Loi 25 : ce qu’elle exige de votre entreprise et de votre site Web

En bref : la Loi 25 oblige toute entreprise qui recueille des renseignements personnels dans le cadre de ses activités au Québec à désigner un responsable de la protection des renseignements personnels et à publier son titre et ses coordonnées sur son site Web, à publier une politique de confidentialité rédigée en termes simples et clairs, et à obtenir un consentement valable. Sur un site Web, la règle la plus visible touche les technologies de suivi : les fonctions qui permettent d’identifier, de localiser ou de profiler un visiteur ne peuvent pas être activées par défaut. C’est pourquoi un site qui s’adresse au Québec a besoin d’une vraie bannière de consentement aux témoins (cookies), et non d’un simple avis.

Ce guide résume la loi, puis explique chaque obligation du point de vue d’un site Web, avec une section sur l’EFVP et une liste de vérification à la fin. Les numéros d’articles renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé, publiée sur LégisQuébec.

Résumé de la Loi 25 en 9 points

• Un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise. Elle peut déléguer cette fonction par écrit. Son titre et ses coordonnées sont publiés sur le site Web (art. 3.1).
• Des politiques de gouvernance. L’entreprise encadre la conservation et la destruction des renseignements, les rôles de son personnel et le traitement des plaintes, puis publie des informations détaillées sur ces politiques, en termes simples et clairs (art. 3.2).
• Une politique de confidentialité. Si vous recueillez des renseignements personnels par un moyen technologique, comme un formulaire en ligne, vous publiez une politique de confidentialité sur votre site et vous avisez les gens de ses modifications (art. 8.2).
• De la transparence à la collecte. Au moment de recueillir des renseignements, vous indiquez les fins, les moyens utilisés, les droits d’accès et de rectification et le droit de retirer son consentement (art. 8).
• Un consentement valable. Il doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé pour chaque fin en termes simples et clairs (art. 14). Il doit être exprès pour utiliser un renseignement sensible à une autre fin (art. 12).
• Des témoins et outils de suivi désactivés par défaut. Avant d’utiliser une technologie qui permet d’identifier, de localiser ou de profiler une personne, vous l’en informez, ainsi que des moyens d’activer ces fonctions (art. 8.1). Selon la CAI, ces fonctions ne peuvent pas être activées par défaut.
• Des EFVP. Une évaluation des facteurs relatifs à la vie privée est exigée pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique de services qui implique des renseignements personnels (art. 3.3), et avant de communiquer des renseignements à l’extérieur du Québec (art. 17).
• Une gestion des incidents de confidentialité. Vous réduisez les risques, vous avisez la CAI et les personnes concernées si l’incident présente un risque de préjudice sérieux (art. 3.5) et vous tenez un registre des incidents (art. 3.8).
• Des sanctions importantes. Les sanctions administratives pécuniaires peuvent atteindre 10 000 000 $ ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 000 000 $ ou 4 % (art. 90.12 et 91).

Qu’est-ce que la Loi 25?

« Loi 25 » est le nom usuel de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (L.Q. 2021, c. 25), issue du projet de loi 64 et sanctionnée en septembre 2021. Elle a modifié plusieurs lois. Pour les entreprises, celle qui compte est la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), souvent appelée la « Loi sur le privé ». C’est la Commission d’accès à l’information du Québec (CAI) qui la surveille et l’applique.

Un renseignement personnel est tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier (art. 2). Sur un site Web, cela comprend évidemment le nom, le courriel et le téléphone saisis dans un formulaire, mais cela peut aussi viser des données techniques, comme un identifiant de témoin, lorsqu’elles permettent d’identifier quelqu’un indirectement.

Les dates d’entrée en vigueur : 2022, 2023 et 2024

Les nouvelles règles sont entrées en vigueur graduellement, sur trois ans, à partir du 22 septembre 2022 :

• 22 septembre 2022 : le responsable de la protection des renseignements personnels, la déclaration des incidents de confidentialité et le registre des incidents, ainsi que certaines communications sans consentement (transaction commerciale, recherche).
• 22 septembre 2023 : la majorité des obligations, dont les politiques de gouvernance, la politique de confidentialité, les règles sur les technologies d’identification, de localisation et de profilage, le nouveau cadre du consentement et de la transparence, l’EFVP, la communication hors Québec et les sanctions administratives pécuniaires.
• 22 septembre 2024 : le droit à la portabilité, qui permet à une personne d’obtenir les renseignements informatisés recueillis auprès d’elle dans un format technologique structuré et couramment utilisé (art. 27).

Toutes ces obligations sont donc en vigueur aujourd’hui. Une entreprise qui n’a encore rien mis en place n’a plus de délai devant elle.

