La Loi 25, adoptée en 2021, a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Ses changements sont entrés en vigueur par étapes, de septembre 2022 à septembre 2024 (Commission d'accès à l'information). Pour une PME, le site web est un lieu de collecte à part entière : formulaires, courriels, outils de mesure, publicité. Voici ce que la loi demande à ce site, article par article, tiré du texte officiel et des guides de la Commission d'accès à l'information (CAI).
En bref
- Un responsable de la protection des renseignements personnels, avec son titre et ses coordonnées publiés sur le site
- Une politique de confidentialité en termes simples et clairs
- Le visiteur est informé avant toute technologie de suivi, et ces fonctions restent désactivées jusqu'à ce qu'il les active
- Chaque formulaire ne demande que le nécessaire et dit à quoi serviront les renseignements
- Un consentement par fin, présenté à part, aussi facile à refuser qu'à donner
- Avant de confier des renseignements à un fournisseur hors du Québec : une évaluation et une entente écrite
Ce texte résume des règles publiques pour vous aider à préparer votre site; il ne constitue pas un avis juridique. Les articles cités sont ceux de la Loi sur la protection des renseignements personnels dans le secteur privé à jour au 15 octobre 2026.
Ce que la loi appelle un renseignement personnel
« Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier » (Loi sur la protection des renseignements personnels dans le secteur privé, art. 2). Sur un site, ce n'est pas seulement le nom et le courriel d'un formulaire. Parmi les renseignements qu'une entreprise peut recueillir, la CAI cite les « renseignements techniques ou numériques » : l'adresse IP, la date et l'heure de connexion, les pages visitées et les actions posées sur un site (guide de la CAI sur la politique de confidentialité). Elle compte aussi les outils analytiques Web parmi les moyens de collecte, et précise que vos obligations s'appliquent même si la collecte est confiée à un fournisseur (CAI, collecte de renseignements personnels).
Un responsable, nommé sur le site
Dans l'entreprise, la personne qui a la plus haute autorité exerce la fonction de responsable de la protection des renseignements personnels; elle peut la déléguer par écrit, en tout ou en partie. « Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l'entreprise » (art. 3.1). La CAI ajoute qu'elle n'a pas à en être informée (CAI, responsabilité des entreprises).
L'entreprise doit aussi établir des politiques et des pratiques de gouvernance : la conservation et la destruction des renseignements, les rôles de son personnel et un processus de traitement des plaintes. Des informations détaillées à leur sujet sont publiées sur son site, en termes simples et clairs (art. 3.2).
La politique de confidentialité
« La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l'entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. » Toute modification de cette politique fait l'objet d'un avis publié de la même façon (art. 8.2). Selon la CAI, cette obligation s'applique depuis le 22 septembre 2023 à toute entreprise qui recueille des renseignements par un moyen technologique, par exemple une adresse courriel, un site Web ou une application.
Il n'existe pas de règlement qui fixe son contenu pour les entreprises. Le guide de la CAI propose ces éléments (Rédiger une politique de confidentialité, CAI) :
- le nom de l'entreprise, la date d'entrée en vigueur de la politique et celle de sa dernière mise à jour;
- les moyens de collecte : formulaires, courriels reçus, certains témoins du site;
- les personnes ou les organisations qui recueillent des renseignements pour vous, comme un gestionnaire d'infolettres ou une plateforme de commande;
- s'il y a lieu, le recours à une technologie qui permet d'identifier, de localiser ou de profiler, et la façon d'activer ces fonctions, qui « doivent être désactivées par défaut »;
- les renseignements recueillis et les buts de la collecte;
- les moyens de refuser une collecte et leurs conséquences, par exemple refuser les témoins et utiliser le site sans certaines fonctions;
- les catégories de personnes qui y ont accès dans l'entreprise;
- les tiers qui reçoivent des renseignements, et si des renseignements peuvent être transmis à l'extérieur du Québec;
- au besoin, une brève description des mesures de sécurité;
- les droits d'accès, de rectification et de plainte, et les coordonnées de la personne à joindre.
