que vous faites de leurs informations. Une politique de confidentialité, c’est exactement ça : le document qui permet à votre public, à vos membres, à vos partenaires et à toute personne en relation avec vous de comprendre comment vous recueillez, utilisez et conservez leurs données.
Ce n’est pas un document réservé aux grandes organisations avec un service juridique, et vous n’avez pas à partir d’une page blanche. Voici pourquoi ça compte, ce qu’une bonne politique doit contenir, et un modèle que vous pouvez adapter dès aujourd’hui.
Pourquoi ça compte, au-delà de « c’est obligatoire »
Depuis l’entrée en vigueur de la Loi 25 au Québec et sous le régime de la LPRPDE (PIPEDA) au fédéral, les organismes qui recueillent des renseignements personnels ont des obligations concrètes : informer les personnes, obtenir leur consentement, nommer un ou une responsable de la protection des renseignements, et respecter leurs droits.
Mais réduire la politique de confidentialité à une case à cocher légale, c’est passer à côté de l’essentiel. Pour un OSBL, ce document est aussi :
- Un geste de confiance. Vos membres et vos partenaires vous confient leurs données. Leur expliquer clairement ce que vous en faites, c’est prendre leur vie privée au sérieux.
- Un outil de cohérence interne. Rédiger cette politique vous oblige à répondre à des questions que peu d’équipes se posent : où sont réellement stockées nos données? Qui y a accès? Que se passe-t-il si quelqu’un veut se faire oublier?
- Un filet en cas de problème. Si un incident survient, avoir documenté vos pratiques fait une réelle différence.
Les cinq questions auxquelles votre politique doit répondre
Une politique de confidentialité utile n’a pas besoin d’être longue. Elle doit répondre, en langage clair, à cinq questions :
- Quelles informations recueillons-nous?
- Pourquoi avons-nous besoin de ces informations?
- Où sont-elles stockées?
- Qui y a accès?
- Comment une personne peut-elle consulter, modifier ou supprimer ses informations?
Un principe avant tout : écrivez simplement. L’objectif n’est pas d’aligner des conditions d’utilisation en petits caractères, pleines de jargon juridique que personne ne lit. C’est de vous faire comprendre. Si une personne bénévole de votre organisme ne saisit pas votre politique à la première lecture, elle est trop compliquée.
Un modèle à copier et à adapter
Voici un modèle que vous pouvez reprendre, modifier et publier gratuitement pour votre organisme. Les passages entre crochets […] sont à personnaliser selon votre réalité.
Politique de confidentialité de [nom de votre organisme]
Dernière mise à jour : [date]
Introduction
Dans notre travail, nous portons une attention particulière à la protection de la vie privée. C’est pourquoi nous nous engageons à respecter la confidentialité des données personnelles que nous recueillons, et à n’en collecter que le strict nécessaire.
Pourquoi recueillons-nous vos données personnelles?
Pour mener à bien notre mission, vos données nous sont utiles à plusieurs niveaux :
- Vos coordonnées (nom, prénom, adresse courriel, numéro de téléphone) nous permettent de vous joindre, par exemple pour vous convoquer à notre assemblée générale annuelle;
- Votre adresse postale nous permet de [vérifier votre admissibilité selon nos statuts et règlements / vous faire parvenir des documents];
- Votre adresse courriel nous permet de vous envoyer notre infolettre, si vous y êtes abonné·e;
- [Ajoutez ici toute autre finalité propre à votre organisme.]
Comment recueillons-nous vos données?
Vos renseignements nous parviennent de plusieurs façons, et toujours parce que vous nous les transmettez :
- Lorsque vous communiquez avec nous par le formulaire de contact ou par courriel;
- Lorsque vous adhérez comme membre ou renouvelez votre adhésion;
- Lorsque vous vous inscrivez à l’un de nos événements;
- Lorsque vous naviguez sur notre site web;
- [Ajoutez vos propres cas : emprunt à la bibliothèque, don, bénévolat, etc.]
Où sont enregistrées vos données?
Nous choisissons nos prestataires en cohérence avec nos valeurs, en privilégiant l’hébergement au Canada autant que possible.
- Stockage principal : nos données sont conservées sur [préciser : services infonuagiques de Microsoft / Google situés au Canada, serveur d’un hébergeur canadien, etc.].
- Infolettre : les coordonnées des personnes abonnées sont enregistrées sur [Cyberimpact / Mailchimp / autre].
- Inscription aux événements : lorsque nous utilisons [Eventbrite / autre], cette plateforme recueille vos coordonnées pour nous les transmettre.
- Adhésion et site web : vos données transitent par notre site, hébergé par [nom de l’hébergeur].
Qui a accès à vos données?
L’accès à vos renseignements est restreint aux personnes de notre organisme qui en ont réellement besoin. Leurs accès sont protégés par une authentification à deux facteurs, et elles sont tenues de respecter la confidentialité de vos informations.
Nous ne vendons pas vos données et ne les communiquons à aucun tiers à des fins commerciales. En matière de sécurité informatique, le risque zéro n’existe pas : nous mettons en place des mesures raisonnables pour vous protéger, et nous limitons la collecte au strict nécessaire, ce qui demeure la meilleure protection.
Quels sont vos droits?
Conformément aux lois canadiennes et québécoises applicables, vous avez le droit de :
- consulter les renseignements que nous détenons à votre sujet;
- corriger un renseignement inexact ou incomplet;
- retirer votre consentement, par exemple en vous désinscrivant de l’infolettre tout en restant membre;
- demander la suppression de vos renseignements, sous réserve de nos obligations légales.
Comment exercer vos droits?
Pour toute question ou demande concernant vos renseignements personnels, écrivez-nous à [adresse courriel]. La personne responsable de la protection des renseignements personnels au sein de notre organisme est [nom], joignable à la même adresse. Nous nous engageons à répondre dans un délai maximal de 30 jours.
Modifications de cette politique
Cette politique peut être mise à jour de temps à autre. Toute modification sera publiée sur cette page, avec la date de mise à jour.
Trois conseils pour bien l’utiliser
- Adaptez-la vraiment. Un modèle est un point de départ, pas un copier-coller. Prenez le temps de vérifier chaque affirmation : est-ce bien Microsoft, Google ou autre chose qui héberge vos données? Utilisez-vous vraiment Eventbrite? Une politique qui décrit des pratiques que vous n’avez pas est pire que pas de politique du tout.
- Faites-la relire par une personne du domaine juridique. Une fois remplie, une révision par un ou une professionnelle vous évitera les mauvaises surprises, surtout si vous manipulez des données sensibles.
- Rendez-la accessible. Publiez-la directement sur votre site web, à un endroit facile à trouver. Une politique enfermée dans un classeur ne protège personne.
Par où commencer si le brouillard est épais
Rédiger cette politique, c’est souvent l’occasion de découvrir qu’on ne sait pas exactement où vivent nos données ni qui y a accès. C’est parfaitement normal, et c’est précisément le genre de clarté qu’un diagnostic des pratiques numériques permet d’obtenir : un portrait clair de vos accès, de vos outils, de vos données et de leur niveau de sensibilité.
Si vous voulez en parler, une première rencontre de trente minutes suffit pour comprendre votre contexte et voir par où commencer. Gratuit, sans engagement, sans pression commerciale.
Ce modèle est adapté du « Modèle de politique de confidentialité des données » publié par Aynils sous licence Creative Commons CC BY-SA 4.0. Vous pouvez le partager et l’adapter librement, à condition de citer la source et de conserver la même licence.
