Un formulaire d'inscription pour enfants ressemble presque toujours à un formulaire pour adultes auquel on a ajouté une case « nom du parent ». Prénom, date de naissance, courriel, téléphone, allergies, autorisation photo, tout sur une page, souvent avec un compte créé au nom du participant. Quand on fait la conception d'un site web pour un camp de jour, une école de danse, un club sportif ou un service de tutorat, c'est la page où la Loi 25 pèse le plus, et celle qu'on copie le plus vite.
La règle des moins de 14 ans tient en une phrase, et elle porte sur une question que les formulaires escamotent : qui tape au clavier. Ce texte la suit à travers le formulaire, champ par champ, quel que soit le secteur.
La réponse courte, pour les pressés
Au Québec, l'article 4.1 de la Loi sur la protection des renseignements personnels dans le secteur privé interdit de recueillir des renseignements personnels auprès d'un enfant de moins de 14 ans sans le consentement du titulaire de l'autorité parentale ou du tuteur, sauf si cette collecte est manifestement au bénéfice de l'enfant. Pour un formulaire d'inscription à un camp, un cours ou une activité, la conséquence pratique est simple : c'est le parent qui remplit le formulaire et qui consent, et l'enfant n'y figure que comme participant. Le formulaire ne demande que ce qui est nécessaire à l'activité (article 5). Les allergies et les renseignements de santé sont sensibles (article 12) : on explique à quoi ils servent, on en limite l'accès, et on ne les communique pas à un tiers, au-delà de ce qui a été annoncé, sans consentement exprès. Les photos et toute publication exigent un consentement distinct pour chaque usage (article 14). Dès 14 ans, l'adolescent peut consentir seul.
Ce que dit l'article 4.1, mot pour mot
Le texte est court : les renseignements personnels concernant un mineur de moins de 14 ans « ne peuvent être recueillis auprès de celui-ci sans le consentement du titulaire de l'autorité parentale ou du tuteur, sauf lorsque cette collecte est manifestement au bénéfice de ce mineur ».
Trois morceaux comptent. « Auprès de celui-ci » vise la collecte faite directement auprès de l'enfant : le jeune de 11 ans qui remplit lui-même le formulaire de la ligue de soccer, ou qui se crée un compte sur la plateforme de tutorat. « Le titulaire de l'autorité parentale ou du tuteur » désigne la personne qui consent à sa place. Et l'exception, « manifestement au bénéfice de ce mineur », est étroite par son adverbe. À notre lecture, elle vise les situations où attendre le parent nuirait à l'enfant, pas une inscription payante qu'un parent peut très bien faire lui-même.
L'article 14 confirme que le consentement d'un mineur de moins de 14 ans est donné par le titulaire de l'autorité parentale ou le tuteur, et celui d'un mineur de 14 ans et plus par le mineur lui-même, le titulaire de l'autorité parentale ou le tuteur. Dans ses lignes directrices de 2023 sur le consentement, la Commission d'accès à l'information (CAI) l'écrit sans détour : le consentement donné par une personne de moins de 14 ans n'est pas valide.
Qui remplit le formulaire
La façon la plus propre de respecter l'article 4.1, c'est de ne jamais demander à l'enfant de remplir quoi que ce soit. Le compte appartient au parent : son nom, son courriel, son téléphone. L'enfant est une fiche de participant rattachée à ce compte. Le texte s'adresse au parent (« Votre enfant a-t-il des allergies? »), jamais à l'enfant.
Ce choix règle aussi l'article 8 : l'information due au moment de la collecte (les fins, les moyens, les droits d'accès et de rectification, le droit de retirer son consentement) va au parent, en termes simples et clairs.
Pour le consentement lui-même, la CAI recommande de privilégier la forme expresse, un geste actif comme l'activation d'une case, et range la case déjà cochée parmi les formes implicites. Une case vide que le parent coche, donc.
Les mêmes lignes directrices demandent de vérifier la qualité de la personne qui consent, avec un niveau de certitude raisonnable selon le contexte et sans recueillir plus que nécessaire pour le faire. Pour un cours de danse, une déclaration du parent suffit, selon nous. Elles demandent aussi de documenter le consentement, libellé présenté compris : gardez la date, la version du formulaire et ce libellé. Si le formulaire change en cours de saison, gardez l'ancienne version.
Les outils de prise de rendez-vous en ligne sont souvent conçus pour qu'un adulte réserve pour lui-même : vérifiez que le vôtre distingue le payeur du participant avant d'y brancher des inscriptions d'enfants.
Ce que le formulaire demande : la nécessité
L'article 5 limite la collecte aux renseignements nécessaires aux fins déterminées avant la collecte. L'article 9 interdit de refuser un service à qui refuse de fournir un renseignement, sauf notamment si sa collecte est nécessaire au contrat, et précise qu'en cas de doute, un renseignement personnel est réputé non nécessaire.
Prenez chaque champ et demandez ce qui casse si vous le retirez. L'âge sert souvent à placer l'enfant dans le bon groupe; l'année de naissance y suffit parfois, et la date complète n'est pas toujours nécessaire. Le nom de l'école, le numéro d'assurance maladie, la photo du participant « pour le dossier », l'employeur du parent : certains se justifient selon l'activité, beaucoup sont là parce qu'ils étaient dans le modèle de départ.
