Loi 25 et votre site web : la liste de conformité

Si vous faites des affaires au Québec, la Loi 25 (anciennement le projet de loi 64) s'applique à vous — et votre site web est en première ligne. La loi a modernisé les règles québécoises sur la vie privée ; la plupart des obligations sont en vigueur depuis septembre 2023, avec la portabilité des données ajoutée en 2024. Voici ce que cela signifie pour votre site, en langage clair, ainsi qu'une liste pratique pour devenir conforme.

Ceci est de l'information générale, et non un avis juridique. Pour votre situation précise, consultez un professionnel qualifié.

À qui s'applique la Loi 25 ?

Essentiellement à toute entreprise du secteur privé exerçant au Québec qui recueille des renseignements personnels — noms, courriels, numéros de téléphone, même les données d'un formulaire de contact ou d'un outil d'analyse. La taille ne vous exempte pas : une petite clinique ou un entrepreneur est visé au même titre qu'une grande entreprise.

Qu'est-ce qu'un renseignement personnel ?

• Noms, courriels, numéros de téléphone et adresses.
• Soumissions de formulaires et demandes de devis.
• Analytique et témoins (cookies) qui peuvent identifier une personne.
• Données de santé, financières ou autres données sensibles (obligations supplémentaires).

Votre liste de conformité Loi 25 pour le web

1. Nommez un responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité ; nommez-la et publiez ses coordonnées.
2. Publiez une politique de confidentialité claire. Ce que vous recueillez, pourquoi, combien de temps vous le conservez, avec qui c'est partagé, et comment exercer ses droits.
3. Obtenez un consentement valide. Le consentement doit être clair, libre et éclairé — et spécifique pour les données sensibles.
4. Consentement aux témoins et au suivi. Les témoins et traceurs non essentiels (analytique, publicité) exigent un consentement ; offrez un véritable choix.
5. Confidentialité par défaut. Ne recueillez que le nécessaire ; pas de cases précochées ni de surcollecte.
6. Respectez les droits des personnes. Accès, correction, suppression et portabilité des données sur demande.
7. Préparez un processus en cas d'incident. Déclarez les incidents présentant un risque sérieux à la Commission d'accès à l'information et aux personnes concernées.
8. Vérifiez fournisseurs et transferts. Sachez où vont les données (hébergement, formulaires, courriel) et évaluez les transferts hors Québec.

Et les sanctions ?

Elles sont sérieuses. Les sanctions administratives pécuniaires peuvent atteindre 10 millions $ ou 2 % du chiffre d'affaires mondial, et les amendes pénales jusqu'à 25 millions $ ou 4 % du chiffre d'affaires mondial — le montant le plus élevé s'appliquant. Au-delà des amendes, la non-conformité érode la confiance que vos clients vous accordent.

L'essentiel propre au site web

• Politique de confidentialité liée dans votre pied de page, rédigée simplement.
• Bannière de consentement aux témoins avec un vrai choix pour les traceurs non essentiels.
• Des formulaires qui ne recueillent que le nécessaire, avec la finalité indiquée.
• Hébergement sécurisé et HTTPS sur tout le site.
• Un moyen clair de joindre votre responsable et d'exercer ses droits.

Pour comprendre comment la confiance et la crédibilité génèrent des résultats, voyez notre guide du site vitrine.

Foire aux questions

La Loi 25 s'applique-t-elle au site d'une petite entreprise ?

Oui. Il n'y a pas d'exemption selon la taille. Si votre site recueille des renseignements personnels — ne serait-ce qu'un formulaire de contact — vous avez des obligations.

Ai-je vraiment besoin d'une bannière de témoins ?

Si vous utilisez des témoins ou traceurs non essentiels (Google Analytics, pixels publicitaires, etc.), vous devez informer les utilisateurs et obtenir leur consentement. Les témoins strictement nécessaires sont traités différemment.

Une politique de confidentialité générique suffit-elle ?

Non. Elle doit refléter ce que votre site recueille et fait réellement, nommer votre responsable et expliquer comment exercer ses droits.

Quel est le moyen le plus rapide de devenir conforme ?

Commencez par les bases : politique de confidentialité, consentement aux témoins, formulaires minimaux, responsable nommé et processus en cas d'incident. Nous les intégrons à chaque site que nous livrons.

Vous n'êtes pas certain que votre site est conforme ? Demandez une vérification Loi 25 de votre site — nous repérons les lacunes et les corrigeons.