Rapport de conformité Loi 25

Une bannière de consentement est visible en bas de la page. Elle contient un message explicite en français : « Nous utilisons des témoins (cookies) pour assurer le bon fonctionnement du site et améliorer votre expérience. » Deux boutons sont présents : « Accepter » (en bleu) et « Refuser » (en gris).

Google Analytics et Google Tag Manager ont été chargés avant toute interaction de consentement de l'utilisateur. Deux requêtes vers www.googletagmanager.com et deux requêtes vers www.google-analytics.com sont présentes dans le chargement initial de la page, ce qui constitue une violation de la Loi 25 du Québec et du RGPD.

Recommandation — Implémenter un gestionnaire de consentement qui bloque le chargement de Google Analytics et Google Tag Manager jusqu'à l'obtention du consentement explicite de l'utilisateur pour les traceurs marketing et analytiques. Utiliser un système de tag manager consentement-first ou retarder l'exécution de gtag/js jusqu'après la réponse de consentement.

La bannière affichée en bas de page ne propose pas de bouton « Personnaliser » ou « Gérer mes préférences » visible. Seules les options « Accepter » et « Refuser » sont présentes, sans accès à un choix granulaire des catégories de témoins.

Recommandation — Ajouter un bouton « Personnaliser » ou « Gérer mes préférences » dans la bannière pour permettre à l'utilisateur de sélectionner individuellement les catégories de témoins (analytique, marketing, performance, etc.) conformément aux exigences de la Loi 25 du Québec.

Le bouton « Refuser » (en gris) est moins proéminent que le bouton « Accepter » (en bleu vif). Le contraste visuel et la hiérarchie des couleurs favorisent clairement l'acceptation plutôt que le refus.

Recommandation — Rendre les deux boutons (« Accepter » et « Refuser ») visuellement équivalents en taille, couleur et contraste. Le bouton de refus doit être aussi facile à localiser et à activer que celui d'acceptation, de manière à ne pas influencer subrepticement le choix de l'utilisateur.

Les traceurs non essentiels (Google Analytics et Google Tag Manager) ne possèdent pas de mécanisme de consentement visible qui permettrait à l'utilisateur de les refuser efficacement. Le refus de consentement n'aurait aucun effet sur ces scripts déjà chargés en arrière-plan.

Recommandation — Mettre en place un système de consentement robuste avec des options « refuser tout » et « accepter tout » qui contrôle réellement le chargement et l'exécution des traceurs. Vérifier que le refus de consentement empêche effectivement l'envoi de données vers Google Analytics et Google Tag Manager.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Aucun lien vers une politique de confidentialité ou de cookies n'est visible dans la bannière de consentement. La bannière se limite aux boutons « Accepter » et « Refuser » sans redirection vers de plus amples informations.

Recommandation — Intégrer un lien hypertexte vers la politique de confidentialité ou de cookies (ou une section dédiée) directement dans la bannière ou à proximité immédiate. Cela permet à l'utilisateur de consulter les détails sur l'utilisation des témoins avant de donner son consentement.

La bannière n'entrave pas l'accès au contenu de la page. L'utilisateur peut voir l'ensemble du site (logo, navigation, contenu principal, sliders) sans être obligé de donner son consentement immédiatement. Il ne s'agit pas d'un cookie wall.

Aucune page dédiée à la politique de confidentialité n'a été trouvée sur le site. Le contenu analysé affiche uniquement des pages de navigation du syndicat (statuts, politiques organisationnelles, convention collective) mais pas de politique de confidentialité accessible aux visiteurs du site web.

Recommandation — Créer et publier une politique de confidentialité complète et accessible depuis la page d'accueil ou le pied de page du site web. Cette politique doit être spécifique aux activités de collecte de données du site internet.

Aucun responsable de la protection des renseignements personnels n'est nommé dans les contenus analysés du site.

Recommandation — Identifier un responsable de la protection des renseignements personnels et le nommer explicitement dans la politique de confidentialité du site web.

Bien que des coordonnées générales du SPUL soient affichées (téléphone et courriel), aucune coordonnée spécifique au responsable de la protection des renseignements personnels n'est fournie.

Recommandation — Fournir des coordonnées distinctes et clairement identifiées pour le responsable de la protection des renseignements personnels, incluant au minimum une adresse courriel dédiée.

Aucune description précise des types de renseignements personnels collectés n'est visible sur le site. Le seul formulaire identifié est un champ de recherche basique qui ne détaille pas explicitement quelles données sont recueillies.

Recommandation — Rédiger une section détaillée énumérant tous les types de renseignements personnels collectés sur le site (exemple : nom, courriel, adresse IP, informations de navigation, etc.), avec une description précise de chaque catégorie.

Les finalités de la collecte de données ne sont pas indiquées nulle part sur le site. Il n'existe pas de lien clair entre les données collectées et leurs objectifs d'utilisation.

Recommandation — Spécifier les finalités précises de chaque collecte de données dans la politique de confidentialité (exemple : amélioration du service, communications, statistiques de visite). Indiquer également les finalités au point de collecte pour chaque formulaire.

Aucune information concernant les durées de conservation des renseignements personnels ou les critères de suppression n'est documentée sur le site.

Recommandation — Établir et communiquer des durées de conservation explicites pour chaque type de renseignement personnel, incluant les critères qui justifient ces périodes et les modalités de destruction des données.

Aucune divulgation concernant le partage de renseignements personnels avec des tiers n'est présente. La politique ne mentionne pas si les données sont partagées avec Google Analytics ou d'autres services, notamment concernant les traceurs détectés.

