Les critères d'un consentement valide
Sous la Loi 25, le consentement à la collecte et à l'utilisation de renseignements personnels doit répondre à quatre critères :
Manifeste
Le consentement doit résulter d'un geste clair et positif. Le silence ou l'inaction ne constitue pas un consentement.
Libre
Le consentement ne peut pas être une condition préalable à l'obtention d'un produit ou service, sauf si la collecte est nécessaire au service.
Éclairé
La personne doit comprendre clairement à quoi elle consent : quelles données, pour quelles fins, pendant combien de temps.
Spécifique
Le consentement doit être donné pour une fin précise. Pas de consentement « fourre-tout » couvrant toutes les utilisations possibles.
Consentement explicite vs implicite
La Loi 25 distingue deux formes de consentement :
- Consentement explicite : requis pour les renseignements sensibles (données de santé, biométriques, financières). La personne doit poser un geste affirmatif clair (cocher une case, signer un formulaire).
- Consentement implicite : peut être utilisé dans certains cas pour des renseignements non sensibles, lorsque la finalité de la collecte est évidente dans le contexte. Toutefois, la tendance est d'exiger un consentement plus explicite.
Cas pratiques
Formulaires web
Chaque formulaire de collecte de données doit clairement indiquer pourquoi les données sont collectées. Pour les inscriptions à une infolettre ou à des communications marketing, une case à cocher séparée (non pré-cochée) est recommandée.
Cookies et témoins
La Loi 25 exige que les utilisateurs soient informés des cookies utilisés et de leur finalité. Pour les cookies non essentiels (analytique, publicité, réseaux sociaux), le consentement doit être obtenu avant leur activation. Les cookies essentiels au fonctionnement du site n'exigent pas de consentement, mais doivent être mentionnés.
Communications marketing
L'envoi de communications marketing (infolettres, promotions, courriels commerciaux) nécessite un consentement distinct. La personne doit pouvoir se désabonner facilement à tout moment. Note : la Loi canadienne anti-pourriel (LCAP) s'applique également dans ce contexte.
Le consentement des mineurs
Pour les personnes de moins de 14 ans, le consentement doit être donné par le titulaire de l'autorité parentale. Si votre entreprise collecte des données de mineurs, des précautions supplémentaires sont nécessaires.
Retrait du consentement
Toute personne peut retirer son consentement à tout moment. Votre entreprise doit offrir un mécanisme simple pour le faire et cesser le traitement des données dans un délai raisonnable. Le retrait du consentement ne doit pas être plus difficile que son obtention.
Le consentement est l'une des nombreuses obligations des entreprises sous la Loi 25. Pour une démarche complète de mise en conformité, consultez notre guide de conformité.