Loi 25 — ce que votre site web doit avoir

La Loi 25 s'applique à toute entreprise qui recueille des renseignements personnels au Québec. Il n'y a pas de seuil de taille (art. 1). Un formulaire de contact suffit : un nom et un courriel sont des renseignements personnels.

Ce guide couvre ce qui touche votre site web, avec l'article de loi pour chaque point. Il ne remplace pas un avis juridique. Les références renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé, lue dans sa version à jour au 10 juin 2026.

Les sept points qui touchent un site

1. Un responsable nommé, affiché sur le site

Par défaut, la personne qui a la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels. Elle peut déléguer ce rôle par écrit. Dans les deux cas, son titre et ses coordonnées doivent être publiés sur le site (art. 3.1).

Pour une entreprise de trois personnes, c'est une ligne dans la politique de confidentialité : le titre, un courriel.

2. Une politique de confidentialité en termes simples

Dès que vous recueillez des renseignements par un moyen technologique, vous devez publier sur votre site une politique de confidentialité « en termes simples et clairs », et signaler ses modifications (art. 8.2).

Un texte copié d'un générateur américain qui parle du RGPD et de la Californie ne répond pas à la question. La politique doit décrire ce que votre site recueille.

3. Un avis au moment de la collecte

Quand vous recueillez un renseignement, vous devez dire à quoi il servira, par quels moyens il est recueilli, et que la personne peut y accéder, le faire corriger et retirer son consentement. Si le renseignement peut sortir du Québec, il faut le dire aussi (art. 8).

La personne qui fournit ses renseignements après avoir reçu cet avis consent aux fins annoncées (art. 8.3). Concrètement : une phrase sous votre formulaire, avec un lien vers la politique.

4. Les technologies qui identifient, localisent ou profilent

Si votre site utilise une technologie qui permet d'identifier une personne, de la localiser ou d'en faire le profil, vous devez l'en informer d'abord, et lui indiquer comment activer ces fonctions (art. 8.1). La Commission d'accès à l'information en tire la règle pratique : ces fonctions sont désactivées par défaut, et c'est le visiteur qui les active.

L'exemple que donne la Commission est celui des témoins de profilage : un avis à la première visite, et rien d'activé tant que le visiteur ne l'a pas choisi. Un pixel publicitaire sert à la même chose. Pour les autres outils (statistiques, cartes intégrées, vidéos), la loi ne les nomme pas : tout dépend de ce que l'outil fait réellement des données. Des statistiques qui ne suivent personne d'un site à l'autre ne posent pas la même question qu'un outil qui construit un profil publicitaire.

5. Les outils hébergés hors Québec

Avant de communiquer un renseignement personnel à l'extérieur du Québec, vous devez faire une évaluation des facteurs relatifs à la vie privée et encadrer la communication par une entente écrite. Cela vaut aussi quand vous confiez à un fournisseur hors Québec le soin de recueillir ou de conserver ces renseignements (art. 17). L'évaluation est proportionnée à la sensibilité et à la quantité des renseignements (art. 3.3).

Sur un site, cela vise les services derrière le formulaire, l'infolettre, la prise de rendez-vous et les statistiques. La première étape est simple : dresser la liste de ces services et de l'endroit où chacun conserve les données.

6. Un registre des incidents

Si un incident de confidentialité présente un risque de préjudice sérieux, vous devez aviser la Commission et les personnes concernées avec diligence (art. 3.5). Vous devez tenir un registre de tous les incidents, y compris ceux qui ne sont pas déclarés (art. 3.8).

7. La portabilité

Depuis le 22 septembre 2024, une personne peut demander que les renseignements informatisés qu'elle vous a fournis lui soient remis dans un format technologique structuré et couramment utilisé (art. 27). Si vos demandes de contact dorment dans une boîte courriel, vous devez pouvoir les retrouver.

Les sanctions

• Sanctions administratives : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial (art. 90.12).
• Amendes pénales : de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial (art. 91), doublées en cas de récidive (art. 92.1).

Ces plafonds visent les grandes entreprises. Pour une PME, le risque réel est plus banal : une plainte d'un client, et rien à montrer en réponse.

Ce que la loi ne dit pas

Trois affirmations reviennent souvent, et aucune n'est dans le texte.

• « Les petites entreprises sont exemptées. » Non. La loi vise toute entreprise, sans seuil.
• « Il faut un bandeau de témoins pour tout. » La loi ne le dit pas. La règle du « plus haut niveau de confidentialité par défaut » exclut expressément les paramètres des témoins de connexion (art. 9.1). Ce qui exige une activation par le visiteur, ce sont les technologies qui identifient, localisent ou profilent.
• « Le site doit être hébergé au Canada. » Non plus. La loi exige une évaluation et une entente avant que les renseignements sortent du Québec. Elle n'interdit pas qu'ils sortent.

Liste de vérification

• Le titre et les coordonnées du responsable sont sur le site
• La politique de confidentialité décrit ce que ce site recueille, en langage courant
• Chaque formulaire a un avis : à quoi servent les renseignements, et le lien vers la politique
• Aucun outil de profilage ne s'active avant que le visiteur l'ait choisi
• La liste des services tiers existe, avec le lieu où chacun conserve les données
• L'évaluation est faite pour ceux qui conservent des données hors Québec
• Un registre des incidents existe, même vide
• Vous savez comment extraire les renseignements d'une personne qui les demande

Sources

• Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), LégisQuébec
• Principaux changements apportés par la Loi 25, Commission d'accès à l'information
• Lignes directrices sur les critères de validité du consentement, Commission d'accès à l'information

Un site neuf est le bon moment pour régler ces points, parce que le choix des outils se fait à ce moment-là. L'analyse de votre site actuel est gratuite.