Loi 25 au Québec : votre site web est-il conforme ?

La Loi 25 impose aux entreprises qui recueillent des renseignements personnels au Québec de revoir leur site web : formulaires, témoins de connexion, politique de confidentialité. Toutes ses dispositions s'appliquent depuis le 22 septembre 2024. Voici ce qu'elle change concrètement pour votre site, et la liste des points à vérifier.

Cet article est un guide pratique, pas un avis juridique : pour votre situation précise, consultez un conseiller juridique ou la Commission d'accès à l'information (CAI).

La Loi 25, en bref

La Loi 25 modernise les règles québécoises de protection des renseignements personnels. Elle concerne les entreprises qui recueillent, utilisent ou communiquent des renseignements sur des personnes au Québec : un nom, un courriel, un numéro de téléphone, mais aussi des données de navigation.

Un site vitrine avec un simple formulaire de contact est donc concerné, au même titre qu'une boutique en ligne.

Ce que la loi change pour votre site web

1. Un responsable désigné et affiché

L'entreprise doit désigner une personne responsable de la protection des renseignements personnels. Son titre et ses coordonnées doivent être publiés sur le site web (FCEI). Par défaut, cette responsabilité revient à la personne qui dirige l'entreprise.

2. Une politique de confidentialité claire

Votre site doit présenter, en termes simples, quels renseignements vous recueillez, pourquoi, avec qui vous les partagez et comment une personne peut y accéder ou les faire corriger. Une page copiée d'un autre site ne décrit pas vos pratiques réelles : c'est le premier point à reprendre.

3. Les témoins et outils de suivi

Si votre site utilise des technologies qui permettent d'identifier, de localiser ou de profiler un visiteur, comme les témoins publicitaires, vous devez l'en informer et lui indiquer comment activer ces fonctions (Osler). En pratique : ces outils restent désactivés tant que le visiteur ne les a pas acceptés.

Concrètement, votre bandeau de témoins doit :

• proposer d'accepter ou de refuser avec la même facilité ;
• ne charger les outils de mesure et de publicité qu'après l'accord ;
• permettre de changer d'avis plus tard.

4. Des formulaires qui expliquent

Chaque formulaire doit indiquer à quoi serviront les renseignements demandés. Ne demandez que ce dont vous avez besoin : un formulaire de contact n'a pas à exiger une adresse postale ou une date de naissance.

5. La confidentialité par défaut

Les produits ou services technologiques offerts au public doivent être réglés par défaut sur le niveau de confidentialité le plus élevé. Pour un espace client ou une application, cela signifie par exemple un profil non public tant que l'utilisateur n'a pas choisi de le partager.

Quelles sanctions ?

La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial. Les sanctions pénales prononcées par un tribunal peuvent atteindre 25 M$ ou 4 % du chiffre d'affaires mondial pour une entreprise (Osler).

Ces plafonds visent les cas graves. Pour une PME, le risque le plus courant est plus simple : une plainte d'un client, ou une perte de confiance quand le site réclame des renseignements sans expliquer pourquoi.

La liste de vérification pour votre site

• Le titre du responsable et ses coordonnées figurent sur le site.
• La politique de confidentialité décrit vos pratiques réelles, en langage clair.
• Le bandeau de témoins permet de refuser aussi facilement que d'accepter.
• Les outils de publicité et de profilage ne se chargent pas avant l'accord.
• Chaque formulaire précise l'usage des renseignements.
• Les formulaires ne demandent que le nécessaire.
• Vous savez où sont hébergées les données et quels prestataires y ont accès.
• Vous avez une marche à suivre en cas d'incident de confidentialité.

Les quatre premiers points se vérifient en dix minutes, en ouvrant votre site dans une fenêtre de navigation privée.

Faut-il refaire son site ?

Rarement. Dans la plupart des cas, la mise en conformité tient à quelques interventions : un bandeau de témoins correctement branché, des formulaires révisés, une politique de confidentialité réécrite. Une refonte ne se justifie que si le site ne permet pas techniquement ces réglages.

En pratique

Nous appliquons déjà ces principes sur les sites que nous concevons, puisqu'ils rejoignent ceux du RGPD européen : consentement avant tout suivi, formulaires sobres, données hébergées de façon maîtrisée. Basée à Paris, notre équipe travaille à distance, en visioconférence.

Réservez un appel pour un état des lieux de votre site, ou demandez une soumission gratuite : vous la recevez sous 48 h. Découvrez aussi notre offre de maintenance de site web, et notre guide sur le site web bilingue au Québec.