Le paradoxe de l'exemplarité réglementaire

En tant que professionnel de la protection des renseignements personnels au Québec, je me suis toujours posé cette question fondamentale : les autorités qui supervisent l'application de la sur la protection des renseignments personnels au Québec P39.1 (Loi 25) appliquent-elles elles-mêmes les standards qu'elles imposent aux autres organisations?

Cette interrogation n'est pas née d'une volonté de piéger ou de critiquer gratuitement. Elle découle plutôt d'une conviction profonde : si nous voulons que les citoyens et les entreprises prennent la protection de la vie privée au sérieux, les gardiens de cette protection doivent être irréprochables.

 C'est dans cet esprit que nous avons récemment décidé d'examiner de plus près le site web de la Commission d'accès à l'information du Québec (CAI). Ce qui a suivi m'a non seulement surpris, mais m'a également redonné confiance dans la capacité de nos institutions publiques à reconnaître leurs zones d'ombre et à y remédier avec célérité.

 L'audit technique : quand les outils de développeur révèlent l'invisible

Notre analyse a commencé de manière simple : ouvrir les outils de développement du navigateur sur le site www.cai.gouv.qc.ca et observer ce qui se passait réellement sous le capot.

 Première découverte : les cookies

 Deux cookies attirèrent immédiatement mon attention :

  • CRAFT_CSRF_TOKEN : un cookie de session de 202 octets
  • CraftSessionId : un identifiant de session de 46 octets

Rien d'alarmant en soi. Ces cookies sont typiques d'une installation du CMS Craft, utilisé par le site. Mais c'est en observant le trafic réseau que les choses sont devenues plus intéressantes.

Deuxième découverte : SiteSearch360 et ses communications silencieuses

Le site de la CAI utilise un moteur de recherche tiers appelé SiteSearch360. Chaque fois qu'un utilisateur effectue une recherche sur le site, une série de requêtes HTTP est envoyée vers des serveurs externes :

  • global.sitesearch360.com
  • insights.sitesearch360.com
  • cdn.sitesearch360.com

En analysant les requêtes réseau (méthode GET et POST), nous avons constaté que les données suivantes étaient systématiquement transmises à SiteSearch360 :

Données transmises lors d'une recherche :

  • query : les termes de recherche (ex: "loi 25")
  • sessionId : un identifiant unique de session (ex: 2d199a16-e9c6-906b-5810-2a83217e9f02)
  • timestamp : horodatage précis de la recherche
  • referrer : l'URL de la page d'où provient la recherche
  • siteId : l'identifiant du site (www.cai.gouv.qc.ca)

Données transmises lors d'interactions avec le moteur :

  • Focus sur la boîte de recherche
  • Abandon de recherche
  • Clics sur les résultats
  • Suggestions affichées

Troisième découverte : le code JavaScript ne ment jamais

En inspectant le code du fichier sitesearch360.js, nous avons découvert les fonctions responsables de la collecte de données. Le code révélait clairement :

```javascript

// Génération d'un identifiant de session unique

generateSessionId = function() {

    return Math.floor(65536 * (1 + Math.random())).toString(16).substring(1)

    // [...]

}

// Configuration des endpoints

config = {

    baseUrl: "https://insights.sitesearch360.com/insights",

    endpoints: {

        searchSubmit: "/v2/serp/submit/##sessionId##/##timestamp##/##query##/...",

        searchBoxFocus: "/searchbox/focus",

        // [...]

    }

}

```

Le système créait des identifiants de session et envoyait des données détaillées à chaque interaction avec le moteur de recherche.

Quatrième découverte : la documentation de SiteSearch360

Pour valider les constats, nous nous sommes rendu sur le site de SiteSearch360. Leur propre documentation confirmait : "Our servers communicate with the Site Search 360 JavaScript (SS360 script) that you include on your website to enable the search. Here is an overview of the information sent to our servers when users interact with the search bar on your site."

Source: Sitesearch360

La liste incluait explicitement : requêtes de recherche, identifiants de session, horodatages, URLs de référence, et autres métadonnées.