Un champ facultatif est un champ dont l'activité peut se passer. À notre avis, il faut le retirer ou le rattacher à une fin distincte, annoncée, avec sa propre case de consentement.
Allergies et santé : un champ sensible
L'article 12 qualifie de sensible le renseignement qui, notamment par sa nature médicale, suscite un haut degré d'attente raisonnable en matière de vie privée. Une allergie, un médicament, un diagnostic en font partie.
Sensible ne veut pas dire interdit. Selon la CAI, le consentement exprès exigé pour un renseignement sensible n'est pas requis quand l'utilisation ou la communication est nécessaire à la fin primaire et annoncée lors de la collecte. Garder un enfant allergique en sécurité pendant l'activité est exactement ce genre de fin. Le formulaire doit alors dire pourquoi il demande l'allergie et qui la verra.
Le reste se joue dans le site plus que dans le texte. Les mesures de sécurité doivent être raisonnables compte tenu de la sensibilité (article 10) : dans l'espace d'administration, l'animateur du groupe voit les allergies de ses participants, pas toute l'équipe ni tous les groupes. Selon nous, le contenu des champs de santé n'a pas sa place dans le courriel de notification qui arrive dans une boîte partagée. Et toute communication non annoncée à un tiers exige, pour un renseignement sensible, un consentement exprès (article 13), sauf exception prévue par la loi.
Méfiez-vous enfin de la grande zone de texte « autres informations médicales ». Elle invite les parents à tout écrire, et vous devenez responsable de tout ce qui y entre.
Photos, listes, résultats : chaque usage sa case
L'article 14 exige un consentement donné à des fins spécifiques et demandé à chacune de ces fins. La CAI parle de consentement granulaire : accepter plusieurs finalités en bloc n'est pas un consentement libre.
Pour le formulaire, cela veut dire une case par usage : la photo de groupe sur la page d'accueil, la vidéo du spectacle de fin de session, la liste des participants communiquée aux autres parents pour le covoiturage, les résultats de compétition publiés avec le nom de l'enfant. Aucune de ces cases ne bloque l'inscription. L'article 14 précise aussi qu'un consentement ne vaut que pour la durée nécessaire aux fins pour lesquelles il a été demandé : la saison, le camp de l'été, pas « pour toujours ».
Dès qu'une photo est publiée, le droit civil s'ajoute à la Loi 25. Ce volet est dans notre article sur le droit à l'image, et des formulations de cases dans celui sur le formulaire de consentement.
Le compte qu'un adolescent crée seul
À partir de 14 ans, l'article 4.1 ne s'applique plus et l'adolescent peut consentir lui-même : une plateforme de cours peut laisser un jeune de 15 ans s'inscrire seul, en lui parlant dans des mots qu'il comprend.
Sous 14 ans, le parcours doit bifurquer. Si la page demande l'âge et que la réponse est 12, la suite logique est d'envoyer la demande au parent. Dans un exemple de la CAI tiré du secteur privé, un jouet connecté pour enfants de 5 à 8 ans enregistre leurs réponses, et c'est le parent qui consent, en cochant une case sur un portail web. Une question d'âge se contourne, bien sûr, et pour vérifier qui consent, la CAI parle de certitude raisonnable, pas d'infaillibilité. Mais une page conçue pour qu'un enfant de 10 ans s'inscrive seul en trois clics passera difficilement, à notre avis, pour un effort raisonnable.
Deux règles générales pèsent plus lourd ici. L'article 9.1 exige que les paramètres de confidentialité d'un service technologique offert au public assurent par défaut le plus haut niveau de confidentialité : un profil d'élève privé au départ, par exemple. Et l'article 8.1 encadre les technologies qui permettent d'identifier, de localiser ou de profiler la personne. Un pixel publicitaire sur la page de confirmation d'une inscription d'enfant pose précisément cette question; notre guide sur les témoins et les formulaires explique la mise en œuvre.
Après la saison
Quand les fins sont accomplies, l'article 23 oblige à détruire ou à anonymiser le renseignement, sous réserve d'un délai de conservation prévu par une loi. Les fiches de santé de l'été dernier n'ont pas, en principe, à attendre l'été prochain dans la plateforme : une réinscription repart des coordonnées du parent.
La plateforme d'inscription est un fournisseur qui détient ces renseignements pour vous : voyez le contrat que la loi exige avec chaque fournisseur. Si elle les héberge hors du Québec, l'article 17 exige en plus une évaluation des facteurs relatifs à la vie privée. Pour les champs dont le statut est moins évident, voyez les cas limites qu'un site collecte. Les services de garde, eux, ont en plus un règlement sectoriel, traité dans notre article sur la Loi 25 en CPE et en garderie.
Par où commencer
Remplissez votre propre formulaire deux fois : une fois comme parent d'un enfant de 8 ans, une fois comme adolescent de 15 ans qui s'inscrit seul. Notez qui tape, ce que chaque champ sert à faire, et chaque case de consentement qui en cache plusieurs.
Nous construisons ces formulaires dans nos projets de conception de site web, et la mise en conformité d'un site existant fait partie de notre travail de sécurité et conformité.
→ Parlons de votre formulaire d'inscription
Ce texte vulgarise des obligations légales pour aider une entreprise à poser les bonnes questions; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.
Écrit parXavier Peich