Loi 25 et site web : ce qu’une entreprise québécoise doit mettre en place

Vous avez un site avec un formulaire. Un visiteur y laisse son nom et son courriel. Au Québec, cette simple action vous place dans le champ de la Loi 25 — la loi modernisant les dispositions législatives en matière de protection des renseignements personnels.

Ce n’est pas une copie du RGPD européen. C’est une loi québécoise, avec ses propres obligations, ses propres délais, et ses propres sanctions. Voici ce qu’elle demande réellement à une entreprise.

Ce que la Loi 25 change pour une entreprise

1. Une personne responsable de la protection des renseignements personnels

Toute entreprise doit désigner une personne responsable. Ce n’est pas nécessairement un poste à temps plein — dans une petite entreprise, c’est souvent le dirigeant. Mais le nom doit être publié, accessible sur le site, et cette personne doit pouvoir répondre aux questions.

2. Des renseignements clairs au moment de la collecte

Quand vous demandez une information, vous devez dire pourquoi, à quoi elle servira, qui y aura accès, et combien de temps vous la garderez. En termes compréhensibles — pas dans un texte juridique que personne ne lit.

3. Un consentement qui a du sens

Le consentement doit être manifeste, libre et éclairé, et demandé séparément pour chaque finalité. Une case pré-cochée ne vaut pas un consentement. Et le consentement doit pouvoir être retiré aussi facilement qu’il a été donné.

4. Des durées de conservation définies

Vous devez savoir combien de temps vous conservez chaque catégorie de renseignements, et vous y tenir. « Le plus longtemps possible » n’est pas une réponse acceptable.

5. Des mesures de sécurité proportionnées

Le site doit être en HTTPS. Les renseignements ne doivent pas traîner dans un fichier accessible à tous. En cas d’incident présentant un risque sérieux, il y a une obligation de notification.

6. Un droit à la portabilité et à la désindexation

La Loi 25 introduit des droits nouveaux, notamment la possibilité pour une personne de demander que ses renseignements lui soient communiqués dans un format technologique structuré, et dans certains cas la désindexation d’un lien.

Les obligations qui surprennent les entreprises

La publication du responsable. Beaucoup d’entreprises québécoises ne savent pas qu’elles doivent publier le nom et les coordonnées de la personne responsable. C’est simple à faire, et c’est l’un des premiers points vérifiés.

Les transferts hors Québec. Si vous utilisez un outil hébergé aux États-Unis — un service d’infolettre, un CRM, un outil d’analyse — vous devez évaluer si l’encadrement juridique y est adéquat. C’est une analyse à faire, et à documenter.

Les cookies et témoins. Les témoins non essentiels — mesure d’audience, publicité, réseaux sociaux — doivent reposer sur un consentement. Un bandeau avec un simple bouton « OK » ne suffit pas.

La documentation. La Loi 25 repose sur le principe de responsabilité : vous devez pouvoir démontrer ce que vous faites. Une politique écrite, un registre des traitements, une procédure en cas d’incident.

Les trois documents à avoir sur votre site

Politique de confidentialité

Le document central. Il décrit quels renseignements vous collectez, pourquoi, pendant combien de temps, qui y a accès, et comment exercer ses droits. Rédigé en français clair, et propre à votre entreprise — pas une traduction d’un modèle américain.

Publication du responsable

Le nom et les coordonnées de la personne responsable de la protection des renseignements personnels, accessibles depuis le site.

Gestion des témoins

Un mécanisme qui permet d’accepter et de refuser les témoins non essentiels, sans qu’aucun ne soit déposé avant le choix.

Ce que la Loi 25 n’impose PAS

• De nommer un poste dédié à temps plein. Une personne responsable, oui — un service entier, non.
• De faire appel à un cabinet externe. Les obligations de base sont documentables en interne.
• De payer une redevance à la Commission d’accès à l’information. Il n’existe pas de taxe.
• De supprimer tous vos outils américains. Il faut évaluer et documenter, pas nécessairement renoncer.

Loi 25 ou RGPD : ne pas confondre

	RGPD (Europe)	Loi 25 (Québec)
Territoire	Union européenne	Québec
Autorité	CNIL (France)	Commission d’accès à l’information
Personne responsable	DPO, dans certains cas seulement	Toujours, et publiée
Registre des traitements	Obligatoire	Documentation attendue
Consentement	Une base légale parmi d’autres	Central dans plusieurs cas
Portabilité	Oui	Oui

Un site conçu pour la France n’est pas automatiquement conforme au Québec — et inversement. Les deux exigent des mentions et des mécanismes distincts.

Pourquoi s’en occuper maintenant

La Loi 25 est entrée en application progressivement, avec les obligations les plus lourdes déjà en vigueur. Les entreprises québécoises qui ne se sont pas mises à jour s’exposent à deux risques.

Le premier est réglementaire : la Commission peut intervenir, notamment sur plainte.

Le second est commercial, et souvent plus concret : de plus en plus de donneurs d’ordre — municipalités, grandes entreprises, organismes publics — demandent à leurs fournisseurs de démontrer leur conformité. Une entreprise qui ne peut pas répondre perd des contrats.

Par où commencer

1. Vérifiez que votre site est en HTTPS. La base de tout.
2. Désignez et publiez votre personne responsable. Simple, rapide, obligatoire.
3. Rédigez une politique de confidentialité qui décrit vos traitements réels.
4. Testez votre bandeau de témoins : permet-il de refuser aussi facilement que d’accepter ?
5. Listez vos outils qui stockent des renseignements, et où ils sont hébergés.
6. Définissez des durées de conservation.
7. Prévoyez une procédure en cas d’incident ou de demande d’accès.

Questions fréquentes

Ma petite entreprise est-elle concernée ?

Oui. La Loi 25 s’applique à toute entreprise qui collecte des renseignements personnels dans l’exercice d’une activité, quelle que soit sa taille. Ce qui varie, c’est la proportionnalité des mesures attendues — pas l’existence de l’obligation.

Un modèle de politique trouvé en ligne suffit-il ?

Il donne une base, mais il ne décrit pas vos traitements réels. Un document qui mentionne des pratiques que vous n’avez pas, ou omet celles que vous avez, est un document inexact — et c’est précisément ce que la loi demande d’éviter.

Est-ce que la Loi 25 concerne aussi mon site hébergé aux États-Unis ?

Oui. L’hébergement ne vous sort pas du champ de la loi québécoise. En revanche, il crée une exigence supplémentaire : évaluer si l’encadrement juridique du pays d’accueil est adéquat, et le documenter.

Combien de temps ça prend ?

Pour un site d’entreprise avec un formulaire et un outil de mesure d’audience, quelques heures de travail sérieux. Ce n’est pas un chantier de plusieurs semaines — mais ce n’est pas non plus quelque chose qu’on peut ignorer.

Travaillez-vous avec des entreprises en France ?

Oui, et nous y appliquons le RGPD. Les deux cadres sont distincts, et une entreprise qui cible les deux marchés doit traiter les deux. Voir notre page France.

Voir notre approche pour la région de Québec →

Pour aller plus loin

Agence web à Québec — Notre approche pour le marché québécois.

Test gratuit : votre site amène-t-il des clients ? — analyse en 10 secondes, sans inscription.