Le décalage entre la déclaration et la réalité

Ce qui nous a interpellé, ce n'est pas tant la présence de cet outil tiers, après tout, de nombreuses organisations utilisent des solutions externes pour leurs moteurs de recherche. C'est plutôt le décalage entre ce qui était déclaré sur le site et ce qui se passait réellement.

 Le bandeau de confidentialité du site de la CAI affirmait :

> "Aucun témoin (cookie) n'est utilisé pour recueillir vos données de navigation."

Or, techniquement :

  1. Des cookies étaient bel et bien utilisés (CraftSessionId, CRAFT_CSRF_TOKEN)
  2. Des données de navigation étaient collectées et transmises à un tiers (SiteSearch360)
  3. Ces données incluaient des identifiants de session, des requêtes de recherche, des horodatages et des URLs de référence

 La politique de confidentialité mentionnait une Évaluation des facteurs relatifs à la vie privée (EFVP), mais celle-ci ne semblait pas couvrir le traitement effectué par SiteSearch360.

Les questions que nous devions poser

Face à ces constats, nous avons décidé de contacter directement la CAI. Notre message était respectueux mais direct. Nous leurs avons posé trois questions précises avec la documentation complète de l'analyse:

Question 1 : Est-ce que la Commission considère que les données transmises à SiteSearch360 (query, sessionId, referrer, timestamp, etc.) ne relèvent pas des "données de navigation" au sens usuel ou juridique?

Question 2 : Si ces données sont bel et bien transmises et conservées par un fournisseur externe, la Commission envisage-t-elle une mise à jour de son bandeau ou de sa politique de confidentialité afin de mieux refléter cette réalité?

Question 3 : L'évaluation des facteurs relatifs à la vie privée (EFVP), mentionnée dans la politique du site, couvre-t-elle déjà ce traitement par SiteSearch360?

Nous avons conclu le message par cette remarque, qui reflétait exactement notre pensée :

Je tiens à préciser que je comprends que les risques réels liés à cette collecte sont probablement très faibles, et que je ne me permettrais pas d'être aussi pointilleux envers un client ou une organisation du secteur privé dans un contexte similaire. Toutefois, étant donné que la Commission d'accès à l'information est l'autorité responsable de l'application de la Loi 25 au Québec, je m'attends à ce que ses propres outils et déclarations soient exemplaires et irréprochables, à la hauteur des exigences qu'elle impose ou recommande aux autres organisations."

La réponse qui change tout

Ce qui s'est passé ensuite m'a véritablement impressionné.

La CAI ne nous a pas répondu par des explications alambiquées, des justifications techniques complexes, ou pire, par le silence. Non, non. Leur réponse a été un modèle de transparence et de responsabilité institutionnelle.

 Ils ont écrit et je cite:

> "Je me permets encore de vous remercier, votre message a mis en lumière un point d'ombre que nous allons corriger."

Cette simple phrase contenait trois éléments solides pour nous :

Reconnaissance : pas de déni, pas d'excuse

Gratitude : ils ont remercié pour l'observation

Engagement : une promesse claire d'action corrective

Mais le meilleur restait à venir. Voici leurs réponses à mes trois questions :

Réponse 1 - Sur la nature des données collectées :

> "Après avoir consulté notre fournisseur, oui, effectivement, SiteSearch360 récolte des données de navigation."

Reconnaissance claire. Pas d'ambiguïté. Pas de tentative de redéfinir ce qu'est une "donnée de navigation" pour éviter l'inconfort. Une admission franche et honnête.

Réponse 2 - Sur les actions correctives :

Recommandé par LinkedIn

La France sur le podium mondial des violations de… Pierre-Albert Carlier il y a 4 mois Une politique de confidentialité rédigée en cinq… Sabrina Roy il y a 1 an Actualité des DPO & Data Privacy : semaine du 22 au 26… Guillaume Champeau il y a 2 ans

Et c'est ici que la CAI a vraiment dépassé nos attentes :

> "La Commission fera des ajustements majeurs sur son moteur de recherche et ne fera plus affaire avec SiteSearch360 en raison de la collecte de données. Une solution de remplacement développée sur mesure sera réalisée afin de respecter les exigences de la Commission en matière de confidentialité."

