Votre site web respecte-t-il la Loi 25 ?
La Loi 25 a fait couler beaucoup d'encre et, disons-le, causé pas mal d'insomnie chez les propriétaires de PME. Pourtant, pour un site web d'entreprise typique, la conformité tient à une poignée de gestes concrets. Voici la liste de vérification qu'on applique à chaque site qui sort de notre atelier, expliquée sans jargon d'avocat.
Avant d'aller plus loin : nous sommes une agence web, pas un cabinet juridique. Ce guide vulgarise les obligations liées à votre site web ; pour une situation particulière, consultez un professionnel du droit.
La Loi 25 en trente secondes
La Loi 25 modernise les règles québécoises de protection des renseignements personnels. Elle est entrée en vigueur par étapes entre septembre 2022 et septembre 2024, et depuis cette dernière date, l'ensemble des obligations s'applique. Le point qui surprend le plus : elle vise toutes les entreprises qui opèrent au Québec, sans exception de taille. Le salon de coiffure à deux chaises est visé au même titre que la multinationale.
Un « renseignement personnel », c'est toute information qui permet d'identifier une personne : un nom, un courriel, un numéro de téléphone, mais aussi une adresse IP ou un historique de navigation. Si votre site a un formulaire de contact, vous en recueillez. Voyons donc ce que votre site doit faire, point par point.
1. Une politique de confidentialité, en français simple
Si votre site recueille des renseignements par des moyens technologiques, et un formulaire en est un, vous devez publier une politique de confidentialité rédigée en termes clairs et simples. Pas un document de quinze pages copié d'un site américain : une page qui explique ce que vous recueillez, pourquoi, combien de temps vous le gardez et qui peut y accéder.
Le test du gros bon sens : si votre beau-frère ne comprend pas votre politique en la lisant une fois, elle n'est pas assez claire.
2. Un responsable désigné, et son nom publié
Chaque entreprise doit avoir un responsable de la protection des renseignements personnels. Par défaut, c'est la personne la plus haut placée : le ou la propriétaire, dans la plupart des PME. Son titre et ses coordonnées doivent être publiés, et le site web est l'endroit tout indiqué, généralement dans la politique de confidentialité.
C'est l'obligation la plus simple de toute la liste, et pourtant celle qu'on voit le plus souvent manquée. Deux lignes sur votre site, et c'est réglé.
3. Des témoins qui attendent la permission
C'est le morceau le plus visible de la loi. Tout outil capable d'identifier, de localiser ou de profiler vos visiteurs doit être désactivé par défaut. Google Analytics, le pixel Meta, les outils de remarketing : aucun ne devrait se charger avant que le visiteur ait dit oui.
Attention au piège classique : une bannière de témoins qui s'affiche pendant que les traceurs tournent déjà en arrière-plan ne règle rien. Le refus doit aussi être aussi simple que l'acceptation, et le visiteur doit pouvoir changer d'idée plus tard. C'est exactement pour ça que, sur les sites qu'on livre, le lien de gestion des témoins reste accessible dans le pied de page de chaque page.
4. Des formulaires qui ne demandent que le nécessaire
La loi impose de limiter la collecte à ce qui est nécessaire. Votre formulaire de soumission a-t-il vraiment besoin de la date de naissance ? Du nombre d'employés ? Chaque champ doit se justifier. Et au moment de la collecte, la personne doit savoir à quoi serviront ses renseignements : une phrase sous le formulaire, avec un lien vers la politique, fait très bien le travail.
5. Un site servi en HTTPS
La loi exige des mesures de sécurité raisonnables. Pour un site web, le strict minimum est un certificat SSL : le cadenas dans la barre d'adresse, qui chiffre ce que vos visiteurs vous envoient. Un formulaire qui transmet des renseignements en clair sur une connexion non sécurisée, en 2026, ce n'est pas défendable.
6. Savoir où dorment vos données
Question rarement posée, mais importante : où sont hébergées les données de votre site et de vos formulaires ? Si des renseignements personnels sortent du Québec, ce qui arrive dès qu'on utilise la plupart des grands hébergeurs et outils infonuagiques, la loi demande d'évaluer les risques avant de les y envoyer. Votre fournisseur web devrait pouvoir vous répondre en une phrase. S'il ne le sait pas, c'est un drapeau rouge.
7. Un plan si ça tourne mal
En cas d'incident de confidentialité, une boîte courriel piratée, un fichier client qui fuit, vous devez tenir un registre des incidents et, si l'incident présente un risque de préjudice sérieux, aviser la Commission d'accès à l'information et les personnes touchées. Le réflexe à retenir : documenter, aviser, corriger. Pas cacher.
Le mot de la fin
Rien dans cette liste ne demande un budget de grande entreprise. L'essentiel se règle avec une bonne politique, une bannière honnête, des formulaires sobres et un fournisseur qui sait où vont vos données. Le plus coûteux, en fait, c'est de ne rien faire et de laisser un concurrent inspirer davantage confiance que vous.
Questions fréquentes
Ma PME compte trois employés. Suis-je vraiment concerné par la Loi 25 ?
Oui. La loi vise toute personne qui exploite une entreprise au Québec, sans seuil de taille ni de chiffre d'affaires. Dès que vous recueillez un renseignement personnel, ne serait-ce que le courriel d'un client dans un formulaire de contact, les obligations s'appliquent.
Google Analytics est-il interdit par la Loi 25 ?
Non, mais il ne peut plus se charger en douce. Un outil qui suit ou profile vos visiteurs doit être inactif par défaut et ne démarrer qu'après un consentement clair, donné par exemple via une bannière de témoins. C'est la configuration qui fait la conformité, pas l'outil lui-même.
Qu'est-ce que je risque concrètement si mon site n'est pas conforme ?
Sur papier, les sanctions montent très haut : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial en sanctions administratives, et davantage au pénal. En pratique, pour une PME, le risque le plus courant est une plainte d'un client à la Commission d'accès à l'information, et la perte de confiance qui vient avec. C'est évitable avec quelques gestes simples.
J'ai installé une bannière de témoins achetée en ligne. Est-ce suffisant ?
Seulement si elle fait vraiment son travail. Beaucoup de bannières affichent un bouton mais laissent les traceurs se charger quand même avant la réponse du visiteur. La bonne question à poser à votre fournisseur : est-ce que les outils de suivi attendent réellement le consentement avant de démarrer ?
Un doute sur votre propre site ?
Envoyez-nous simplement l'adresse de votre site : on regarde la politique, la bannière, les formulaires et le certificat, puis on vous dit où vous en êtes. Tous les sites que nous livrons intègrent ces éléments de série.
Faire vérifier mon site