Loi 25 et votre site web : le guide complet pour les PME (2026)

Oui, la Loi 25 touche directement votre site web. Toutes ses obligations sont en vigueur depuis septembre 2024, et cinq d'entre elles se voient sur votre site : le titre et les coordonnées de votre responsable de la protection des renseignements personnels doivent y être publiés, votre politique de confidentialité doit y être affichée en termes simples, vos formulaires doivent recueillir un consentement valable pour chaque usage, les outils qui permettent d'identifier, de localiser ou de profiler un visiteur ne peuvent pas être activés par défaut, et les fournisseurs qui reçoivent vos données hors du Québec doivent avoir été évalués. Ce guide passe chaque point en revue, puis vous dit quoi corriger en premier.

Ce texte vulgarise la loi pour une PME. Ce n'est pas un avis juridique : pour un cas précis, consultez un avocat.

La loi en bref

La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Elle a été adoptée en 2021 et appliquée en trois étapes, selon la Commission d'accès à l'information (CAI) :

• Septembre 2022 : désignation d'un responsable, gestion des incidents de confidentialité et registre des incidents.
• Septembre 2023 : la majorité des obligations, dont la politique de confidentialité, le consentement, les témoins et technologies de profilage, la confidentialité par défaut et l'évaluation des transferts hors Québec.
• 22 septembre 2024 : le droit à la portabilité, c'est-à-dire transmettre à une personne, sur demande, les renseignements informatisés recueillis auprès d'elle dans un format structuré et couramment utilisé.

La loi s'applique aux entreprises, peu importe leur taille. Un travailleur autonome qui recueille des noms et des courriels par un formulaire est concerné au même titre qu'une grande société, même si ce qu'on attend de lui est proportionnel.

Le responsable de la protection des renseignements personnels

Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise, donc souvent le propriétaire ou le président. Cette fonction peut être déléguée par écrit, en tout ou en partie, à quelqu'un d'autre.

Sur votre site, il faut publier le titre et les coordonnées de cette personne. Concrètement :

• Une mention dans la politique de confidentialité et, idéalement, dans le pied de page.
• Un titre (« Responsable de la protection des renseignements personnels ») plutôt qu'un nom seul.
• Une adresse courriel qui sera lue, par exemple vieprivee@votreentreprise.ca, et non un formulaire générique qui se perd.

La politique de confidentialité

La loi exige une politique rédigée en termes simples et clairs, publiée sur votre site, et vous devez aviser les gens quand elle change. Une politique copiée d'un autre site ou générée sans adaptation est un risque : elle décrit des pratiques qui ne sont pas les vôtres.

Une bonne politique pour une PME répond à ces questions :

• Quels renseignements recueillez-vous (formulaires, courriels, appels, témoins, outils de clavardage)?
• Pourquoi les recueillez-vous, fin par fin?
• Par quels moyens (formulaire, outil d'analyse, pixel publicitaire)?
• Qui y a accès, à l'interne et chez vos fournisseurs?
• Où sont-ils conservés, et sont-ils communiqués hors du Québec?
• Combien de temps les gardez-vous, et comment les détruisez-vous?
• Comment une personne peut-elle consulter, corriger ou retirer ses renseignements, ou demander leur portabilité?
• Qui contacter, et comment porter plainte?

À distinguer : la loi exige aussi des politiques de gouvernance internes (conservation et destruction, rôles du personnel, traitement des plaintes). Leurs grandes lignes doivent être publiées, souvent dans la même page que la politique de confidentialité.

Les formulaires

Les formulaires sont l'endroit où votre site recueille le plus de renseignements personnels. Selon la CAI, le consentement doit être manifeste, libre, éclairé, donné à des fins spécifiques et demandé pour chacune de ces fins, en termes simples. Pour un site, ça donne :

1. Demandez seulement ce qui sert. Pour rappeler quelqu'un, un nom, un courriel ou un téléphone et un message suffisent. Chaque champ de trop est un renseignement de plus à protéger.
2. Dites à quoi sert le formulaire, juste au-dessus du bouton. Une phrase suffit : « Nous utilisons ces renseignements pour répondre à votre demande. » avec un lien vers la politique.
3. Séparez les fins. Répondre à une demande de soumission et ajouter la personne à votre infolettre sont deux fins différentes. L'infolettre demande une case distincte, non cochée d'avance.
4. Vérifiez où vont les données. Un formulaire qui envoie tout dans une boîte courriel partagée, un CRM et un outil d'automatisation multiplie les copies. Chacune compte.

Pour l'infolettre, la Loi canadienne anti-pourriel (LCAP) ajoute ses propres règles : un consentement exprès n'expire pas tant qu'il n'est pas retiré, alors qu'un consentement tacite lié à une simple demande d'information ne dure que six mois. Chaque demande de désabonnement doit être traitée en 10 jours ouvrables ou moins. Les deux lois s'appliquent en même temps.

Les témoins et les outils de suivi

C'est le point qui a le plus changé l'apparence des sites québécois. La CAI résume la règle ainsi : une technologie qui permet d'identifier, de localiser ou de profiler une personne doit lui être signalée au préalable, et les fonctions qui le permettent ne peuvent pas être activées par défaut.

Une nuance mérite d'être comprise. La règle distincte sur la confidentialité par défaut des produits technologiques ne vise pas les paramètres des témoins de connexion. Mais cela ne vous dispense pas de la règle sur les technologies de profilage. Or les pixels publicitaires (Meta, Google Ads, LinkedIn) et le remarketing servent justement à profiler. En pratique, la façon la plus prudente de respecter la loi est la même que celle des sites européens : rien ne se déclenche avant le choix du visiteur.