La CAI rappelle que les conditions d'utilisation du site ne sont pas une politique de confidentialité : elles peuvent y renvoyer, « mais elles ne doivent pas être fusionnées ». Elle suggère aussi d'écrire au « vous » et au « nous », avec des titres clairs. Et comme le reste du site, la politique doit être offerte en français : voyez notre guide Loi 96 et votre site web.
Témoins, Google Analytics et Tag Manager
L'article 8.1 vise toute collecte faite « en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage ». La personne doit en être informée au préalable, ainsi que « des moyens offerts pour activer les fonctions » (art. 8.1). Le profilage, selon le même article, est la collecte et l'utilisation de renseignements pour évaluer certaines caractéristiques d'une personne, notamment ses préférences personnelles, ses intérêts ou son comportement.
La CAI en tire la règle qui compte pour votre site : « ces technologies ne pourront être activées par défaut : ce sera à la personne concernée de les activer, si elle le souhaite » (CAI, principaux changements). Ses lignes directrices sur le consentement ajoutent que la personne « doit donc poser un geste positif » pour les activer, et donnent l'exemple d'un site de magazine qui profile ses lecteurs avec des témoins : il affiche une fenêtre à la première visite, donne l'information exigée, puis indique comment activer le dépôt des témoins (Lignes directrices 2023-1, CAI).
Une nuance : l'article 9.1 exige que les produits et services technologiques offrent par défaut le plus haut niveau de confidentialité, mais il précise : « Ne sont pas visés au premier alinéa les paramètres de confidentialité d'un témoin de connexion » (art. 9.1). Pour les témoins, la question à poser est donc celle de l'article 8.1 : à quoi servent-ils? Classez chaque script et chaque témoin de votre site : ceux qui font fonctionner le site (session, sécurité, panier), ceux qui mesurent l'audience et ceux qui servent la publicité. Ce sont les deux derniers qui posent la question de l'article 8.1.
Dans Google Tag Manager, le mode Consentement de Google offre deux réglages (documentation de Google) :
- le mode de base : « vous empêchez les balises Google de se charger tant qu'un utilisateur n'a pas interagi avec une bannière de consentement ». Si le visiteur refuse, aucune donnée n'est transmise à Google, pas même l'état du consentement;
- le mode avancé : les balises se chargent dès l'arrivée du visiteur et, tant que le consentement est refusé, « les balises Google envoient des mesures sans cookie ».
Avant de retenir le mode avancé, vérifiez avec votre conseiller si ces envois permettent d'identifier ou de profiler le visiteur. Les mêmes questions valent pour les pixels publicitaires et les outils d'enregistrement de sessions.
Installer ou réparer la mesure dans Google Analytics 4 et Google Tag Manager, ainsi que les balises de conversion de vos plateformes publicitaires, en respectant le consentement aux témoins : c'est l'un des volets de notre service d'automatisations et d'intégrations.
Une bannière qui laisse un vrai choix
Le consentement doit être libre. Selon la CAI, « il doit être aussi facile de donner son consentement que de ne pas le donner ». Mettre en valeur l'acceptation plutôt que le refus, par la couleur, la taille du texte, le nombre de clics ou une formulation volontairement ambiguë, « peut rendre le consentement sans effet ». Redemander à répétition un consentement déjà refusé peut aussi nuire à son caractère libre. Dans un exemple de la CAI, les boutons « J'accepte » et « Je refuse » sont à la même hauteur, de la même couleur, avec la même taille de texte (Lignes directrices 2023-1, CAI).
La personne doit aussi être informée de son droit de retirer son consentement (art. 8). Un lien permanent vers les paramètres des témoins, par exemple dans le pied de page, lui permet de changer d'avis.
