Chaque formulaire de contact, inscription à l’infolettre, balise d’analyse et page de paiement de votre site Web recueille des renseignements personnels. Au Québec, votre site est donc directement visé par la Loi 25, qui a refondu les règles de protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur graduellement entre septembre 2022 et septembre 2024, et elles s’appliquent toutes aujourd’hui. Pourtant, bien des sites Web de PME affichent encore une politique de confidentialité générique copiée d’un autre site, une bannière de témoins (cookies) qui ne fait rien, ou aucune bannière du tout.
Ce guide transforme la conformité de votre site Web à la Loi 25 en tâches concrètes : ce que la loi exige, ce que cela signifie pour vos formulaires, vos outils d’analyse, votre bannière de témoins et votre page de politique de confidentialité, et une liste de vérification à passer en revue avec votre équipe ou votre agence Web.
Important : cet article fournit de l’information générale et ne constitue pas un avis juridique. Vos obligations en matière de vie privée dépendent de vos activités et des données que vous traitez; consultez un avocat pour votre situation.
Qu’est-ce que la Loi 25?
La Loi 25 (anciennement le projet de loi 64), la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a modifié la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. Elle s’applique aux entreprises qui recueillent, détiennent, utilisent ou communiquent des renseignements personnels sur des personnes au Québec, peu importe leur taille. Il n’existe aucune exemption pour les petites entreprises. L’organisme de surveillance est la Commission d’accès à l’information du Québec (CAI).
Les obligations sont entrées en vigueur en trois étapes :
| Date | Principales obligations |
|---|---|
| 22 septembre 2022 | Désigner un responsable de la protection des renseignements personnels; gérer, déclarer et consigner les incidents de confidentialité. |
| 22 septembre 2023 | Politiques de gouvernance; politique de confidentialité publiée sur votre site Web; règles de consentement plus strictes; transparence sur les technologies de suivi; paramètres de confidentialité les plus élevés par défaut; évaluations des facteurs relatifs à la vie privée pour les nouveaux systèmes et les communications hors Québec; règles de conservation et de destruction; nouveau régime de sanctions. |
| 22 septembre 2024 | Portabilité des données : fournir, sur demande, les renseignements personnels dans un format technologique structuré et couramment utilisé. |
Les six piliers de la conformité d’un site Web à la Loi 25
1. Un responsable de la protection des renseignements personnels
Par défaut, la personne ayant la plus haute autorité au sein de votre entreprise, souvent le propriétaire ou le PDG, est la personne responsable de la protection des renseignements personnels. Ce rôle peut être délégué par écrit à une autre personne, à l’interne ou à l’externe. Son titre et ses coordonnées doivent être publiés sur votre site Web.
Sur votre site Web : ajoutez le titre du responsable et un moyen de le joindre, comme une adresse courriel dédiée, à votre page de politique de confidentialité et, idéalement, à votre page de contact. Une adresse liée à la fonction (par exemple, une adresse « confidentialite@ ») est plus facile à gérer qu’une adresse personnelle.
2. Une page de politique de confidentialité claire
Depuis le 22 septembre 2023, une entreprise qui recueille des renseignements personnels par un moyen technologique doit publier sur son site Web une politique de confidentialité rédigée en termes clairs et simples, et diffuser un avis de toute modification. Lorsque vous recueillez des renseignements, vous devez aussi informer les personnes des fins de la collecte, des moyens utilisés, de qui peut y avoir accès, de leurs droits d’accès et de rectification, de leur droit de retirer leur consentement et de la possibilité que les renseignements soient communiqués à l’extérieur du Québec.
Une bonne politique de confidentialité de site Web couvre habituellement :
- Les renseignements que vous recueillez (formulaires, commandes, comptes, témoins, outils d’analyse, clavardage).
- Pourquoi vous les recueillez et comment vous les utilisez.
- Les fournisseurs de services tiers concernés (hébergement, marketing par courriel, paiement, analyse) et si les données peuvent être stockées hors Québec.
- Combien de temps vous les conservez et comment elles sont détruites ou anonymisées.
- Les technologies de suivi utilisées et comment les activer ou les désactiver.
- Comment les personnes peuvent consulter ou rectifier leurs renseignements, en demander une copie et retirer leur consentement.
- Le titre et les coordonnées de votre responsable, ainsi que la façon de déposer une plainte.
Ajoutez un lien vers cette politique dans votre pied de page, près de vos formulaires et dans votre bannière de témoins, et publiez-la aussi en français; consultez notre guide sur les règles de la langue française au Québec pour les sites Web d’entreprise.
