La Loi 25 — la réforme québécoise de la protection des renseignements personnels — s'applique aux entreprises privées, pas seulement aux organismes publics. Et le seuil est plus bas que la plupart des propriétaires ne le pensent : dès que vous recueillez un nom et un courriel dans un formulaire, vous êtes concerné.
Ce texte couvre ce qu'un site web doit faire concrètement. Ce n'est pas un avis juridique — pour les cas complexes, notamment si vous traitez des données sensibles, parlez à un juriste.
Ce qui compte comme renseignement personnel
Plus de choses qu'on ne l'imagine : nom, courriel, téléphone, adresse, mais aussi une adresse IP, un identifiant de suivi, ou l'historique de navigation associé à une personne identifiable.
Autrement dit, un site avec un formulaire de contact et un outil d'analyse recueille des renseignements personnels. La question n'est pas « est-ce que je suis concerné », mais « est-ce que je fais le minimum ».
Les cinq obligations concrètes
1. Une personne responsable
Toute entreprise doit désigner un responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité — le propriétaire, dans une PME.
Ses coordonnées doivent être publiées sur le site. C'est la partie la plus simple et la plus souvent manquante.
2. Une politique de confidentialité qui décrit la réalité
Pas un modèle copié qui parle de services que vous n'utilisez pas.
Elle doit dire : quels renseignements vous recueillez, pourquoi, combien de temps vous les conservez, avec qui vous les partagez — ce qui inclut vos fournisseurs : hébergeur, outil d'analyse, service d'envoi de courriels, CRM — et comment une personne peut y accéder, les corriger ou les faire supprimer.
Le test : si vous lisez votre politique et qu'elle ne correspond pas à ce que fait réellement votre site, elle est inutile.
3. Le consentement pour le suivi
C'est la partie qui concerne les cookies.
Les cookies strictement nécessaires au fonctionnement du site — panier, session, préférence de langue — ne demandent pas de consentement.
Les cookies d'analyse, de publicité et de suivi comportemental en demandent un, obtenu avant leur dépôt.
En pratique, ça veut dire : le bandeau doit permettre de refuser aussi facilement que d'accepter, les scripts de suivi ne doivent pas se charger avant le choix, et refuser doit réellement empêcher le suivi — pas seulement masquer le bandeau.
Ce dernier point est celui que la plupart des implémentations ratent : le bandeau s'affiche, mais l'outil d'analyse a déjà démarré. Vérifiez dans l'onglet réseau si des requêtes de suivi partent avant votre clic.
Conséquence à accepter : vos statistiques ne mesureront qu'une partie des visiteurs. C'est le prix de la conformité, pas un bogue.
4. La conservation limitée
Vous ne pouvez pas garder des renseignements indéfiniment « au cas où ». Fixez une durée et détruisez ensuite.
Concrètement pour une PME : les soumissions de formulaire qui n'ont mené à rien n'ont pas besoin d'être conservées trois ans. Décidez d'une durée, écrivez-la dans la politique, et appliquez-la.
5. Les incidents de confidentialité
En cas d'incident présentant un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information et les personnes concernées, et tenir un registre des incidents.
Pour un site de PME, le scénario réaliste est une base de données compromise ou une boîte courriel piratée. Savoir d'avance quoi faire vaut mieux que l'improviser.
Le lien avec la sécurité
Ces obligations impliquent des mesures de sécurité raisonnables. Ça rejoint directement l'hygiène de base : mises à jour, authentification à deux facteurs, comptes inutiles supprimés, sauvegardes testées. Le sujet est traité dans l'article sur la sécurité et les sauvegardes.
Une entreprise qui conserve des données de clients sur un site jamais mis à jour ne respecte pas l'esprit de la loi, quelle que soit sa politique de confidentialité.
Ce que la loi n'exige pas
Un bandeau sur chaque page pour un site sans suivi. Si vous n'utilisez aucun outil d'analyse ni de publicité, vous n'avez pas besoin d'un bandeau de consentement. Beaucoup de sites en affichent un par précaution alors qu'ils n'ont rien à faire consentir.
De supprimer vos analytiques. Elles sont permises avec consentement.
Un audit coûteux. Pour un site vitrine avec un formulaire, les obligations tiennent en une politique honnête, un responsable nommé, et un bandeau qui fonctionne réellement.
La liste de vérification
- Le responsable est nommé et ses coordonnées sont publiées.
- La politique de confidentialité décrit ce que vous faites réellement, et elle existe en français.
- Le bandeau permet de refuser aussi facilement que d'accepter.
- Aucun script de suivi ne se charge avant le choix — vérifié dans l'onglet réseau.
- Vous savez où vivent les soumissions de formulaire et combien de temps vous les gardez.
- Vos fournisseurs qui traitent des données sont listés dans la politique.
- Les mesures de sécurité de base sont en place.
Ce qu'il faut retenir
La Loi 25 ne demande pas un appareil juridique. Elle demande de savoir quelles données vous détenez, de le dire honnêtement, de ne pas suivre les gens sans leur accord, et de ne pas tout garder pour toujours.
Le point qui échoue le plus souvent en pratique : un bandeau qui s'affiche pendant que le suivi a déjà commencé. Vérifiez celui-là en premier.
Si vous préférez que ce soit fait plutôt qu'expliqué, voyez notre service de création de site web.