Lisez bien cette réponse. La CAI n'a pas simplement dit : "On va mettre à jour notre politique de confidentialité pour mentionner SiteSearch360." Non. Ils ont décidé de retirer complètement l'outil tiers et d'envisager un développement de solution sur mesure qui respecte véritablement leurs standards de confidentialité. Bravo!

C'est une décision qui pourrait avoir des implications budgétaires, techniques et organisationnelles importantes. Développer un moteur de recherche interne pourrait représenter un investissement en temps et en ressources. Mais la CAI a choisi cette voie pour être cohérente avec ses propres exigences.

Réponse 3 - Sur l'EFVP :

> "Non. Nous souhaitions faire une ÉFVP en vue d'adopter un outil de statistiques mais il a été décidé que la Commission ne recueillera aucun renseignement personnel. Nous allons modifier cette section de la page Web de la Commission."

Encore une fois, transparence totale. L'EFVP ne couvrait pas ce traitement. Et plutôt que de simplement faire une EFVP pour justifier l'utilisation de SiteSearch360, la CAI a pris la décision radicale de ne recueillir aucun renseignement personnel.

Pourquoi cette réponse est exceptionnelle dans nos valeurs

Dans mon parcours professionnel, j'ai fais beaucoup d'accompagnement et d'audit et vu beaucoup d'organisations réagir à des observations similaires. Les réactions typiques incluent :

  1. Le déni technique : "Ce ne sont pas vraiment des données de navigation, techniquement parlant..."
  2. La minimisation : "Les risques sont négligeables, ces données sont anonymisées..."
  3. La conformité minimale :"On va juste ajouter une ligne dans notre politique de confidentialité."
  4. Le silence : Aucune réponse, en espérant que l'observation soit oubliée.

La CAI n'a fait aucune de ces choses.

Elle a :

  1. Reconnu le problème sans détour
  2. Remercié pour l'observation plutôt que de se mettre sur la défensive
  3. Pris une décision radicale (retirer l'outil tiers) plutôt qu'une solution cosmétique
  4. Voir pour une solution sur mesure alignée avec ses valeurs
  5. Communiqué avec transparence sur les lacunes identifiées

C'est exactement le type de réponse qu'on attend d'une autorité de surveillance. Pas de la perfection, mais de la responsabilité. Encore Bravo!

Les leçons pour toutes les organisations

Cette expérience offre des enseignements précieux pour toutes les organisations québécoises qui naviguent dans l'univers de la protection des renseignements personnels :

Leçon 1 : L'exemplarité des autorités de surveillance n'est pas optionnelle

Quand vous êtes l'organisme responsable de faire respecter une loi, vos propres pratiques deviennent un standard de référence. La CAI l'a compris et a agi en conséquence. Cette cohérence institutionnelle est essentielle pour maintenir la crédibilité de l'ensemble du système réglementaire.

Leçon 2 : La déclaration doit refléter la réalité technique

Trop d'organisations rédigent leurs politiques de confidentialité et leurs bandeaux de cookies sans vérifier ce qui se passe réellement sur le plan technique. Il y a souvent un fossé entre ce que l'équipe juridique écrit et ce que les développeurs implémentent. Cette histoire montre l'importance d'un dialogue constant entre les équipes techniques et juridiques.

Leçon 3 : Les outils tiers méritent un examen approfondi

Beaucoup d'organisations intègrent des outils tiers (Google Analytics, Hotjar, chatbots, moteurs de recherche) sans vraiment comprendre quelles données sont collectées et comment elles sont traitées. L'EFVP existe précisément pour identifier ces risques avant le déploiement, pas après.