Les formulaires
« La personne qui recueille des renseignements personnels sur autrui ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte » (art. 5). Pour la CAI, la nécessité va au-delà de la simple utilité (CAI, collecte). Vous ne pouvez pas non plus refuser une demande de bien ou de service parce que la personne refuse de fournir un renseignement, sauf exceptions, comme un renseignement nécessaire à la conclusion ou à l'exécution du contrat. « En cas de doute, un renseignement personnel est réputé non nécessaire » (art. 9). Un champ qui ne sert pas la demande reste donc facultatif, ou disparaît.
Lors de la collecte, la personne est informée des fins, des moyens, de ses droits d'accès et de rectification et de son droit de retirer son consentement; le cas échéant, des tiers qui recevront ses renseignements et de la possibilité qu'ils soient communiqués hors du Québec (art. 8). En fournissant ses renseignements après avoir reçu cette information, elle consent à leur utilisation aux fins annoncées (art. 8.3). Notre guide du formulaire de demande de prêt détaille ces éléments pour les prêteurs.
Pour toute autre fin, comme une infolettre, le consentement doit être « manifeste, libre, éclairé et être donné à des fins spécifiques ». Il est demandé à chacune de ces fins, en termes simples et clairs, et une demande écrite est « présentée distinctement de toute autre information » (art. 14). Dans ses lignes directrices, la CAI classe l'activation d'une case parmi les consentements exprès, et la case déjà cochée parmi les consentements implicites (Lignes directrices 2023-1). Pour utiliser à une autre fin un renseignement sensible, par exemple médical, le consentement doit être exprès (art. 12).
Courriels et infolettres
La prospection commerciale ne peut pas être considérée comme une fin compatible avec celle de la collecte (art. 12). Une adresse reçue par le formulaire de contact ne peut donc pas servir à envoyer des offres sans un consentement pour cette fin. Quand vous écrivez à des fins de prospection, vous devez vous identifier et informer la personne de son droit de retirer son consentement (art. 22).
Au fédéral, la Loi canadienne anti-pourriel exige aussi, pour un message électronique commercial, un consentement exprès ou tacite, les renseignements qui identifient l'expéditeur, un moyen de le joindre et un mécanisme d'exclusion (LCAP, art. 6).
Vos fournisseurs et les renseignements qui quittent le Québec
Hébergement, courriel, prise de rendez-vous, outil de mesure : chacun de ces fournisseurs peut recevoir des renseignements de votre site. Vous pouvez leur communiquer ce qui est nécessaire à leur mandat sans le consentement de la personne, mais le mandat est confié par écrit et précise les mesures qu'ils doivent prendre pour protéger les renseignements, ne les utiliser que pour ce mandat et ne pas les conserver après (art. 18.3).
Avant de communiquer un renseignement personnel à l'extérieur du Québec, l'entreprise procède à une évaluation des facteurs relatifs à la vie privée et conclut une entente écrite. Il en est de même lorsqu'elle confie à une personne ou à un organisme hors du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver ces renseignements pour son compte (art. 17). La CAI donne un exemple simple : si vous stockez les renseignements chez un fournisseur infonuagique en Ontario, vous devez le mentionner aux personnes (CAI, collecte).
En pratique : dressez la liste de chaque outil qui reçoit les données de vos formulaires ou de vos visiteurs, avec l'endroit où il les conserve. Cette liste nourrit votre politique de confidentialité, vos ententes et vos évaluations.
Sécurité, incidents et demandes des visiteurs
L'entreprise prend des mesures de sécurité raisonnables compte tenu, notamment, de la sensibilité des renseignements et de leur quantité (art. 10). Si un incident de confidentialité présente un risque de préjudice sérieux, elle avise avec diligence la CAI et les personnes concernées (art. 3.5), et elle tient un registre des incidents (art. 3.8).
