Canada (français)
Canada (français)Loi 25 et site Web : consentement, témoins et politique de confidentialité
La Loi 25 a modernisé la protection des renseignements personnels au Québec. Ce qu’elle demande concrètement à un site vitrine ou à une boutique en ligne, et comment le mettre en place techniquement.
À partir de 1 000 € le projet
La Loi 25 en quelques lignes
La Loi 25 est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en 2021. Pour les entreprises, elle a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), et elle est entrée en vigueur en trois étapes :
22 septembre 2022 : premières dispositions, dont la désignation d'une personne responsable de la protection des renseignements personnels et la déclaration des incidents de confidentialité.
22 septembre 2023 : la plupart des nouvelles règles, dont les politiques de gouvernance, la politique de confidentialité pour les renseignements recueillis par un moyen technologique, les fonctions de suivi désactivées par défaut, un consentement plus exigeant et l'évaluation requise avant de communiquer des renseignements à l'extérieur du Québec.
22 septembre 2024 : le droit de recevoir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé.
L'organisme chargé de son application est la Commission d'accès à l'information du Québec (CAI). La loi s'applique à toute personne qui exploite une entreprise au Québec, quelle que soit sa taille : un travailleur autonome qui recueille des renseignements personnels par un formulaire est concerné comme une grande entreprise.
Ce que la loi exige et qui se voit sur un site
Un responsable, visible sur le site
Dans l'entreprise, la personne ayant la plus haute autorité est responsable de la protection des renseignements personnels ; elle peut déléguer cette fonction par écrit. Son titre et ses coordonnées sont publiés sur le site Internet de l'entreprise (art. 3.1).
Des politiques de gouvernance et une politique de confidentialité
L'entreprise établit des politiques et pratiques encadrant sa gouvernance des renseignements personnels, et en publie des informations détaillées sur son site, en termes simples et clairs (art. 3.2). Quand elle recueille des renseignements par un moyen technologique, ce qui couvre les formulaires, les comptes clients, la mesure d'audience et les témoins, elle publie aussi une politique de confidentialité rédigée en termes simples et clairs, ainsi qu'un avis de toute modification (art. 8.2).
Des fonctions de suivi que le visiteur active lui-même
Quand des renseignements sont recueillis au moyen d'une technologie comprenant des fonctions permettant d'identifier, de localiser ou d'effectuer un profilage de la personne, l'entreprise doit l'informer au préalable du recours à cette technologie et des moyens offerts pour activer ces fonctions (art. 8.1). La CAI le résume ainsi : ces fonctions doivent être désactivées par défaut. Le profilage, au sens de la loi, consiste à évaluer des caractéristiques d'une personne, comme ses préférences, ses intérêts ou son comportement.
Un consentement qui a du sens
Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques ; il est demandé à chacune de ces fins, en termes simples et clairs, et présenté distinctement de toute autre information lorsqu'il est demandé par écrit (art. 14). La CAI a adopté le 31 octobre 2023 des lignes directrices sur les critères de validité du consentement ; elles n'ont pas force de loi, mais précisent ses attentes.
Des renseignements qui quittent le Québec
Avant de communiquer un renseignement personnel à l'extérieur du Québec, l'entreprise procède à une évaluation des facteurs relatifs à la vie privée (art. 17). Un site hébergé à l'étranger, un outil de mesure d'audience ou un logiciel de gestion de la clientèle situé hors de la province soulèvent cette question.
Et les témoins (cookies) ?
La loi ne contient pas de règle propre aux témoins. Une disposition les écarte même expressément de l'obligation de paramètres de confidentialité les plus élevés par défaut (art. 9.1). Mais les fonctions que les témoins et outils semblables permettent sont visées : pixels publicitaires, enregistrements de sessions, suivi détaillé de l'audience ou identifiants entre sites peuvent identifier ou profiler un visiteur, et relèvent alors de l'article 8.1 et des règles du consentement.
L'approche prudente, celle que nous appliquons, est la même qu'en Europe : seuls les témoins strictement nécessaires par défaut, tout le reste désactivé jusqu'à ce que le visiteur dise oui, un refus aussi simple qu'une acceptation, et un choix modifiable en tout temps.
Les sanctions
La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 000 000 $ ou, si ce montant est plus élevé, 2 % du chiffre d'affaires mondial de l'exercice précédent (art. 90.12). Les amendes pénales vont de 15 000 $ à 25 000 000 $ ou, si ce montant est plus élevé, 4 % du chiffre d'affaires mondial de l'exercice précédent (art. 91).
Comment nous le mettons en place techniquement
Voici ce que nous faisons :
L'inventaire de ce que le site charge réellement : témoins, pixels, outils de mesure, polices, vidéos intégrées, formulaires et services tiers, avec le pays où chaque service traite les renseignements. Cette liste des prestataires et de leurs lieux de traitement peut servir à votre évaluation des facteurs relatifs à la vie privée.
Un bandeau de consentement qui bloque réellement les fonctions de suivi tant que le visiteur ne les a pas activées, avec un refus aussi simple que l'acceptation et un lien pour modifier son choix en tout temps.
Une page de politique de confidentialité structurée à partir de cet inventaire, en termes simples, avec le titre et les coordonnées de votre responsable de la protection des renseignements personnels ; son texte reste à valider par vous ou votre conseiller.
Quand c'est possible, des choix sobres : des statistiques de fréquentation sans témoin, moins de services tiers, un hébergement sans serveur à administrer.
Le bandeau et la politique en français aussi, comme le reste du site (voir notre page sur la Loi 96).
Pour un site existant, l'audit de site vitrine couvre ces points. Pour un nouveau site, ils s'ajoutent à la création de site vitrine sous forme d'options : statistiques de fréquentation sans témoin, ou traceurs publicitaires avec bandeau de consentement et politique de confidentialité. Notre propre politique de confidentialité montre la démarche en pratique, et notre article sur témoins, consentement et mesure d'audience complète le sujet. Pour en parler : contact.
Ce que nous ne faisons pas
Nous ne rendons pas d'avis juridique, nous n'exerçons pas la fonction de responsable de la protection des renseignements personnels et nous ne rédigeons pas vos politiques de gouvernance. Nous livrons un site dont le comportement technique correspond à ce que dit votre politique, et nous le documentons pour que vous ou votre conseiller puissiez le démontrer. Nous ne garantissons pas la conformité d'un site à la loi.
Questions fréquentes
La Loi 25 s’applique-t-elle à une petite entreprise ?
Oui. Les obligations décrites ici visent toute personne qui exploite une entreprise, sans seuil de taille, même si les politiques de gouvernance doivent être proportionnées à la nature et à l’importance de ses activités. Un simple formulaire de contact suffit à recueillir des renseignements personnels.
Puis-je garder Google Analytics ?
Oui, à condition qu’il ne se charge qu’après le consentement du visiteur, que la politique de confidentialité le mentionne et que la communication des renseignements à l’extérieur du Québec ait été évaluée. Des statistiques de fréquentation sans témoin sont une solution plus sobre quand vous voulez seulement compter les visites.
Un bandeau avec un seul bouton Accepter suffit-il ?
La loi ne le dit pas en toutes lettres, mais un bandeau sans refus aussi simple que l’acceptation se concilie mal avec un consentement libre et éclairé, demandé à chaque fin, et avec des fonctions de suivi désactivées par défaut. Nous livrons un bandeau avec un refus aussi visible que l’acceptation et un choix modifiable en tout temps.
Sources
Textes consultés le 27 septembre 2026. Cette page décrit un cadre général ; elle ne constitue pas un conseil juridique.