Consentement

Le consentement est la pierre angulaire de la Loi 25. Sans consentement valable, la collecte, l'utilisation et la communication de renseignements personnels sont illégales: sauf dans les exceptions prévues par la loi (autorisation légale expresse, intérêt public, obligation légale, urgence).

Ce chapitre explique ce que la CAI et la LPRPSP exigent concrètement, avec des exemples applicables à une PME québécoise.

Les huit critères d'un consentement valable#

L'article 14 de la LPRPSP pose des exigences de fond (manifeste, libre, éclairé, à des fins spécifiques, durée limitée) et de forme (demande distincte, termes simples et clairs) pour le consentement. La CAI regroupe l'ensemble de ces exigences en 8 critères cumulatifs dans ses Lignes directrices 2023-1 — Consentement : critères de validité : un consentement qui échoue à l'un d'eux est invalide et expose l'entreprise à une sanction.

Critère	Ce que ça veut dire
Manifeste	Clair, sans ambiguïté. Le silence, l'inaction ou les cases pré-cochées ne constituent pas un consentement.
Libre	Donné sans pression, sans conséquence négative disproportionnée en cas de refus. Conditionner un service essentiel à un consentement non nécessaire = consentement vicié.
Éclairé	La personne comprend pourquoi, par qui et dans quel contexte. Les fins doivent être énoncées dans un langage simple.
Spécifique	Un consentement couvre une fin précise et doit être redemandé pour toute fin distincte.
Granulaire	Demandé séparément pour chacune des fins visées : pas de case unique couvrant plusieurs finalités à la fois.
Compréhensible	Formulé en termes simples et clairs, sans jargon juridique, sans clauses enfouies dans 30 pages de conditions générales.
Temporaire	Ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé (art. 14, 3e al. LPRPSP); passé ce délai, il faut le redemander.
Distinct	Si la demande est faite par écrit, elle doit être présentée séparément de toute autre information communiquée à la personne concernée.

Le test pratique#

Posez-vous ces trois questions avant de considérer qu'un consentement est obtenu :

1. La personne a-t-elle posé un geste positif explicite (clic, signature, coche non pré-cochée)?
2. La personne sait-elle à quoi elle consent, qui utilisera l'information et pendant combien de temps?
3. La personne peut-elle refuser sans perdre l'accès au service principal?

Si une réponse est « non », le consentement n'est pas valable au sens de la Loi 25.

Ce test est un outil d'auto-diagnostic opérationnel, il ne remplace pas une validation juridique formelle de vos mécanismes de consentement par votre avocat.

La règle du consentement séparé (art. 14 al. 1)#

Le consentement doit être demandé à chacune des fins, en termes simples et clairs. Lorsque la demande de consentement est faite par écrit, elle doit être présentée distinctement de toute autre information communiquée à la personne concernée.

Traduction concrète :

• Non conforme : une phrase « En créant votre compte, vous consentez à nos conditions d'utilisation et à notre politique de confidentialité » avec un seul bouton Accepter.
• Conforme : le bouton Créer un compte est séparé d'une case à cocher explicite « J'accepte que HiloTech communique mes renseignements à [partenaire] à des fins de [finalité] », non pré-cochée.

La CAI a clairement indiqué que le consentement groupé par défaut (un seul OK pour plusieurs finalités) ne rencontre pas l'exigence de consentement par finalité.

Consentement pour renseignements sensibles (art. 12)#

La loi ne dresse pas une liste fermée des renseignements sensibles. L'article 12 les définit comme ceux qui, de par leur nature, notamment médicale, biométrique ou autrement intime, ou en raison du contexte de leur utilisation ou de leur communication, suscitent un haut degré d'attente raisonnable en matière de vie privée. La CAI cite, à titre d'exemples non exhaustifs, la santé ou l'orientation sexuelle, la biométrie, le groupe ethnique, les croyances philosophiques ou religieuses et l'état des finances, mais un renseignement autrement anodin peut devenir sensible selon le contexte dans lequel il est utilisé ou communiqué. Ces renseignements exigent un consentement exprès. Cela signifie :

• Un geste positif spécifiquement lié à ces renseignements (case à cocher dédiée, signature séparée).
• Une mention explicite que les renseignements sont de nature sensible.
• Une durée de conservation clairement indiquée.

En pratique, un formulaire d'admission médicale ou un dossier RH contenant des renseignements de santé doit inclure une clause séparée de consentement exprès pour cette catégorie, distincte du consentement général à la politique de confidentialité.

Consentement des mineurs (art. 14 al. 2 et art. 4.1)#

Depuis septembre 2023 :

• Moins de 14 ans : le consentement est donné par le titulaire de l'autorité parentale ou le tuteur (art. 14, 2e al.). Lorsque les renseignements sont recueillis directement auprès du mineur lui-même, l'art. 4.1 impose ce même consentement parental, sauf lorsque la collecte est manifestement au bénéfice du mineur.
• 14 ans et plus : le mineur peut consentir lui-même, ou le consentement peut être donné par le titulaire de l'autorité parentale ou le tuteur (art. 14, 2e al.), avec certaines nuances pour les renseignements de santé (qui relèvent aussi de la Loi sur les services de santé et les services sociaux).

Pour une PME qui collecte des inscriptions à un camp d'été, un service de tutorat en ligne ou un programme de formation pour jeunes, cette règle change tout : la case « J'ai plus de 13 ans » n'est plus suffisante, il faut un mécanisme de validation parentale.