À qui s’applique la Loi 25?

La Loi sur le privé s’applique aux renseignements personnels qu’une personne recueille, détient, utilise ou communique dans le cadre de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil (art. 1). La CAI définit l’entreprise comme l’exercice d’une activité économique organisée, commerciale ou non : cela comprend les entreprises individuelles, les sociétés par actions, les sociétés en nom collectif et en commandite et les syndicats de copropriété. Un organisme à but non lucratif peut aussi être visé, selon une analyse au cas par cas.

La CAI précise qu’une organisation située à l’extérieur du Québec est assujettie à la loi dans le cadre des activités de son entreprise au Québec. Une entreprise de l’Ontario ou de l’Alberta qui vend, réserve ou fait de la prospection auprès de clients québécois devrait donc tenir pour acquis que la Loi 25 s’applique à ces renseignements. Le cas d’une entreprise sans activité réelle au Québec, dont le site reçoit simplement des visiteurs québécois, est moins clair : la loi ne trace pas de ligne nette. Si le Québec fait partie de votre marché, considérez-vous comme visé.

Ce que la Loi 25 change pour votre site Web

1. Une politique de confidentialité en termes simples et clairs

Dès que vous recueillez des renseignements personnels par un moyen technologique, qu’il s’agisse d’un formulaire de contact, d’une commande en ligne, d’un compte client ou d’un outil d’analyse, l’article 8.2 exige de publier sur votre site une politique de confidentialité rédigée en termes simples et clairs, et d’aviser les gens de toute modification. Selon la CAI, la politique doit notamment informer des renseignements recueillis par ce moyen et des fins de la collecte, du recours aux témoins de connexion, le cas échéant, et des droits et recours des personnes concernées.

Une politique de dix pages copiée d’un modèle américain ne passe pas le test des « termes simples et clairs ». Écrivez pour le visiteur : ce que vous recueillez, pourquoi, avec qui vous le partagez, combien de temps vous le gardez et comment joindre votre responsable. Les informations sur vos politiques de gouvernance exigées par l’article 3.2 (conservation, destruction, traitement des plaintes) peuvent figurer sur la même page ou sur une page liée.

2. Le titre et les coordonnées du responsable

L’article 3.1 fait de la personne ayant la plus haute autorité dans l’entreprise, souvent le propriétaire ou le PDG, la responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction par écrit, en tout ou en partie, mais la CAI rappelle qu’elle demeure imputable du respect de la loi. Le titre et les coordonnées du responsable doivent être publiés sur le site Web. Une adresse dédiée, comme confidentialite@votredomaine.ca, indiquée dans la politique et dans le pied de page, fait très bien l’affaire.

3. Témoins (cookies) et outils de suivi : désactivés par défaut

C’est la règle qui a le plus d’impact technique. L’article 8.1 prévoit que si vous recueillez des renseignements au moyen d’une technologie comprenant des fonctions permettant d’identifier, de localiser ou de profiler une personne, vous devez d’abord l’informer du recours à cette technologie et des moyens offerts pour activer ces fonctions. Le profilage y est défini largement : la collecte et l’utilisation de renseignements afin d’évaluer certaines caractéristiques d’une personne, notamment ses préférences personnelles, ses intérêts ou son comportement.

Pour un site d’entreprise typique, cela vise notamment :

• Les pixels publicitaires, comme ceux de Meta, Google Ads, LinkedIn et TikTok.
• Les outils d’analyse configurés pour suivre un visiteur d’une session à l’autre.
• L’enregistrement de sessions et les cartes de chaleur.
• Les scripts de reciblage et de création d’audiences.
• La géolocalisation par adresse IP utilisée pour profiler les visiteurs.

Concrètement, ces scripts ne doivent pas se charger avant que le visiteur ait accepté. Une bannière qui annonce « En naviguant sur ce site, vous acceptez les témoins » alors que les pixels sont déjà lancés ne respecte pas cette logique. Votre outil de consentement devrait bloquer les balises non essentielles avant le choix, offrir « Accepter » et « Refuser » de façon aussi visible l’un que l’autre, et permettre de changer d’avis plus tard grâce à un lien dans le pied de page. Les témoins strictement nécessaires au fonctionnement du site, comme celui d’un panier d’achat, n’ont généralement pas ces fonctions et ne demandent pas la même activation.

Une nuance : l’article 9.1 exige que les produits et services technologiques offerts au public aient, par défaut, les paramètres de confidentialité les plus protecteurs, mais il exclut expressément les paramètres d’un témoin de connexion. L’obligation qui vise les témoins de suivi découle donc de l’article 8.1 et de l’interprétation qu’en fait la CAI, pas de l’article 9.1.

