La Loi 25 s’applique à votre PME dès que votre site web recueille des renseignements personnels : un nom dans un formulaire, un courriel d’infolettre, une adresse IP captée par un outil d’analytique. Elle ne vise pas seulement les grandes entreprises, et votre site en est souvent le point d’entrée le plus visible.
Cet article vous propose une liste de vérification concrète, section par section, pour savoir où vous en êtes. Il ne remplace pas l’avis d’un juriste, mais il vous aide à repérer rapidement les écarts les plus courants sur un site de PME.
Loi 25 : de quoi parle-t-on exactement ?
La Loi 25 est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée par le Québec. Elle a renforcé les règles qui encadrent la façon dont les entreprises du secteur privé recueillent, utilisent, communiquent et conservent les renseignements personnels.
Ses dispositions sont entrées en vigueur par phases : une première en septembre 2022, une deuxième en septembre 2023 (la plus substantielle pour la plupart des PME) et une troisième en septembre 2024. Aujourd’hui, l’ensemble de ces règles est applicable, et il faut donc raisonner en termes de conformité courante plutôt que de préparation.
Désigner une personne responsable de la protection des renseignements personnels
Toute entreprise doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, il s’agit de la personne qui exerce la plus haute autorité, donc souvent la direction ou le propriétaire. Cette fonction peut être déléguée par écrit à un membre du personnel.
Sur votre site, les coordonnées de cette personne doivent être faciles à trouver, généralement dans la politique de confidentialité. Une adresse courriel dédiée évite que les demandes se perdent dans une boîte générale.
Politique de confidentialité et consentement
Votre site doit publier une politique de confidentialité rédigée en termes simples et clairs, accessible depuis toutes les pages. Nous détaillons son contenu dans un article distinct, mais l’idée générale est de dire honnêtement ce que vous recueillez, pourquoi, avec qui vous le partagez et combien de temps vous le gardez.
Le consentement, lui, doit être manifeste, libre, éclairé et donné à des fins spécifiques. Une case précochée ou une acceptation noyée dans de longues conditions générales ne répond pas bien à cette exigence.
Les formulaires de contact et d’infolettre
Vérifiez chaque formulaire : ne demandez que ce dont vous avez besoin, indiquez à quelle fin les données serviront et séparez le consentement à l’infolettre de la simple demande de renseignements. Une case d’abonnement distincte, non cochée par défaut, est une bonne pratique.
Témoins et outils de suivi
Les technologies qui permettent d’identifier, de localiser ou de profiler une personne doivent être désactivées par défaut, et l’internaute doit les activer lui-même. Cela touche notamment certains témoins publicitaires. Notre guide sur le bandeau de cookies explique comment l’aborder sans nuire à l’expérience.
Fournisseurs, hébergement et outils tiers
Votre site repose sur des fournisseurs : hébergeur, outil de courriel, module de réservation, clavardage, analytique. Chacun peut recevoir des renseignements personnels. Dressez la liste de ces fournisseurs, sachez où les données sont hébergées et vérifiez ce que prévoient vos ententes avec eux.
Dans certains cas, notamment lorsque des renseignements sont communiqués à l’extérieur du Québec, la loi demande une évaluation des facteurs relatifs à la vie privée (EFVP). Un bon service d’hébergement et de maintenance facilite ce suivi, car il documente ce qui tourne réellement sur votre site.
Incidents de confidentialité : être prêt avant qu’il arrive
Un incident de confidentialité, c’est par exemple un accès non autorisé, une perte ou une divulgation de renseignements personnels. Votre entreprise doit tenir un registre des incidents. Lorsqu’un incident présente un risque de préjudice sérieux, elle doit aviser la Commission d’accès à l’information (CAI) ainsi que les personnes concernées.
Préparez une courte procédure : qui est prévenu, qui évalue la gravité, qui communique. Un site à jour, avec des accès bien contrôlés et des sauvegardes, réduit la probabilité et l’impact d’un incident.
Sanctions et limites de cet article
Les sanctions peuvent être importantes : des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et des amendes pénales pouvant atteindre 25 M$ ou 4 %. Ces maximums visent les cas graves, mais ils expliquent pourquoi il vaut mieux agir de façon méthodique.
Ce contenu est informatif et ne constitue pas un avis juridique. Pour votre situation précise, consultez un conseiller juridique et, si vous voulez un état des lieux technique de votre site, notre service d’accompagnement Loi 25 est conçu pour cela.
Questions fréquentes
La Loi 25 s’applique-t-elle à un petit site vitrine ?
Oui, si le site recueille des renseignements personnels, même par un simple formulaire de contact ou un outil d’analytique. La taille de l’entreprise ne la dispense pas des règles de base.
Un bandeau de cookies suffit-il pour être conforme ?
Non. Le bandeau n’est qu’un élément. Il faut aussi une politique claire, un responsable désigné, une gestion des fournisseurs et une procédure en cas d’incident.
Qui doit être le responsable de la protection des renseignements personnels ?
Par défaut, la personne qui exerce la plus haute autorité dans l’entreprise. Elle peut déléguer la fonction par écrit à une autre personne.
Passez de l’inquiétude à un plan d’action
Se mettre en règle se fait par étapes : responsable, politique, consentement, fournisseurs, incidents. Notre équipe peut regarder votre site avec vous et vous remettre une liste claire des écarts à corriger. Vous pouvez aussi estimer la valeur de votre présence en ligne avec notre outil Combien vaut mon site web.