Leçon 4 : La transparence et la réactivité sont plus importantes que la perfection

Aucune organisation n'est parfaite. Ce qui distingue les bonnes organisations des excellentes, c'est leur capacité à reconnaître leurs erreurs et à les corriger rapidement. La CAI aurait pu nier, minimiser ou ignorer. Elle a choisi la transparence et l'action corrective immédiate.

Leçon 5 : Parfois, la solution la plus conforme est de ne pas collecter

Dans un monde obsédé par les données et l'analytique, la décision de la CAI de développer une solution qui ne collecte aucun renseignement personnel est rafraîchissante. Elle rappelle que la meilleure façon de protéger les données, c'est de ne pas les collecter.

 L'importance de l'audit citoyen

Cette expérience nous a confirmé dans ma conviction que les audits citoyens jouent un rôle essentiel dans l'écosystème de la protection des renseignements personnels.

 Les sites web des organisations privées ou publiques québécoises gèrent des millions d'interactions chaque jour. Ils collectent, traitent et transmettent des données sur les citoyens. Mais qui vérifie que ces pratiques sont conformes aux déclarations publiques et aux obligations légales?

Les ressources de surveillance réglementaire sont limitées. La CAI ne peut pas auditer tous les sites web de toutes les organisations publiques en temps réel. C'est là que les professionnels de la protection de la vie privée, les chercheurs en sécurité, les journalistes spécialisés et les citoyens engagés peuvent jouer un rôle complémentaire.

Dans le concret

C'est d'ailleurs ce qui nous motive jour après jour à cartographier les écosystèmes des entreprises privées au Québec et de les épauler autant avec leur chaine d'approvisionnement numérique, leur conformité que pour les sites web et dans leur gouvernance informelle.

Nos mandats sont:

  1. Auditer les sites des organisations publiques et privées
  2. Identifier les écarts entre les déclarations et les pratiques réelles autant sur le plancher (Physique) que numériques
  3. Documenter les flux de données vers des tiers
  4. Générer des rapports accessibles et actionnables avec les mesures concrètes.

Ce initiative n'est pas conçu pour "piéger" les organisations, mais pour les aider à maintenir leurs pratiques numériques à jour dans un environnement technologique en constante évolution.

La reconnaissance mutuelle de l'expertise

Un aspect que je tiens à souligner : la CAI a reconnu la solidité de notre analyse technique. Ils n'ont pas contesté nos constats, ils ne les ont pas minimisés, et ils n'ont pas suggéré que l'on avait mal compris quelque chose.

Cette reconnaissance mutuelle de l'expertise est fondamentale. D'un côté, nous reconnaissons que la CAI fait un travail important et complexe, et que personne n'est à l'abri d'un angle mort. De l'autre, la CAI a reconnu que notre analyse était fondée et méritait une action corrective substantielle.

C'est ce type d'échange constructif, basé sur des faits techniques vérifiables, mené dans un esprit de collaboration plutôt que de confrontation, fait avancer la protection de la vie privée au Québec.

Ce que cela signifie pour l'avenir

La réaction de la CAI à notre observation établit un précédent important. Elle envoie plusieurs messages aux organisations québécoises :

Message 1 : L'auto-surveillance est attendue

Les organisations ne peuvent pas attendre qu'un citoyen ou un auditeur externe trouve leurs problèmes. Elles doivent mettre en place des processus d'audit interne robustes.

Message 2 : Les réponses défensives ne fonctionnent pas

Quand un problème légitime est soulevé, la meilleure approche est la reconnaissance et l'action corrective, pas la défensive ou le déni.

Message 3 : Les outils tiers doivent être scrutés

L'ère du "plug and play" sans diligence raisonnable est terminée. Chaque outil tiers qui traite des données doit être évalué, documenté et justifié.

Message 4 : La conformité n'est pas statique

Ce qui était acceptable hier peut ne plus l'être aujourd'hui. Les organisations doivent réévaluer continuellement leurs pratiques et leur chaine d'approvisionnement numérique à la lumière de l'évolution des standards, de la jurisprudence et des attentes sociétales.