4. Formulaires et consentement

L’article 5 limite la collecte aux renseignements nécessaires aux fins déterminées avant la collecte. Au moment de la collecte, l’article 8 exige d’informer la personne des fins, des moyens utilisés, de ses droits d’accès et de rectification et de son droit de retirer son consentement, ainsi que, le cas échéant, des tiers à qui les renseignements seront communiqués et de la possibilité qu’ils soient communiqués à l’extérieur du Québec. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques ; lorsqu’il est demandé par écrit, il doit être présenté distinctement de toute autre information (art. 14). Pour un enfant de moins de 14 ans, c’est le titulaire de l’autorité parentale ou le tuteur qui consent (art. 4.1 et 14).

Pour un formulaire Web, cela veut dire :

• Ne demander que ce qui sert à la fin annoncée. Une demande de soumission n’a pas besoin d’une date de naissance.
• Expliquer la fin au moment de la collecte, avec un lien vers la politique de confidentialité.
• Utiliser des cases distinctes, non cochées d’avance, pour tout ce qui dépasse la fin principale, comme l’abonnement à une infolettre.
• Ne pas enfouir le consentement au marketing dans les conditions d’utilisation.

Les courriels commerciaux sont aussi encadrés par la loi fédérale anti-pourriel (LCAP) : voir notre guide de la LCAP (en anglais).

5. Hébergement et fournisseurs à l’extérieur du Québec

Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’article 17 exige une EFVP qui tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection, y compris contractuelles, et du régime juridique de l’endroit où il serait communiqué. La communication doit faire l’objet d’une entente écrite. La même règle s’applique lorsque vous confiez à un fournisseur situé hors Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver des renseignements pour votre compte.

Pour un site Web, cela touche plus de choses qu’on le pense : un hébergement en Ontario ou aux États-Unis, un outil de formulaires ou un CRM américain, une plateforme d’infolettre, un fournisseur d’analyse. Vous n’êtes pas obligé de tout rapatrier au Québec, mais vous devez savoir où vont vos données, documenter l’évaluation et conclure des ententes écrites. Votre politique devrait aussi mentionner que des renseignements peuvent être communiqués à l’extérieur du Québec.

6. Sécurité et incidents de confidentialité

L’article 10 exige des mesures de sécurité raisonnables compte tenu, notamment, de la sensibilité des renseignements. En cas d’incident présentant un risque de préjudice sérieux, vous devez aviser avec diligence la CAI et les personnes concernées (art. 3.5). Tous les incidents sont inscrits au registre des incidents de confidentialité (art. 3.8). Le Règlement sur les incidents de confidentialité précise le contenu du registre, dont la description des renseignements visés, les circonstances, la date, le nombre de personnes touchées, l’évaluation du risque de préjudice et les mesures prises, et exige de conserver ces informations au moins 5 ans après la date où l’entreprise a pris connaissance de l’incident.

Sur un site Web, les risques les plus courants sont un CMS ou une extension non mis à jour, un formulaire qui envoie les demandes en clair par courriel ou une base de données exposée. Un entretien régulier du site, avec mises à jour et sauvegardes, fait partie de vos mesures de sécurité.

L’EFVP expliquée : l’évaluation des facteurs relatifs à la vie privée

L’EFVP (évaluation des facteurs relatifs à la vie privée, ou « privacy impact assessment » en anglais) est une démarche qui sert à repérer les risques qu’un projet fait courir aux renseignements personnels et à prévoir des mesures pour les réduire, avant que le projet soit en place. La loi n’impose pas de formulaire précis ; elle exige que l’évaluation soit proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support (art. 3.3).

Quand une EFVP est-elle obligatoire?

• Projet de système d’information ou de prestation électronique de services (art. 3.3) : toute acquisition, tout développement ou toute refonte qui implique la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. Le responsable doit être consulté dès le début du projet, et le système doit permettre de remettre à la personne, dans un format structuré et couramment utilisé, les renseignements informatisés recueillis auprès d’elle.
• Communication à l’extérieur du Québec (art. 17), y compris lorsque vous confiez des renseignements à un fournisseur situé hors Québec.
• Communication à des fins d’étude, de recherche ou de statistiques sans le consentement des personnes concernées (art. 21).

Exemples liés à un site Web

• La refonte d’un site qui comporte des formulaires, des comptes clients ou une boutique en ligne.
• L’ajout d’un outil de prise de rendez-vous, de clavardage ou de paiement.
• Le passage à un CRM, à une plateforme d’infolettre ou à un hébergeur situé hors Québec.
• L’installation d’un nouvel outil d’analyse ou de publicité qui traite des données de visiteurs.

