Depuis septembre 2023, l’essentiel de la Loi 25 s’applique aux entreprises du Québec. Pour une PME, c’est souvent le site web qui rend la loi visible : c’est là qu’on recueille des courriels, qu’on mesure l’audience, et là que la Commission d’accès à l’information (CAI) s’attend à trouver certaines informations. Voici ce que la loi demande, rapporté à un site vitrine ordinaire.
Ce qu’est la Loi 25, en deux phrases
La Loi 25 est le nom courant de la loi qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Adoptée le 21 septembre 2021 et sanctionnée le 22 septembre 2021, elle est entrée en vigueur par étapes :
- 22 septembre 2022 : désignation d’un responsable et gestion des incidents de confidentialité ;
- 22 septembre 2023 : l’essentiel des autres obligations, dont la politique de confidentialité et les règles de consentement ;
- 22 septembre 2024 : le droit à la portabilité, c’est-à-dire obtenir ses renseignements dans un format structuré et couramment utilisé.
Toutes ces étapes sont passées : les obligations ci-dessous s’appliquent aujourd’hui.
Nommer un responsable et publier ses coordonnées
Par défaut, la personne qui a la plus haute autorité dans l’entreprise est responsable de la protection des renseignements personnels. Elle peut déléguer ce rôle par écrit, mais la CAI rappelle qu’elle en reste imputable.
Côté site, l’obligation est simple : le titre et les coordonnées du responsable doivent être publiés sur le site de l’entreprise (art. 3.1). Un nom, une fonction et une adresse de courriel qui aboutit, dans la politique de confidentialité ou les mentions légales, suffisent.
Publier une politique de confidentialité lisible
Dès que vous recueillez des renseignements personnels par un moyen technologique (un formulaire de contact en est un), vous devez publier une politique de confidentialité rédigée en termes simples et clairs (art. 8.2). Chaque modification doit aussi faire l’objet d’un avis.
Concrètement, la politique d’un site vitrine répond à quelques questions :
- quels renseignements le site recueille, et par quel formulaire ;
- à quoi ils servent, et combien de temps ils sont gardés ;
- quels prestataires les traitent (hébergeur, service d’envoi de courriels, outil de mesure d’audience) et où ;
- comment exercer ses droits : accès, rectification, retrait du consentement ;
- qui est le responsable, et comment le joindre.
Le guide de la CAI sur les politiques de confidentialité (décembre 2023) détaille ces points : cai.gouv.qc.ca.
Demander un consentement qui en est un
La loi exige un consentement manifeste, libre, éclairé et donné à des fins spécifiques (art. 14). Il se demande pour chaque fin, en termes simples, et séparément de toute autre information quand il est demandé par écrit.
Pour un formulaire, cela veut dire :
- une case à cocher par finalité, jamais cochée d’avance ;
- un libellé qui dit ce qui sera fait, par exemple « recevoir une réponse à ma demande » ou « recevoir les nouveaux guides par courriel » ;
- pas de finalité cachée : un formulaire de contact n’inscrit pas à une infolettre.
À retenir
Une case « J’accepte la politique de confidentialité » ne suffit pas à couvrir une inscription à une liste d’envoi. Une fin, un consentement.
Mesure d’audience, localisation, profilage : informer d’abord
Si votre site utilise une technologie qui permet d’identifier, de localiser ou de profiler un visiteur, vous devez l’en informer au préalable, ainsi que des moyens d’activer ces fonctions (art. 8.1). Le guide de la CAI précise que ces fonctions doivent être désactivées par défaut.
Les témoins (cookies) sont traités à part : l’obligation de paramètres « au plus haut niveau de confidentialité » par défaut (art. 9.1), qui vise les produits et services technologiques offerts au public, les exclut. Cela ne dispense pas d’en parler dans la politique de confidentialité.
Le plus simple reste de ne pas collecter ce dont vous n’avez pas besoin : un outil de mesure d’audience sans témoin ni identifiant personnel évite une grande partie de la question.
Hébergement hors Québec : l’évaluation à prévoir
La plupart des sites de PME sont hébergés hors Québec, et leurs formulaires passent par des services américains ou européens. Or, avant de communiquer des renseignements personnels à l’extérieur du Québec, la loi exige une évaluation des facteurs relatifs à la vie privée (art. 17). Elle tient compte de la sensibilité des renseignements, de la finalité, des mesures de protection et du régime juridique de l’État de destination. La communication doit aussi faire l’objet d’une entente écrite avec le prestataire (art. 17, al. 2 et 3).
Pour un formulaire de contact qui ne recueille qu’un nom, un courriel et un message, l’évaluation peut tenir en une page. Elle doit néanmoins exister, et la politique de confidentialité doit dire où les données sont traitées.
Incidents de confidentialité
Une fuite de données, un accès non autorisé à la boîte qui reçoit vos formulaires, un fichier de contacts envoyé par erreur : ce sont des incidents de confidentialité. La loi demande :
- d’aviser la CAI et les personnes concernées s’il existe un risque de préjudice sérieux (art. 3.5) ;
- de tenir un registre de tous les incidents, même sans risque sérieux (art. 3.8). Il se conserve au moins cinq ans après la prise de connaissance de l’incident (Règlement sur les incidents de confidentialité, art. 8).
Ce que coûte le fait de l’ignorer
La loi prévoit deux régimes de sanctions :
- sanctions administratives pécuniaires : jusqu’à 50 000 $ pour une personne physique ; pour une entreprise, jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, le plus élevé des deux (art. 90.12) ;
- amendes pénales : de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial pour une entreprise (art. 91), doublées en cas de récidive (art. 92.1).
Ces plafonds visent les manquements graves. Pour une PME de bonne foi, le risque le plus concret reste une plainte, puis une demande de la CAI à laquelle il faut pouvoir répondre.
Et en France ?
Si votre site s’adresse aussi à la France, le RGPD et la loi Informatique et Libertés s’ajoutent. Deux différences pratiques :
- les témoins non essentiels exigent un consentement préalable, donné par une action positive, et refuser doit être aussi simple qu’accepter (CNIL) ;
- la mesure d’audience peut être exemptée de consentement si elle se limite à des statistiques anonymes, sans recoupement ni suivi d’un site à l’autre ; la CNIL recommande en outre des traceurs de 13 mois au plus et des données gardées 25 mois au plus (CNIL).
Les mentions légales, elles, relèvent désormais de l’article 1-1 de la LCEN.
La liste de vérification de votre site
- Le titre et le courriel du responsable figurent sur le site.
- Une politique de confidentialité en termes simples est accessible depuis chaque page, datée.
- Chaque formulaire a une case de consentement par finalité, non cochée d’avance.
- Rien ne mesure, ne localise ni ne profile le visiteur sans qu’il en soit informé.
- Les prestataires hors Québec sont nommés, et une évaluation existe pour chacun.
- Un registre des incidents est ouvert, même vide.
Ce guide donne une information générale, à jour à sa date de publication. Il ne remplace pas l’avis d’un juriste ou d’un comptable sur votre situation.
Tous les guides