Loi 25 : ce que votre site web doit respecter au Québec

La Loi 25 — officiellement la loi modernisant des dispositions législatives en matière de protection des renseignements personnels — s’applique à toute entreprise qui exerce au Québec, quelle que soit sa taille. Beaucoup de dirigeants la croient réservée aux grandes organisations. Elle ne l’est pas : un commerce de quartier qui collecte des adresses courriel est concerné.

Voici ce que cela change concrètement pour un site web. Ce texte donne des repères pratiques, il ne remplace pas l’avis d’un conseiller juridique sur votre situation précise.

Désigner un responsable de la protection des renseignements personnels

Toute entreprise doit avoir une personne responsable, dont les coordonnées sont publiées. Par défaut, il s’agit de la personne ayant la plus haute autorité. Sur un site, cela se traduit par une mention claire et une adresse de contact dédiée, accessible depuis la politique de confidentialité.

Publier une politique de confidentialité compréhensible

La loi insiste sur un point souvent négligé : la politique doit être rédigée en termes simples et clairs. Un texte juridique copié d’un modèle américain ne remplit pas cette exigence. Elle doit indiquer quels renseignements sont collectés, à quelles fins, qui y a accès, combien de temps ils sont conservés et comment exercer ses droits.

Obtenir un consentement réel pour les témoins de navigation

Les fameux cookies de mesure d’audience et de publicité exigent un consentement libre et éclairé, donné pour des finalités précises. En pratique, cela écarte la bannière qui ne propose que « J’accepte » : refuser doit être aussi simple qu’accepter, et le dépôt des témoins non essentiels doit attendre le choix du visiteur.

Les témoins strictement nécessaires au fonctionnement du site — panier d’achat, session de connexion — n’exigent pas ce consentement.

Signaler les incidents de confidentialité

En cas d’incident présentant un risque de préjudice sérieux, l’entreprise doit aviser la Commission d’accès à l’information ainsi que les personnes concernées, et tenir un registre des incidents. Pour un site web, cela suppose de savoir qui a accès à quoi, et de pouvoir constater rapidement une compromission — donc de disposer de sauvegardes et de journaux d’accès.

Respecter les droits des personnes

Les visiteurs peuvent demander l’accès à leurs renseignements, leur rectification, et depuis 2024 leur transfert dans un format technologique structuré et couramment utilisé — c’est le droit à la portabilité. Si votre site conserve des comptes clients, il faut être en mesure d’exporter les données d’une personne sur demande.

Par où commencer, concrètement

Trois chantiers suffisent à couvrir l’essentiel pour un site d’entreprise classique :

• Inventorier ce que le site collecte réellement : formulaires, comptes, statistiques, outils publicitaires, modules de discussion en direct.
• Reprendre la politique de confidentialité à partir de cet inventaire, en français clair, avec le responsable et ses coordonnées.
• Mettre en place une bannière de consentement qui bloque réellement les scripts non essentiels tant que le choix n’est pas fait — une bannière décorative n’a aucune valeur.

Le premier point est le plus instructif : beaucoup de sites collectent des données par l’intermédiaire d’extensions installées puis oubliées. Faire le ménage réduit à la fois le risque juridique et le temps de chargement.

Si vous voulez faire le point sur votre site existant, prenons rendez-vous : un état des lieux prend moins d’une heure.