Ce qu’on documente dans une EFVP

1. Le projet et les renseignements visés : quoi, de qui, pourquoi et par quel moyen.
2. Le cycle de vie des renseignements : où ils sont stockés, qui y a accès, combien de temps ils sont conservés et comment ils sont détruits.
3. Les fournisseurs et l’endroit où les données sont traitées, avec le régime juridique applicable s’ils sont hors Québec.
4. Les risques pour les personnes concernées et leur gravité.
5. Les mesures retenues pour réduire ces risques : minimisation, chiffrement, contrôle des accès, clauses contractuelles, paramètres de consentement.
6. La conclusion, l’avis du responsable et, pour une communication hors Québec, l’entente écrite qui en découle.

La CAI publie gratuitement un guide d’accompagnement, « Réaliser une évaluation des facteurs relatifs à la vie privée », avec des outils pour structurer la démarche. Pour un petit site vitrine, l’évaluation peut tenir en quelques pages ; pour une plateforme qui traite des renseignements de santé, elle sera nettement plus poussée.

Sanctions prévues par la Loi 25

La CAI peut imposer une sanction administrative pécuniaire, notamment à qui n’informe pas les personnes comme l’exigent les articles 7 et 8, recueille ou utilise des renseignements en contravention à la loi, ne déclare pas un incident de confidentialité ou ne prend pas les mesures de sécurité requises (art. 90.1). Le maximum est de 50 000 $ pour une personne physique et, dans les autres cas, de 10 000 000 $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé (art. 90.12).

Les infractions pénales entraînent des amendes de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé (art. 91). Enfin, lorsqu’une atteinte illicite à un droit conféré par la loi cause un préjudice et qu’elle est intentionnelle ou résulte d’une faute lourde, le tribunal accorde des dommages-intérêts punitifs d’au moins 1 000 $ (art. 93.1).

Ces plafonds visent surtout les grandes organisations, mais les obligations s’appliquent à toutes les entreprises, quelle que soit leur taille.

Formation Loi 25 : par où commencer

Les politiques exigées par l’article 3.2 doivent prévoir les rôles et les responsabilités des membres du personnel tout au long du cycle de vie des renseignements. Autrement dit, les employés qui traitent des demandes, des commandes ou des dossiers clients doivent savoir quoi faire et à qui signaler un problème. La CAI publie gratuitement des guides et des fiches pour les entreprises, un bon point de départ avant de payer une formation. Du côté du site Web, la formation la plus utile reste concrète : où se trouvent les formulaires, qui reçoit les demandes, ce que fait la bannière de témoins et qui tient le registre des incidents.

Liste de vérification Loi 25 pour votre site Web

• Une politique de confidentialité en termes simples et clairs est publiée et accessible depuis chaque page.
• Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site.
• Des informations sur vos politiques de gouvernance (conservation, destruction, plaintes) sont publiées.
• Les pixels publicitaires, l’analyse qui suit les visiteurs d’une session à l’autre et l’enregistrement de sessions ne se chargent pas avant le consentement.
• La bannière offre « Accepter » et « Refuser » de façon aussi visible, et le consentement peut être retiré plus tard.
• Les formulaires ne demandent que les champs nécessaires et expliquent la fin au moment de la collecte.
• Les consentements facultatifs (infolettre, marketing) utilisent des cases distinctes, non cochées d’avance.
• Vous avez un inventaire des endroits où les données du site sont hébergées et traitées, y compris les fournisseurs hors Québec.
• Des EFVP et des ententes écrites couvrent les renseignements communiqués à l’extérieur du Québec.
• Votre CMS, vos extensions et votre serveur sont à jour, et vous avez un plan d’intervention et un registre des incidents.
• La politique de confidentialité et la bannière sont offertes en français.

Pour voir ce que votre site charge avant le consentement, essayez notre vérification gratuite du site Web (en anglais) : elle signale les scripts de suivi qui se lancent avant qu’un visiteur ait accepté. Le dernier point de la liste rejoint les règles sur la langue française ; voir notre guide de la Loi 96 pour les sites Web.

Ce n’est pas un avis juridique

Ce guide résume la Loi sur la protection des renseignements personnels dans le secteur privé et l’information publiée par la CAI en date du 31 octobre 2026. Ce n’est pas un avis juridique, et la façon dont la Loi 25 s’applique à votre entreprise peut dépendre de faits qu’un développeur Web ne peut pas évaluer. Pour une question juridique, consultez un avocat ou un notaire. Pour le volet technique (outil de consentement, configuration des balises, formulaires et pages de confidentialité), demandez une soumission et nous pourrons vous aider.