Recommandation — Documenter clairement tous les tiers qui ont accès aux renseignements personnels collectés, en nommant explicitement les services utilisés (Google Analytics, etc.) et en expliquant les catégories de destinataires et leurs rôles.

Aucune information sur les droits des utilisateurs (accès, rectification, suppression, portabilité) n'est fournie. Il n'existe pas de procédure claire permettant aux visiteurs d'exercer leurs droits.

Recommandation — Rédiger une section expliquant les droits des utilisateurs conformément à la Loi 25, incluant le droit d'accès, de rectification, de suppression et de portabilité. Fournir une procédure détaillée avec des coordonnées de contact pour exercer ces droits.

Le formulaire de recherche identifié ne comporte pas de case de consentement explicite pour la collecte de données personnelles. Bien que ce formulaire soit simple, il n'y a aucun mécanisme de consentement visible.

Recommandation — Ajouter une case de consentement claire et explicite sur tous les formulaires collectant des renseignements personnels, indiquant précisément à quelles fins les données seront utilisées.

Comme aucune case de consentement n'a été détectée sur le formulaire, cette vérification ne s'applique pas. Il n'y a rien à évaluer en matière de pré-cochage.

Aucune indication de finalité n'est présente au point de collecte du formulaire de recherche. L'utilisateur n'est pas informé de l'objectif de sa saisie de données.

Recommandation — Ajouter une explication claire près de chaque formulaire décrivant précisément pourquoi les données sont collectées et comment elles seront utilisées.

Aucun lien vers une politique de confidentialité n'est présent près du formulaire de recherche. De plus, comme aucune politique de confidentialité complète n'existe encore, ce lien ne peut pas être fourni.

Recommandation — Une fois la politique de confidentialité créée, insérer un lien visible et facilement accessible près de tous les formulaires de collecte de données.

Le site utilise le protocole HTTPS pour transmettre les données du formulaire de manière sécurisée. La soumission s'effectue via une connexion chiffrée.

Plusieurs traceurs analytiques et marketing (Google Analytics et Google Tag Manager) ont été chargés dès le chargement initial de la page, sans aucune interaction préalable de l'utilisateur et sans invitation à donner son consentement.

Recommandation — Implémenter une banneau de consentement qui apparaît avant tout chargement de traceurs non essentiels. S'assurer que Google Tag Manager, Google Analytics et autres traceurs marketing sont bloqués jusqu'à l'acceptation explicite du consentement par l'utilisateur.

Le site charge 6 domaines tiers non essentiels : www.googletagmanager.com, www.google-analytics.com, cdnjs.cloudflare.com (partiellement), fonts.googleapis.com, et ajax.googleapis.com. Ce nombre est inférieur ou égal au seuil de 10 scripts tiers non essentiels.

La politique de confidentialité n'existe pas, donc aucune divulgation concernant les transferts transfrontaliers de données ne peut être évaluée. Cependant, l'analyse des traceurs révèle l'utilisation de Google Analytics et Google Tag Manager, qui impliquent des transferts de données vers des serveurs américains. Aucune mention de ce transfert ni des mesures de protection n'est visible.

Recommandation — Ajouter une section dans la politique de confidentialité expliquant les transferts transfrontaliers de données, particulièrement vers les États-Unis, et documenter les mécanismes de protection mis en place (clauses contractuelles, consentement explicite, etc.).

Google Tag Manager et Google Analytics constituent des pixels/traceurs marketing et analytiques qui sont chargés sans consentement explicite de l'utilisateur. Ces services collectent des données de comportement et d'identification sans demander l'autorisation préalable requise par la Loi 25.

Recommandation — Obtenir le consentement explicite avant de charger Google Tag Manager et Google Analytics. Configurer le gestionnaire de consentement pour bloquer ces services jusqu'à l'acceptation de la catégorie « analytiques » ou « marketing » selon votre classification.

L'en-tête HTTP 'strict-transport-security' (HSTS) n'est pas présent dans la réponse du serveur. Bien que HTTPS soit utilisé, la redirection automatique de HTTP vers HTTPS n'est pas garantie par cet en-tête.

Recommandation — Ajouter l'en-tête HTTP 'Strict-Transport-Security' au serveur pour forcer tous les futurs accès en HTTPS et renforcer la protection contre les attaques de rétrogradation.

Les cookies détectés (_ga_BY6YQ8WDHR, _ga, _ga_HQDRP0F4LK) sont tous dépourvus de l'attribut 'secure'. Bien que l'attribut 'httpOnly' soit absent (ce qui peut être intentionnel pour certains usages JavaScript), l'absence de 'secure' signifie que ces cookies peuvent être transmis en clair sur des connexions HTTP non chiffrées, constituant une vulnérabilité de sécurité majeure.

Recommandation — Ajouter l'attribut 'secure' à tous les cookies pour garantir qu'ils ne sont transmis que via des connexions HTTPS chiffrées. Revoir également la nécessité de l'attribut 'httpOnly' pour chaque cookie sauf s'il est explicitement requis par du code JavaScript.

Aucun en-tête 'Content-Security-Policy' n'est présent dans la réponse HTTP du serveur. Cela laisse le site vulnérable aux attaques par injection de contenu et aux scripts malveillants.

Recommandation — Implémenter un en-tête Content-Security-Policy robuste définissant les sources autorisées pour les scripts, feuilles de style, images et autres ressources, en restreignant les domaines externes à ceux strictement nécessaires.