En conclusion, cette histoire n'est pas celle d'une organisation prise en défaut. C'est l'histoire d'une autorité de surveillance qui a démontré ce que signifie vraiment l'exemplarité réglementaire.

L'exemplarité, ce n'est pas ne jamais faire d'erreur. C'est plutôt de reconnaître rapidement quand on en fait une erreur. Remercier ceux qui nous les signalent. Prendre des mesures correctives substantielles, même quand elles pourraient être coûteuses. Communiquer avec transparence sur le processus.Tirer des leçons pour l'avenir.

La CAI a fait tout cela, et ce faisant, elle a renforcé sa crédibilité plutôt que de la diminuer.

Pour ma part, cette expérience me confirme dans deux convictions :

Première conviction : L'audit citoyen et professionnel des pratiques numériques des organisations publiques et privées est non seulement légitime, mais nécessaire. Nous avons tous un rôle à jouer dans la surveillance de la protection de nos renseignements personnels.

Deuxième conviction : Les institutions québécoises, quand elles sont interpellées de façon constructive et basée sur des faits, sont capables de répondre avec maturité et responsabilité.

Nous continuerons à examiner les sites web privés et publics, à documenter nos constats, et à les partager de manière respectueuse mais rigoureuse. Et si d'autres organisations réagissent comme la CAI l'a fait, nous construirons collectivement un écosystème numérique québécois plus transparent, plus responsable et plus respectueux de la vie privée.

L'expérience m'a aussi rappelé l'importance de l'équilibre : être exigeant tout en reconnaissant la complexité des mandats que plusieurs peuvent avoir, pointer les problèmes tout en saluant les bonnes réactions, rester vigilant tout en restant constructif.

À la Commission d'accès à l'information du Québec : Merci d'avoir transformé un "point d'ombre" en démonstration d'exemplarité institutionnelle. Votre réaction établit un standard que d'autres organisations, publiques comme privées, devraient aspirer à atteindre.

Aux organisations québécoises : Inspirez-vous de cette approche. Quand un problème est identifié, voyez-le comme une opportunité d'amélioration, pas comme une menace. La transparence et la réactivité sont vos meilleures alliées.

Aux citoyens et professionnels : Restez vigilants, soyez curieux, apprenez à utiliser les outils de développement de votre navigateur. La protection de vos renseignements personnels est un effort collectif.

*Note technique : Pour ceux qui souhaitent reproduire ce type d'audit, les outils de développement de votre navigateur (F12 sur la plupart des navigateurs) permettent d'inspecter les cookies (onglet Application/Storage), le trafic réseau (onglet Network), et le code source JavaScript. C'est un excellent point de départ pour comprendre ce qui se passe réellement sur les sites que vous visitez.

*Cet article reflète notre expérience personnelle et notre analyse. Les captures d'écran et constats techniques présentés sont le résultat de notre évaluation du site de la CAI. Je reste disponible pour toute discussion ou accompagnement constructive sur la protection des renseignements personnels au Québec.

Le présent article est publié à des fins d’analyse et de sensibilisation à la protection des renseignements personnels. Il s’appuie exclusivement sur des informations publiques et sur des observations techniques réalisées à l’aide d’outils standards. Les constats et réflexions présentés visent uniquement à illustrer, de manière factuelle et éducative, l’importance du principe de démonstrabilité et de la cohérence institutionnelle dans l’application des lois en matière de protection des données.

Aucune des informations mentionnées n’a pour objet de remettre en cause la Commission d’accès à l’information ou d’évaluer ses pratiques internes. L’analyse repose sur un échantillon purement technique, sans accès à des informations non publiques, et doit être comprise comme une démarche d’audit citoyen et professionnel menée dans un esprit constructif et collaboratif.

Les propos exprimés n’engagent que leur auteur. Ils visent à encourager un dialogue ouvert et responsable entre les institutions publiques, les professionnels et les citoyens quant à la gouvernance des données et aux meilleures pratiques numériques au Québec. Toute organisation citée l’est à titre illustratif, dans une perspective de réflexion collective et d’amélioration continue.

Publié à l'origine sur LinkedIn.