Voici comment faire :

1. Faites l'inventaire. Listez tout ce qui se charge sur votre site : Google Analytics, Google Tag Manager, Meta Pixel, balises Google Ads, cartes de chaleur, clavardage, vidéos intégrées. Beaucoup de sites en ont plus que leur propriétaire ne le pense.
2. Classez-les. Nécessaires au fonctionnement (panier, sécurité, mémorisation du choix de langue), mesure d'audience, publicité.
3. Installez une bannière qui bloque vraiment. Les outils non nécessaires restent éteints tant que la personne n'a pas accepté. Refuser doit être aussi simple qu'accepter.
4. Branchez le mode de consentement de Google. Il transmet le choix du visiteur aux balises Google : si la personne refuse, elles n'écrivent pas de témoins. Google précise toutefois que le mode de consentement ne fournit pas de bannière; il en faut une à côté.
5. Testez. Ouvrez votre site dans une fenêtre privée, refusez, et vérifiez dans les outils du navigateur qu'aucun témoin publicitaire n'apparaît.

Une bannière qui s'affiche mais laisse tout se charger en arrière-plan est le problème le plus fréquent. Elle donne l'impression d'être conforme sans l'être.

Les fournisseurs et les données hors du Québec

Votre site s'appuie sûrement sur des services hébergés ailleurs : hébergeur, outil de formulaire, CRM, plateforme d'infolettre, agenda en ligne. Avant de communiquer des renseignements personnels à l'extérieur du Québec, la loi exige une évaluation des facteurs relatifs à la vie privée (EFVP), et la communication n'est permise que si les renseignements bénéficient d'une protection adéquate.

Pour une PME, l'exercice peut rester simple :

• Dressez la liste des fournisseurs qui reçoivent des données de votre site et notez dans quel pays ils les hébergent.
• Lisez leur entente de traitement des données ou leurs conditions sur la sécurité.
• Consignez votre analyse : quelles données, pourquoi ce fournisseur, quelles protections, quels risques.
• Encadrez le tout par contrat.

La même évaluation est exigée avant d'acquérir, de développer ou de refondre un système d'information qui traite des renseignements personnels. Une refonte de site avec un nouveau CRM en est un bon exemple.

Les incidents de confidentialité

Un formulaire mal configuré qui expose les demandes des clients, un compte courriel piraté, un ordinateur volé : ce sont des incidents de confidentialité. La loi exige de prendre des mesures pour réduire le risque, de tenir un registre de tous les incidents (même les petits) et de le remettre à la CAI si elle le demande. Quand l'incident présente un risque de préjudice sérieux, il faut aviser la Commission et les personnes concernées.

Un tableur suffit comme registre : date, description, renseignements touchés, nombre de personnes, évaluation du risque, mesures prises.

Les sanctions

La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé. Elle peut aussi intenter des poursuites pénales : les amendes vont alors de 15 000 $ jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et elles doublent en cas de récidive. Les personnes lésées peuvent aussi réclamer des dommages-intérêts punitifs d'au moins 1 000 $ en cas d'atteinte intentionnelle ou de faute lourde.

Ces plafonds visent surtout les grandes entreprises. Pour une PME, le vrai risque est ailleurs : une plainte d'un client, une demande de la CAI à laquelle vous ne savez pas répondre, ou un incident mal géré qui abîme votre réputation.

Quoi corriger en premier

Si vous partez de zéro, voici un ordre réaliste, du plus visible au plus interne :

1. Désignez le responsable et publiez son titre et une adresse courriel sur le site.
2. Mettez à jour la politique de confidentialité pour qu'elle décrive vos pratiques réelles, en termes simples.
3. Bloquez les témoins publicitaires et analytiques jusqu'au consentement, avec une bannière qui offre un vrai choix.
4. Allégez et clarifiez vos formulaires, avec une case distincte et non cochée pour l'infolettre.
5. Listez vos fournisseurs et faites l'évaluation pour ceux qui hébergent des données hors du Québec.
6. Créez le registre des incidents, même vide, et décidez qui le tient.
7. Rédigez vos règles de conservation : combien de temps vous gardez les demandes de soumission, les candidatures et les courriels, puis appliquez-les.

Les trois premiers points se règlent souvent en quelques jours. Les suivants demandent un peu de réflexion, mais rarement un gros budget.

Ce que nous faisons de notre côté

Chez PNE Solutions, nous traitons ces points comme une partie normale de la conception d'un site : une bannière qui bloque réellement les outils de suivi jusqu'au choix du visiteur, le mode de consentement de Google branché, des formulaires réduits à l'essentiel et la liste des outils qui reçoivent des données. Si votre site actuel n'est pas à jour, notre service de conception de sites web commence par cet inventaire. Et si votre site vise aussi l'Europe, notre guide sur le RGPD (en anglais) couvre les différences : GDPR for small-business websites.

Sources

• Principaux changements apportés par la Loi 25 — Commission d'accès à l'information du Québec
• Loi 25 : ce que les PME doivent savoir — FCEI
• Loi 25 : certaines dispositions entrent en vigueur aujourd'hui — Gouvernement du Québec
• Loi 25 : nouveau régime d'application de la loi québécoise sur la protection des renseignements personnels — Osler
• Mode Consentement sur les sites Web et dans les applications mobiles — Aide Google Analytics
• Obtenir le consentement pour envoyer des courriels — Innovation, Sciences et Développement économique Canada