EFVP et outils de suivi hébergés hors Québec : mode d'emploi

Une EFVP, ou évaluation des facteurs relatifs à la vie privée, est l'analyse des risques qu'une entreprise doit faire avant de communiquer des renseignements personnels hors Québec. Les outils de mesure et de publicité, comme Google Analytics 4 (GA4), le pixel Meta ou la balise Google Ads, traitent généralement les données sur des serveurs situés hors Québec : ils sont donc presque toujours concernés.

Ce guide explique ce que la Loi 25 exige, pourquoi les balises d'un site Web entrent dans le champ de l'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé et comment bâtir une EFVP pratique à partir d'un inventaire des balises. Cet article ne constitue pas un avis juridique.

Qu'est-ce qu'une EFVP selon la Loi 25?

L'EFVP est une démarche prévue par la loi sur le privé dans deux situations principales. L'article 3.3 l'exige pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels. L'article 17 l'exige avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris lorsqu'un fournisseur les traite pour le compte de l'entreprise.

L'évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Pour le site Web d'une PME, elle tient souvent en quelques pages. L'entreprise doit consulter son responsable de la protection des renseignements personnels dès le début du projet.

Pourquoi vos outils de suivi sont visés par l'article 17

L'article 17 s'applique dès qu'un renseignement personnel est communiqué hors Québec ou qu'une personne hors Québec est chargée de le recueillir, de l'utiliser, de le communiquer ou de le conserver pour l'entreprise. Une balise de suivi fait exactement cela : elle envoie un identifiant de témoin, l'adresse de la page, parfois une adresse courriel hachée ou une valeur de commande vers les serveurs d'un fournisseur, souvent aux États-Unis ou ailleurs dans le monde.

L'évaluation doit tenir compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection, y compris contractuelles, dont il bénéficierait, et du régime juridique applicable dans l'État où il serait communiqué. La communication peut avoir lieu si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et elle doit faire l'objet d'une entente écrite qui tient compte des résultats de l'évaluation.

Les fournisseurs d'outils de suivi agissent souvent comme prestataires de services. L'article 18.3 permet de leur confier des renseignements personnels sans consentement lorsque c'est nécessaire à l'exécution d'un mandat ou d'un contrat de service, à condition que ce contrat soit écrit et précise les mesures de protection. En pratique, ce sont les conditions de traitement des données acceptées dans le compte Google, Meta ou LinkedIn. Lisez-les et joignez-en la référence à l'EFVP.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Bâtir l'EFVP à partir d'un inventaire des balises

La façon la plus simple de faire une EFVP pour un site Web est de partir d'un inventaire complet des balises. Ouvrez le conteneur Google Tag Manager, mais regardez aussi le code du thème et les extensions, car beaucoup de pixels sont ajoutés hors de Google Tag Manager. Pour chaque outil, notez les éléments suivants.

• Le nom de l'outil et du fournisseur, par exemple Google Analytics 4, Meta, LinkedIn
• Les données envoyées : identifiants de témoins, adresses de pages, événements, valeurs de commande
• Le lieu de traitement indiqué par le fournisseur et les conditions contractuelles applicables
• La finalité : mesure d'audience, conversions, remarketing
• Les réglages qui réduisent les données : fonctions publicitaires, partage de données, consentement

Réduire ce qui quitte le Québec

Une bonne EFVP aboutit souvent à moins de données plutôt qu'à plus de documents. Désactivez Google Signals et les paramètres de partage de données de GA4 si vous n'en avez pas besoin. Selon Google, GA4 ne journalise ni ne stocke les adresses IP. Vérifiez qu'aucune adresse de page ne contient d'adresse courriel ou de nom, par exemple après l'envoi d'un formulaire. Retirez les pixels que plus personne n'utilise.

Le mode Consentement de Google aide aussi : avec un état par défaut refusé pour la région CA-QC, les balises publicitaires n'envoient leurs données qu'après l'activation par le visiteur, ce qui répond en même temps à l'article 8.1 sur le profilage. Un cas typique : une agence de Québec qui gère une vingtaine de sites clients a créé un modèle d'inventaire unique, réutilisé pour chaque client, et l'a joint à l'EFVP de chacun.

→ Configurer correctement le mode de consentement Google v2 : aucun avertissement dans Tag Assistant

Tenir l'évaluation à jour

L'EFVP n'est pas un document à classer une fois pour toutes. Chaque nouvel outil, chaque refonte du site et chaque changement chez un fournisseur peut modifier les risques. Prévoyez une révision à chaque ajout de balise et au moins une fois par année, et conservez les versions successives avec leur date.

Les erreurs les plus fréquentes sont faciles à repérer. Une EFVP qui ne mentionne que Google Analytics alors que le site charge aussi un pixel Meta et un outil de clavardage. Une politique de confidentialité qui ne parle pas des communications hors Québec. Une entente écrite introuvable parce que le compte publicitaire a été ouvert par un ancien employé. Comparez chaque année l'EFVP, la politique et ce que le site charge vraiment.

Savoir ce que votre site charge vraiment

Avant d'écrire l'EFVP, il faut savoir ce qui se charge réellement. La vérification gratuite de Trackum, sur trackum.app/check, ouvre votre page d'accueil trois fois dans un vrai navigateur, sans réponse à la bannière, après un refus et après une acceptation, puis deux pages internes, et liste les balises et les témoins chargés dans chaque cas, sans inscription. Pour corriger les constats dans votre conteneur Google Tag Manager existant, Trackum facture 79 € une seule fois, avec un court rapport. Prix taxes en sus.