Loi 25 et site web au Québec : ce que votre site doit respecter

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) encadre la façon dont les entreprises québécoises recueillent et utilisent les renseignements personnels. Ses obligations sont entrées en vigueur par étapes entre septembre 2022 et septembre 2024, et le gros du dispositif s'applique depuis septembre 2023. Le point important pour vous : il n'y a pas de seuil de taille. Un formulaire de contact, une inscription à l'infolettre ou un simple témoin de mesure d'audience suffisent à déclencher ces obligations, même pour un travailleur autonome ou un petit commerce.

Le consentement aux témoins de connexion : c'est la partie visible de la conformité. Les témoins qui ne sont pas nécessaires au fonctionnement du site (mesure d'audience, publicité, réseaux sociaux) ne doivent s'activer qu'après un consentement clair, libre et éclairé du visiteur. Concrètement, votre site a besoin d'une bannière de consentement qui explique ce qui est recueilli et pourquoi, qui permet de refuser aussi simplement que d'accepter, et qui n'installe rien de non essentiel tant que la personne n'a pas dit oui.

La politique de confidentialité : la Loi 25 impose de publier sur votre site une politique rédigée en termes clairs. Elle décrit quels renseignements vous recueillez (nom, courriel, téléphone, données de navigation), dans quel but, qui y a accès, combien de temps vous les conservez, et comment une personne peut consulter ses renseignements ou en demander la suppression. Une politique générique copiée d'un site européen ne convient pas : elle doit refléter ce que votre site fait réellement, dans le cadre québécois.

Le responsable de la protection des renseignements personnels : chaque entreprise doit en désigner un. Par défaut, ce rôle revient à la personne ayant la plus haute autorité dans l'entreprise (le dirigeant, dans une PME), qui peut le déléguer par écrit. Son titre et ses coordonnées doivent être publiés sur votre site, en général dans la politique de confidentialité, pour que vos clients sachent à qui s'adresser au sujet de leurs renseignements.

La minimisation des données : la loi pose un principe simple, ne recueillir que ce qui est nécessaire. Un formulaire de contact qui exige la date de naissance ou l'adresse postale pour une simple demande de soumission collecte trop. Chaque champ de vos formulaires doit se justifier. C'est une bonne pratique de conception autant qu'une obligation : des formulaires courts convertissent mieux, et ils vous exposent moins.

L'infolettre et la LCAP : pour vos courriels commerciaux, la Loi 25 se double d'une loi fédérale, la Loi canadienne anti-pourriel (LCAP). L'inscription à votre infolettre exige un consentement explicite (une case que la personne coche elle-même, jamais pré-cochée), l'identification claire de votre entreprise dans chaque envoi et un mécanisme de désabonnement simple. Un site bien conçu intègre ce consentement dès le formulaire d'inscription, avant le raccordement à votre outil d'envoi.

Ce que cela change pour votre projet de site : la Commission d'accès à l'information du Québec veille à l'application de la loi et peut imposer des sanctions administratives pécuniaires importantes. La bonne approche n'est pas de rattraper la conformité après une mise en demeure, mais de la traiter pendant le projet. C'est ainsi que nous travaillons pour nos clients québécois : chaque site livré comprend la bannière de consentement aux témoins, la politique de confidentialité rédigée, des formulaires réduits au strict nécessaire et le responsable de la protection des renseignements personnels identifié. Notre site vitrine professionnel, dès 1 390 $ CAD taxes en sus, inclut cette conformité d'office. Le détail de notre accompagnement au Québec est présenté sur notre page dédiée au Canada, avec un diagnostic gratuit de 30 minutes et une soumission détaillée.

Un site conforme à la Loi 25, livré clé en main →