Loi 25 : mettre son site web en conformité au Québec

La Loi 25 en bref

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a modifié plusieurs lois québécoises, dont celle qui encadre le secteur privé. Elle concerne toute entreprise qui exerce au Québec et recueille des renseignements personnels, quelle que soit sa taille.

Un renseignement personnel, c’est toute information qui concerne une personne physique et permet de l’identifier : nom, courriel, téléphone, adresse, mais aussi un identifiant de compte ou des données de navigation reliées à une personne. Un formulaire de contact, une réservation, une infolettre ou un outil de mesure d’audience suffisent donc à être concerné.

La Commission d’accès à l’information du Québec (CAI) est l’autorité de référence. Elle publie des guides pratiques pour les entreprises : c’est la première source à consulter, avant tout modèle trouvé en ligne.

Les obligations qui touchent directement un site web

Ces obligations sont résumées ici pour vous aider à préparer votre site ; pour leur application exacte à votre entreprise, appuyez-vous sur les guides de la CAI ou sur un avocat.

Désigner le responsable

Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise (le président, la directrice générale) qui est responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction, par écrit, à un membre du personnel ou à une personne de l’extérieur.

1. 01
   Choisir la personne

   Quelqu’un qui connaît les outils de l’entreprise et a le temps de suivre le sujet.

2. 02
   Formaliser la délégation

   Par écrit, si ce n’est pas la personne ayant la plus haute autorité.

3. 03
   Publier le titre et les coordonnées

   Sur le site, en général dans la politique de confidentialité et la page contact. Une adresse courriel dédiée facilite le suivi.

4. 04
   Lui donner les moyens

   La liste des outils qui contiennent des renseignements (site, logiciel de facturation, infolettre, paiement), et une procédure pour répondre aux demandes.

Une politique de confidentialité en termes clairs

La Loi 25 insiste sur la clarté : la politique doit pouvoir être comprise par vos clients, pas seulement par un juriste. Elle explique notamment :

• quels renseignements vous recueillez, et par quels moyens (formulaires, comptes, témoins) ;
• à quelles fins vous les utilisez ;
• qui y a accès, y compris vos prestataires (hébergement, paiement, envoi de courriels) ;
• si des renseignements sont communiqués à l’extérieur du Québec ;
• combien de temps vous les conservez ;
• comment la personne peut accéder à ses renseignements, les faire corriger ou retirer son consentement ;
• le titre et les coordonnées du responsable.

Répondre aux demandes des personnes

Vos clients peuvent vous demander d’accéder aux renseignements que vous détenez sur eux, de les faire corriger, ou de retirer leur consentement à un usage. Prévoyez une adresse de contact claire, une personne qui reçoit ces demandes et une façon de retrouver rapidement les renseignements d’un client dans vos outils : site, logiciel de facturation, liste d’infolettre, espace client. La loi fixe des délais de réponse ; la CAI les précise dans ses guides. Pour un site avec espace client, un bouton qui permet de télécharger ou de supprimer son compte simplifie beaucoup les choses.

Si vos renseignements sont hébergés ou traités hors du Québec, ce qui est le cas de la plupart des services infonuagiques, la loi prévoit une évaluation préalable des facteurs relatifs à la vie privée. La CAI explique la démarche ; un professionnel peut vous accompagner.

Consentement et témoins : le bandeau bien fait

C’est le point le plus visible pour vos visiteurs. Les témoins (cookies) et outils qui permettent d’identifier, de localiser ou de profiler une personne doivent être désactivés par défaut, et la personne doit être informée du moyen de les activer.

• Les témoins nécessaires au fonctionnement (panier, connexion, sécurité) restent actifs.
• Les outils de mesure d’audience détaillée, de publicité ciblée, de réseaux sociaux ne se déclenchent qu’après activation par le visiteur.
• Le bandeau présente le choix clairement, en français, avec des boutons équivalents pour accepter ou refuser.
• Le choix est modifiable à tout moment, par un lien en pied de page.

Le guide cookies et consentement détaille la mise en place technique, valable aussi pour la France.

Liste de vérification et erreurs à éviter

• Responsable désigné, titre et coordonnées publiés sur le site.
• Politique de confidentialité en français, claire, liée depuis chaque page et chaque formulaire.
• Témoins de suivi désactivés par défaut, bandeau de choix fonctionnel.
• Consentement distinct pour l’infolettre et les offres.
• Inventaire des prestataires et des lieux d’hébergement.
• Registre des incidents de confidentialité tenu à jour.
• Espaces membres et applications réglés sur la confidentialité maximale par défaut.

Erreurs fréquentes

• Reprendre une politique de confidentialité française ou américaine sans l’adapter.
• Un bandeau qui n’offre que « Accepter », ou des outils qui se chargent avant le choix.
• Oublier les renseignements qui circulent hors du site : courriels, exports, fichiers partagés.
• Une politique publiée uniquement en anglais : la Charte de la langue française exige aussi le français (voir loi 96 et site web).

Ces éléments se prévoient dès la conception d’un site au Québec, à Montréal comme à Québec : pages légales, bandeau de témoins, formulaires avec consentement distinct. Les sites que nous livrons excluent déjà les espaces privés de Google. Le contenu juridique reste sous votre responsabilité. Pour une boutique, lisez aussi vendre en ligne au Québec. Écrivez-nous pour en discuter.