Loi 25 : ce que votre site web doit vraiment respecter

La Loi 25 encadre la protection des renseignements personnels au Québec, et elle s’applique à toute entreprise et tout OBNL qui en recueille, y compris par son site web. Concrètement, votre site doit : afficher une politique de confidentialité fidèle à ce qu’il collecte réellement, obtenir un consentement valide avant d’activer les témoins (cookies) qui ne sont pas nécessaires, désigner un responsable de la protection des renseignements personnels et publier ses coordonnées, encadrer les transferts de données hors Québec, et permettre aux personnes d’exercer leurs droits (accès, rectification, retrait). Les gabarits génériques copiés d’un autre site échouent précisément là où la loi insiste : la politique doit décrire votre collecte réelle, celle de votre site à vous.

Qui est visé par la Loi 25 ?

Toutes les entreprises privées qui exploitent au Québec, quelle que soit leur taille, ainsi que les OBNL. Un travailleur autonome avec un simple formulaire de contact est visé au même titre qu’une grande organisation : dès qu’un renseignement personnel est recueilli (un nom, un courriel, une adresse IP), la loi s’applique. Les entreprises situées hors Québec qui servent des clients québécois sont également concernées.

Les cinq éléments à vérifier sur votre site

1. La politique de confidentialité, fidèle à la réalité. Elle doit décrire ce que votre site collecte vraiment : formulaires, outils d’analyse, pixels publicitaires, infolettre, commandes. Une politique copiée d’ailleurs décrit la collecte d’un autre site, et c’est exactement ce que la loi reproche.

2. La gestion des témoins avec consentement. Les témoins qui vont au-delà du nécessaire (statistiques, publicité, personnalisation) demandent un consentement clair avant leur activation, avec un refus aussi simple que l’acceptation, et des paramètres respectueux par défaut.

3. Le responsable de la protection des renseignements personnels (RPRP). Chaque organisation doit en désigner un (par défaut, la personne à la plus haute autorité, avec possibilité de déléguer) et publier son titre et ses coordonnées, typiquement dans la politique de confidentialité.

4. Les transferts hors Québec, encadrés. Hébergement, infolettre, outils d’analyse : beaucoup de services stockent les données à l’extérieur du Québec. La loi demande d’évaluer ces transferts et d’en informer les personnes concernées. Savoir où vos données dorment fait partie de vos obligations.

5. Les droits des personnes, praticables. Accès à ses renseignements, rectification, retrait de consentement : votre organisation doit pouvoir répondre à ces demandes, et votre politique doit expliquer comment les exercer.

Quelles sont les erreurs les plus fréquentes ?

Le gabarit générique arrive en tête : une politique élégante qui décrit une collecte imaginaire. Suivent la bannière de témoins décorative (qui affiche un message et active tout quand même), le RPRP jamais désigné, et les outils d’analyse ou pixels installés au fil des ans dont plus personne ne se souvient. Ce dernier point mérite un examen technique : la liste réelle des témoins d’un site surprend presque toujours son propriétaire.

Comment se mettre en règle ?

La démarche saine tient en quatre étapes : examiner ce que le site collecte réellement (formulaires, témoins, outils tiers, via un examen technique), rédiger la politique à partir de cet examen, installer une vraie gestion du consentement, et documenter (RPRP, registre, pratiques de conservation). C’est un travail précis plutôt qu’un gros travail, et il se fait bien avec un partenaire qui sait lire un site sous le capot.

Bonne nouvelle au passage : cette mise en ordre est aussi une base de confiance pour vos clients, et un prérequis sain pour tout projet d’IA, qui carbure aux données propres et bien encadrées.

Questions fréquentes

Mon site n’a qu’un formulaire de contact. Suis-je concerné ? Oui. Un nom et un courriel sont des renseignements personnels, et leur collecte suffit à déclencher les obligations : politique fidèle, RPRP désigné, droits praticables.

Une politique de confidentialité générique trouvée en ligne suffit-elle ? Elle crée surtout un faux sentiment de sécurité : la loi demande une politique qui décrit votre collecte réelle. Le point de départ est l’examen technique de votre site, et la politique s’écrit ensuite.

Qu’est-ce qu’un RPRP et qui doit l’être ? C’est le responsable de la protection des renseignements personnels. Par défaut, la personne à la plus haute autorité de l’organisation l’est, et elle peut déléguer le rôle par écrit. Son titre et ses coordonnées doivent être publiés.

Quels sont les risques en cas de manquement ? La loi prévoit des sanctions administratives et pénales qui peuvent être substantielles. Le risque le plus immédiat pour une PME reste la confiance : clients, partenaires et donneurs d’ordre regardent de plus en plus ces pratiques avant de signer.

Les OBNL sont-ils vraiment visés ? Oui, au même titre que les entreprises. Membres, donateurs, bénévoles : un OBNL manipule beaucoup de renseignements personnels, et la mise en ordre le protège autant qu’elle protège les personnes.

L’étape suivante

Le point de départ est toujours le même : savoir ce que votre site collecte réellement. C’est un examen que nous faisons régulièrement, et chaque site que nous livrons part conforme. Un premier appel, offert, pour faire le point.