Une personne peut demander par écrit l'accès à ses renseignements ou leur rectification (art. 30). Le responsable répond par écrit au plus tard dans les 30 jours de la réception de la demande; sans réponse dans ce délai, la demande est réputée refusée (art. 32). Depuis le 22 septembre 2024, un renseignement informatisé recueilli auprès d'elle lui est aussi communiqué, à sa demande, dans un format technologique structuré et couramment utilisé (art. 27, CAI).
Les sanctions prévues
La CAI peut imposer une sanction administrative pécuniaire, notamment à qui n'informe pas les personnes comme l'exige l'article 8 (art. 90.1). Le montant maximal est de 50 000 $ pour une personne physique et, dans les autres cas, de 10 000 000 $ ou de 2 % du chiffre d'affaires mondial de l'exercice précédent si ce montant est plus élevé (art. 90.12). Pour les infractions énumérées à l'article 91, les amendes vont de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial si ce montant est plus élevé (art. 91). Ce sont des plafonds et des fourchettes fixés par la loi. Après un manquement, une entreprise peut aussi s'engager auprès de la CAI à le corriger; si l'engagement est accepté et respecté, elle ne peut faire l'objet d'une sanction administrative pécuniaire pour ces faits (art. 90.1).
Une liste de vérification pour votre site
- Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site.
- La politique de confidentialité est publiée, datée, en termes simples et clairs, séparée des conditions d'utilisation.
- Elle nomme les moyens de collecte, les fournisseurs et la possibilité d'un transfert hors du Québec.
- Les outils de mesure et de publicité ne se chargent pas avant le choix du visiteur.
- La bannière offre « Refuser » aussi facilement et aussi visiblement que « Accepter ».
- Un lien permanent permet de changer ses choix de témoins.
- Chaque formulaire ne demande que les renseignements nécessaires, et les champs utiles mais non nécessaires sont facultatifs.
- Un court texte près du bouton d'envoi dit à quoi serviront les renseignements et renvoie à la politique.
- L'infolettre a sa propre case, non cochée, séparée de l'envoi du formulaire.
- Chaque courriel commercial identifie l'entreprise et offre un moyen de se désabonner.
- Chaque fournisseur qui reçoit des renseignements a un mandat écrit; ceux hors du Québec ont fait l'objet d'une évaluation et d'une entente.
- Une demande d'accès reçoit une réponse écrite en 30 jours au plus.
Les points à vérifier en premier
Ces éléments changent chaque fois qu'on ajoute un outil ou une campagne au site. Vérifiez-les en premier :
- une balise de mesure, un pixel publicitaire ou un outil d'enregistrement de sessions qui se charge avant le choix du visiteur;
- un bouton « Refuser » absent, caché dans un second écran ou moins visible que « Accepter »;
- une case d'infolettre déjà cochée, ou fusionnée avec l'envoi du formulaire;
- une politique de confidentialité qui ne nomme ni le responsable ni les fournisseurs hors du Québec;
- des champs obligatoires qui ne servent pas la demande;
- un outil ajouté après le lancement (clavardage, prise de rendez-vous, carte, vidéo) qui n'apparaît pas dans la politique.
Faire vérifier votre site
Planifiez un appel découverte : nous regardons votre site et ses pages avec vous avant toute recommandation. Pour la mesure et le consentement, notre service d'automatisations et d'intégrations installe ou répare Google Analytics 4, Google Tag Manager et vos balises de conversion en respectant le consentement aux témoins. Pour les formulaires, voyez notre service de création de sites web : nos formulaires sont protégés contre les robots, et chaque demande est traitée côté serveur avant d'arriver dans votre boîte courriel ou votre système. Votre politique de confidentialité et vos textes de consentement restent les vôtres : nous les intégrons tels que vous ou votre conseiller juridique les fournissez.
Pour connaître l'état du référencement de votre site, demandez notre analyse SEO gratuite. Elle signale si Google Analytics et Google Tag Manager sont présents dans le code de la page, sans vérifier le consentement ni la Loi 25.