3. Témoins, suivi et paramètres de confidentialité par défaut
C’est ici que la plupart des sites Web sont en défaut. Deux règles de la Loi 25 sont importantes :
- Technologies de suivi : si vous utilisez une technologie permettant d’identifier, de localiser ou d’effectuer un profilage d’une personne, vous devez l’informer au préalable de son utilisation et des moyens d’activer ces fonctions. Le profilage consiste à utiliser des renseignements personnels pour analyser, par exemple, les préférences, les intérêts ou le comportement. Les pixels publicitaires et les témoins servant au reciblage ou à la création d’audiences en sont des exemples typiques.
- Confidentialité par défaut : un produit ou service technologique offert au public et doté de paramètres de confidentialité doit offrir, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de l’utilisateur. La loi exclut expressément de cette règle les paramètres de témoins du navigateur, mais les orientations du gouvernement du Québec indiquent que les fonctions d’identification, de localisation et de profilage ne devraient pas s’activer tant que la personne n’a pas posé un geste positif, comme cliquer sur « Accepter ».
Concrètement, pour un site Web :
- Utilisez un outil de gestion du consentement (une vraie bannière de témoins) qui bloque les témoins et balises non essentiels, comme les pixels publicitaires et les balises de remarketing, jusqu’à ce que le visiteur les accepte.
- Offrez un choix aussi facile à refuser qu’à accepter, avec des catégories (nécessaires, analyse, marketing).
- Gardez actifs les témoins strictement nécessaires (sécurité, panier, langue) et expliquez-les.
- Configurez Google Analytics et les outils semblables avec le mode consentement et des paramètres respectueux de la vie privée, et demandez-vous si vous avez vraiment besoin de chacune de vos balises.
- Réglez par défaut les paramètres de confidentialité des comptes ou applications que vous offrez (profils publics, options de partage) sur l’option la plus privée.
Si votre configuration comprend de la publicité, du suivi intersites ou du profilage, obtenez un avis juridique sur la configuration de votre bannière.
4. Formulaires et consentement
Le consentement doit être manifeste, libre et éclairé, et être demandé à des fins spécifiques, en termes simples, distinctement de toute autre information. Pour un site Web, cela se traduit par :
- Recueillir seulement les champs réellement nécessaires dans chaque formulaire.
- Expliquer, près du formulaire, à quoi serviront les renseignements, avec un lien vers votre politique de confidentialité.
- Utiliser une case distincte et non cochée pour l’infolettre ou le marketing, séparée de l’acceptation des conditions ou de l’envoi d’une demande de soumission.
- Ne pas recueillir de renseignements sur des enfants de moins de 14 ans sans le consentement du titulaire de l’autorité parentale ou du tuteur.
- Vous assurer que les soumissions de formulaires sont stockées de façon sécuritaire, et supprimer les anciennes soumissions dont vous n’avez plus besoin.
5. Incidents de confidentialité
Un incident de confidentialité est tout accès, utilisation ou communication non autorisé de renseignements personnels, ou leur perte. Depuis le 22 septembre 2022, si vous avez des motifs de croire qu’un incident s’est produit, vous devez prendre des mesures raisonnables pour diminuer les risques de préjudice. Si l’incident présente un risque de préjudice sérieux, vous devez aviser promptement la CAI et les personnes concernées. Vous devez aussi tenir un registre de tous les incidents, même mineurs, et le transmettre à la CAI sur demande.
Pour votre site Web, les incidents courants proviennent de sites piratés, d’extensions désuètes, de données de formulaires exposées et de mots de passe faibles. Les mises à jour, l’authentification forte, la surveillance et des sauvegardes testées sont votre meilleure prévention. C’est le cœur d’un véritable plan d’entretien et de sécurité de site Web.
6. Évaluations des facteurs relatifs à la vie privée et portabilité des données
Avant d’acquérir, de développer ou de refondre un système d’information ou une prestation électronique de services impliquant des renseignements personnels, vous devez réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) proportionnée à la sensibilité, à la quantité et à la finalité des données. Une EFVP est aussi requise avant de communiquer des renseignements personnels à l’extérieur du Québec. Un nouveau site Web avec comptes clients, un nouveau CRM, un système de réservation ou une boutique en ligne en sont des déclencheurs typiques.