Retrait du consentement (art. 8, par. 4°)#

Toute personne peut retirer son consentement en tout temps, avec effet pour l'avenir. L'entreprise doit :

1. Fournir un moyen simple et gratuit de retirer le consentement (lien de désabonnement, formulaire en ligne, courriel dédié).
2. Informer la personne des conséquences du retrait, par exemple, si le retrait empêche la fourniture du service principal.
3. Cesser la collecte et l'utilisation dès réception du retrait.
4. Ne pas supprimer rétroactivement les données déjà utilisées avec consentement valide, le retrait est prospectif, pas rétroactif.

Le retrait du consentement ne doit pas être plus compliqué que son obtention. Si l'inscription se fait en un clic, le désabonnement doit se faire en un clic.

Les exceptions, quand le consentement n'est pas requis#

La LPRPSP prévoit plusieurs situations où un renseignement peut être collecté, utilisé ou communiqué sans consentement :

• Obligation légale (art. 18, 1er al., par. 4° et 6°) : communication nécessaire dans le cadre d'une loi applicable au Québec ou d'une convention collective (lois fiscales, Code du travail), ou exigée par une personne ou un organisme ayant pouvoir de contraindre à cette communication dans l'exercice de ses fonctions (ordre professionnel, mandat judiciaire).
• Fourniture ou livraison du service demandé (art. 12, 2e al., par. 4°) : utilisation des données nécessaires à la fourniture, à la livraison ou à la prestation du service convenu, sans qu'un consentement distinct soit requis (livrer un colis = adresse; facturer = coordonnées). Si ces données sont communiquées à un sous-traitant (ex. transporteur) pour exécuter ce contrat, la base pertinente est plutôt l'art. 18.3.
• Fin compatible (art. 12, al. 2, par. 1° et al. 3) : utilisation d'un renseignement à une autre fin, sans nouveau consentement, à condition qu'il existe un lien pertinent et direct avec la fin pour laquelle le renseignement a été recueilli (la prospection commerciale ou philanthropique est explicitement exclue de cette exception).
• Protection de la vie (art. 18 al. 1 par. 7) : urgence médicale, sécurité publique.
• Étude, recherche, statistique (art. 21) : à condition de respecter les exigences d'anonymisation et d'approbation.

Ces exceptions sont d'interprétation restrictive. En cas de doute, demandez l'avis de votre avocat.

Documentation du consentement#

La CAI peut exiger, en cas d'enquête, la preuve qu'un consentement valable a été obtenu. En pratique, votre système doit conserver :

• La date et l'heure du consentement.
• Le texte exact affiché à la personne (pas un lien vers un document qui pourrait changer).
• Le mécanisme utilisé (case cochée, signature, enregistrement vocal, etc.).
• L'identifiant de l'utilisateur (courriel, UUID) et, si pertinent, l'adresse IP.
• La version de la politique en vigueur au moment du consentement.

Un simple « l'utilisateur a accepté » dans un champ booléen ne suffit pas, vous devez être capable de reconstituer ce que la personne a vu et approuvé.

Notre rôle côté TI#

Dans un projet de conformité, HiloTech configure les outils qui journalisent ces éléments (plateformes de consentement type Cookiebot, OneTrust; bandeaux maison; systèmes CRM avec champs d'audit; Microsoft 365 audit log). Ces journaux de consentement sont hébergés et sauvegardés selon la même politique que le reste de l'environnement géré par HiloTech: centres de données 100 % canadiens, chiffrement AES-256 des sauvegardes, conformément à notre politique d'hébergement canadien par défaut. Le libellé du consentement lui-même est rédigé par l'avocat du client, nous intégrons la formulation qu'il approuve.

Liste de contrôle rapide#

• Chaque finalité de collecte a son propre consentement (pas de cases groupées).
• Les cases à cocher sont non pré-cochées par défaut.
• Le texte du consentement est rédigé en français clair, sans jargon.
• Un consentement exprès séparé est obtenu pour les renseignements sensibles.
• Les mineurs de moins de 14 ans ont un mécanisme de validation parentale.
• Un mécanisme de retrait simple et gratuit est publié.
• Chaque consentement est horodaté et archivé avec le texte exact affiché.

Erreurs fréquentes#

• Le consent wall européen collé tel quel.: Beaucoup de PME copient un bandeau RGPD anglais sans adapter. Le français manque, le lien vers la politique pointe vers la version anglaise, et les catégories ne correspondent pas à ce que la CAI attend.
• Le consentement obtenu une fois pour toutes.: Un consentement valable à l'inscription ne couvre pas une nouvelle finalité (ex. transfert à un partenaire commercial non mentionné à l'origine). Il faut redemander.
• La case pré-cochée « J'accepte de recevoir des communications marketing ».: Invalide depuis septembre 2023. L'utilisateur doit poser un geste actif.
• Pas d'archivage.: Le consentement n'est démontrable qu'en cas d'enquête. Si votre système ne conserve pas l'horodatage + le texte affiché, c'est votre parole contre la plainte.

Questions à poser à votre conseiller juridique#

• Nos bandeaux de cookies respectent-ils les exigences québécoises spécifiques, distinctes du RGPD?
• Quelle formulation de consentement exprès utiliser pour nos données de santé (si cabinet médical, pharmacie, service de télémédecine)?
• Avons-nous une base légale autre que le consentement pour certaines finalités (intérêt légitime, exécution de contrat)?
• Quelle est la durée de conservation raisonnable des preuves de consentement elles-mêmes?