Loi 25 et votre site web : ce qu’il faut faire
Responsable, politique de confidentialité, consentement, témoins, incidents et hébergement : ce que la Loi 25 exige de votre site web, et une liste pour vous y conformer.
La Loi 25 a modernisé les règles de protection des renseignements personnels au Québec. Si votre site web a un formulaire de contact, une infolettre, des comptes clients ou un outil de mesure d’audience, elle vous concerne. Voici ce qu’elle change pour un site web, les dates d’entrée en vigueur, les sanctions et une liste de ce qu’il faut faire, étape par étape.
À noter
Cet article vulgarise la loi ; il ne remplace pas un avis juridique.
La Loi 25 en résumé
Adoptée en 2021 sous le nom de projet de loi 64, la Loi 25 s’intitule Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Elle modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé, qui s’applique aux entreprises et aux organismes qui recueillent des renseignements sur des personnes au Québec.
Un renseignement personnel est toute information qui concerne une personne et permet de l’identifier, directement ou indirectement : un nom, une adresse courriel, un numéro de téléphone. Le respect de la loi est surveillé par la Commission d’accès à l’information du Québec (CAI).
Loi 25 : les dates d’entrée en vigueur
La loi est entrée en vigueur en trois étapes :
| Date | Ce qui entre en vigueur |
|---|---|
| 22 septembre 2022 | Responsable de la protection des renseignements personnels ; gestion et déclaration des incidents de confidentialité |
| 22 septembre 2023 | Politique de confidentialité, règles de consentement, paramètres de confidentialité par défaut, évaluation des facteurs relatifs à la vie privée, sanctions administratives |
| 22 septembre 2024 | Droit à la portabilité des renseignements |
Toutes ces obligations sont donc en vigueur aujourd’hui, peu importe la taille de votre entreprise.
Ce que la Loi 25 exige de votre site web
Un responsable de la protection des renseignements personnels
Par défaut, c’est la personne qui a la plus haute autorité dans l’entreprise. Elle peut déléguer cette fonction par écrit. Le titre et les coordonnées du responsable doivent être publiés sur votre site web.
Une politique de confidentialité en termes clairs
Si vous recueillez des renseignements par un moyen technologique, comme un formulaire, vous devez publier une politique de confidentialité rédigée en termes simples et clairs : ce que vous recueillez, pourquoi, avec qui c’est partagé, combien de temps c’est conservé et comment exercer ses droits.
Le consentement et les témoins
Le consentement doit être manifeste, libre, éclairé et donné à des fins précises. Les fonctions qui permettent d’identifier, de localiser ou de profiler une personne doivent être désactivées par défaut : c’est pourquoi les témoins de mesure d’audience et de publicité ne doivent se déclencher qu’après un « oui ». Un bon bandeau permet de refuser aussi facilement que d’accepter.
Des formulaires qui ne demandent que le nécessaire
Ne demandez que ce qui sert à la fin annoncée : un formulaire de contact n’a pas besoin d’une date de naissance. Indiquez près du formulaire à quoi serviront les réponses et renvoyez à votre politique.
Les incidents de confidentialité
Un site piraté, une base de données exposée ou un courriel envoyé à la mauvaise liste sont des incidents de confidentialité. Vous devez prendre des mesures pour diminuer le risque, tenir un registre des incidents et, s’il y a un risque de préjudice sérieux, aviser la CAI et les personnes concernées. Des mises à jour régulières et des sauvegardes réduisent ce risque : c’est le rôle de la maintenance WordPress.
Les droits des personnes qui visitent votre site
Toute personne peut demander d’accéder aux renseignements que vous détenez sur elle, de les faire corriger et de retirer son consentement. Depuis le 22 septembre 2024, elle peut aussi demander que ses renseignements informatisés lui soient communiqués dans un format technologique structuré et couramment utilisé. Prévoyez une adresse courriel pour ces demandes et indiquez-la dans votre politique : vous devez y répondre dans un délai de 30 jours.
Où sont hébergées les données de votre site ?
Avant de communiquer des renseignements personnels à l’extérieur du Québec, une entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée (EFVP). Elle doit conclure que les renseignements bénéficieront d’une protection adéquate, et encadrer la communication par une entente écrite.
Votre site, sa base de données et les messages de vos formulaires sont stockés chez votre hébergeur. Un hébergement WordPress au Québec vous évite cette évaluation pour le site lui-même. Les autres services branchés sur le site, comme un outil d’infolettre ou de mesure d’audience, restent à examiner un par un.
Les sanctions prévues
La CAI peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Une personne lésée peut aussi réclamer des dommages-intérêts.
Loi 25 : quoi faire pour votre site, étape par étape
- Nommer le responsable de la protection des renseignements personnels et publier son titre et ses coordonnées.
- Faire l’inventaire de ce que le site recueille : formulaires, comptes, commandes, infolettre, témoins.
- Publier une politique de confidentialité en langage clair, avec un lien dans le pied de page et près de chaque formulaire.
- Installer un bandeau de consentement : témoins facultatifs désactivés par défaut, refus aussi simple que l’acceptation.
- Retirer des formulaires les champs qui ne sont pas nécessaires.
- Vérifier où sont stockées vos données et réaliser une EFVP pour chaque service situé hors du Québec.
- Tenir un registre des incidents et prévoir qui fait quoi en cas de fuite.
- Garder WordPress, le thème et les extensions à jour, avec des sauvegardes hors du serveur.
Pour vérifier le code de vos pages après ces changements, notre validateur HTML gratuit ne demande ni compte ni courriel, tout comme notre validateur de données structurées.
Un site hébergé au Québec, avec SiteQC
Chez SiteQC, vos fichiers et vos bases de données restent au Québec, et c’est écrit clairement. Pour une entreprise, le forfait Bersimis ajoute une réponse du soutien en 48 h, une disponibilité garantie de 99,9 % et un nom de domaine offert, à 20,99 $ par mois. Comparez nos forfaits d’hébergement WordPress ou choisissez le forfait Bersimis. Pour évaluer d’autres offres, servez-vous de notre guide du meilleur hébergeur web au Québec.
Questions fréquentes
La Loi 25 s’applique-t-elle à une petite entreprise ?
Oui. Elle s’applique à toute entreprise qui recueille des renseignements personnels au Québec, peu importe sa taille. Un simple formulaire de contact suffit.
Quand la Loi 25 est-elle entrée en vigueur ?
En trois étapes : le 22 septembre 2022, le 22 septembre 2023 et le 22 septembre 2024. Toutes les obligations sont en vigueur.
Un bandeau de témoins est-il obligatoire avec la Loi 25 ?
Si votre site utilise des outils qui permettent d’identifier, de localiser ou de profiler les visiteurs, ces fonctions doivent être désactivées par défaut et activées seulement avec leur accord. Un bandeau de consentement est la façon habituelle de le faire.
Mon site doit-il être hébergé au Québec ?
La loi ne l’impose pas, mais communiquer des renseignements personnels hors du Québec exige une évaluation des facteurs relatifs à la vie privée. Un hébergement au Québec simplifie votre démarche.