L’EFVP doit aussi s’assurer que le système permet de communiquer les renseignements personnels informatisés dans un format technologique structuré et couramment utilisé. Cela rejoint le droit à la portabilité en vigueur depuis le 22 septembre 2024 : sur demande, vous devez fournir les renseignements personnels recueillis auprès d’une personne dans un tel format, à moins que cela ne soulève des difficultés pratiques sérieuses. Pour un site Web, choisissez des plateformes et des extensions qui permettent d’exporter proprement les données clients (par exemple en CSV ou en JSON).
Sanctions
Depuis le 22 septembre 2023, la CAI peut imposer aux entreprises des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial, et elles sont doublées en cas de récidive. Les personnes peuvent aussi intenter des poursuites en dommages-intérêts, y compris des dommages-intérêts punitifs d’au moins 1 000 $ lorsque l’atteinte est intentionnelle ou résulte d’une faute lourde.
Votre liste de vérification : conformité de votre site Web à la Loi 25
- Désignez votre responsable et publiez son titre et ses coordonnées sur votre site Web.
- Publiez une page de politique de confidentialité claire et bilingue, avec un lien dans le pied de page, les formulaires et la bannière de témoins.
- Faites l’inventaire de chaque témoin, pixel, balise, extension et outil tiers sur votre site.
- Installez un outil de gestion du consentement qui bloque le suivi non essentiel jusqu’au consentement.
- Configurez Google Analytics, les balises publicitaires et les contenus intégrés pour qu’ils respectent les choix de consentement.
- Réduisez vos formulaires aux champs essentiels et ajoutez des énoncés de finalité et des consentements marketing distincts.
- Réglez par défaut les paramètres de confidentialité des comptes ou espaces membres sur l’option la plus privée.
- Définissez des durées de conservation et supprimez les anciennes soumissions de formulaires, commandes et comptes inactifs.
- Dressez la liste des fournisseurs qui stockent des données hors Québec et documentez votre évaluation.
- Créez un registre des incidents de confidentialité et une procédure d’intervention simple.
- Réalisez une EFVP avant de lancer un nouveau site Web, CRM, boutique en ligne ou système de réservation.
- Confirmez que vous pouvez exporter les données d’une personne dans un format courant si elle le demande.
- Gardez WordPress, vos thèmes et vos extensions à jour, avec sauvegardes et surveillance de sécurité.
Vous bâtissez un nouveau site? Il est beaucoup plus simple d’intégrer la protection de la vie privée dès le départ que de l’ajouter après coup. Nous planifions le consentement, les formulaires et le stockage des données dans chaque projet de conception de site Web, y compris les boutiques en ligne. Pour un examen plus large de votre présence numérique, consultez notre liste de vérification de la présence en ligne pour les entreprises québécoises.
Questions fréquentes
La Loi 25 s’applique-t-elle à ma petite entreprise?
Oui, la Loi 25 s’applique aux entreprises de toutes tailles qui traitent des renseignements personnels au Québec. Les obligations se veulent proportionnées à vos activités, mais il n’existe aucune exemption générale pour les petites entreprises.
Ai-je besoin d’une bannière de témoins au Québec?
Si votre site Web utilise des témoins ou des balises permettant d’identifier, de localiser ou de profiler les visiteurs, comme les pixels publicitaires et de remarketing, vous devez en informer les visiteurs et leur permettre d’activer ces fonctions. Une bannière de consentement qui bloque ces outils jusqu’à l’acceptation est la façon la plus courante de le faire.
Qui devrait être mon responsable de la protection des renseignements personnels?
Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise. Cette personne peut déléguer le rôle par écrit, par exemple à une directrice de bureau ou à un consultant externe. Son titre et ses coordonnées doivent figurer sur votre site Web.
Que faire si mon site Web est piraté?
Contenez le problème, sécurisez le site, évaluez si des renseignements personnels ont été consultés et s’il existe un risque de préjudice sérieux, consignez l’incident dans votre registre, puis avisez la CAI et les personnes concernées si nécessaire. Corrigez ensuite la cause du problème.
Vous voulez que vos formulaires, votre bannière de témoins, vos outils d’analyse et votre page de confidentialité soient bien configurés sur WordPress ou Shopify? Loubane aide les entreprises de Montréal et de partout au Québec à mettre en place les éléments techniques, en collaboration avec votre conseiller juridique. Contactez-nous ou appelez-nous ou écrivez-nous sur WhatsApp au 438-933-7601.
Site Web, SEO ou marketing : parlons de votre projet
Tarif sur devis, à partir de 999 $ + taxes
Soumission gratuite, sans engagement. Agence bilingue basée à Montréal.
Obtenir ma soumission gratuite
