Loi 25 : ce que le site web d’une entreprise québécoise doit afficher

Depuis 2022, la Loi 25 modernise la protection des renseignements personnels au Québec. Ses obligations sont entrées en vigueur par étapes, jusqu’en septembre 2024. Pour une PME, le site web est souvent le premier endroit où l’on collecte des renseignements : un formulaire de contact, une infolettre, un outil de mesure d’audience. Voici ce que votre site doit faire, concrètement.

Désigner et afficher un responsable

Chaque entreprise doit avoir un responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui a la plus haute autorité, souvent le dirigeant, qui peut déléguer ce rôle par écrit. Son titre et ses coordonnées doivent être publiés sur le site, généralement dans la politique de confidentialité ou en pied de page.

Publier une politique de confidentialité claire

Si votre site recueille des renseignements personnels, il doit publier une politique de confidentialité rédigée en termes simples et clairs. Elle explique quels renseignements vous collectez, pourquoi, combien de temps vous les gardez, qui y a accès et comment exercer ses droits. Un copier-coller d’un modèle américain de dix pages ne remplit pas cet objectif.

Les témoins désactivés par défaut

La Loi 25 impose que les technologies permettant d’identifier, de localiser ou de profiler un visiteur soient désactivées par défaut, et que le visiteur en soit informé. Concrètement, les témoins (cookies) de mesure d’audience détaillée ou de publicité ne doivent s’activer qu’après un choix explicite. Les témoins strictement nécessaires au fonctionnement du site restent permis.

Un consentement manifeste, libre et éclairé

Quand vous demandez un consentement, par exemple pour une infolettre, il doit être manifeste, libre, éclairé et donné pour une fin précise. Une case précochée ou un consentement noyé dans les conditions d’utilisation ne suffit pas. Un formulaire de contact, lui, ne doit demander que ce qui est nécessaire pour vous répondre.

Les transferts hors du Québec

Votre site est hébergé hors du Québec, ou vos formulaires passent par un service étranger ? La loi demande une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements à l’extérieur de la province. Pour une petite entreprise, cela passe souvent par des choix simples : un hébergeur sérieux, des outils réputés, et une trace écrite de votre analyse.

Les incidents de confidentialité

Un formulaire piraté, une base de données exposée : la loi impose de tenir un registre des incidents et, en cas de risque de préjudice sérieux, d’aviser la Commission d’accès à l’information et les personnes concernées. Un site à jour et sauvegardé réduit fortement ce risque.

Les sanctions

Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les amendes pénales davantage. Dans les faits, une petite entreprise de bonne foi est d’abord accompagnée. Mais la conformité est aussi un argument commercial : elle rassure vos clients.

La checklist de votre site

• Titre et coordonnées du responsable publiés sur le site ;
• Politique de confidentialité claire, à jour, facile à trouver ;
• Bandeau de témoins : suivi désactivé par défaut, choix réel du visiteur ;
• Formulaires minimaux, sans case précochée ;
• Hébergement et outils tiers identifiés, transferts évalués ;
• Site à jour, sauvegardé, avec un registre des incidents.

Je m’en occupe à la création du site

Sur les sites que je crée pour des entreprises québécoises, ces éléments sont prévus dès le départ : gestion des témoins, politique de confidentialité structurée, formulaires sobres. Découvrez la page création de site internet au Québec, estimez votre projet en dollars canadiens avec le configurateur, ou écrivez-moi.

Cet article donne des repères généraux, pas un avis juridique. Pour une situation particulière, adressez-vous à un juriste ou à l’autorité compétente.