Loi 25 : la checklist pour le site web d’une PME

Version imprimable de la checklist

En bref

La « Loi 25 » est le nom courant de la loi québécoise adoptée en 2021 pour moderniser la protection des renseignements personnels. Elle a modifié, entre autres, la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Ses obligations sont entrées en vigueur en trois temps : septembre 2022, septembre 2023 et septembre 2024.

Pour un site web, la question de départ est simple : votre site recueille-t-il des renseignements personnels? Un nom, une adresse courriel ou un numéro de téléphone saisis dans un formulaire de contact en sont. Si la réponse est oui, cette checklist vous concerne.

Ce guide est un outil de vérification, pas un avis juridique. Pour une situation particulière, consultez un juriste ou la Commission d’accès à l’information du Québec.

Qui est visé?

La loi s’applique à toute personne qui exploite une entreprise au Québec et qui recueille, détient, utilise ou communique des renseignements personnels. Il n’y a pas de seuil de taille : un travailleur autonome avec un formulaire de contact est visé, tout comme une entreprise de cent employés.

Ce que le site doit afficher

Trois éléments doivent être visibles publiquement, sur le site lui-même.

• AFF-01Un responsable de la protection des renseignements personnels est désignéPar défaut, c’est la personne ayant la plus haute autorité dans l’entreprise; la fonction peut être déléguée par écrit. Son titre et ses coordonnées sont publiés sur le site (art. 3.1).
• AFF-02Une politique de confidentialité est publiée sur le siteObligatoire lorsque des renseignements sont recueillis par un moyen technologique, comme un formulaire. Rédigée en termes simples et clairs (art. 8.2). Un lien visible dans le pied de page et près de chaque formulaire est une bonne pratique.
• AFF-03La politique dit quoi, pourquoi, comment, et quels sont vos droitsRenseignements recueillis, fins, moyens de collecte, droits d’accès et de rectification, droit de retirer son consentement, coordonnées du responsable, communication possible à l’extérieur du Québec, durée de conservation.
• AFF-04Les règles de gouvernance sont résumées sur le siteL’entreprise adopte des politiques et pratiques encadrant la gouvernance des renseignements (conservation, destruction, rôles, traitement des plaintes) et en publie l’information détaillée, en termes simples et clairs, sur son site (art. 3.2).

Ce que le site doit demander, et comment

Les formulaires, les témoins (cookies) et les outils intégrés au site sont l’endroit où la loi se voit le plus.

• DEM-01Chaque formulaire explique pourquoi il recueille les renseignementsAu moment de la collecte, la personne est informée des fins, des moyens, de ses droits d’accès et de rectification et de son droit de retirer son consentement (art. 8).
• DEM-02Seuls les renseignements nécessaires sont demandésOn ne recueille que ce qui est nécessaire aux fins déterminées avant la collecte (art. 5). Un formulaire de contact n’a généralement pas besoin d’une adresse postale ni d’une date de naissance.
• DEM-03Le consentement est manifeste, libre, éclairé et propre à chaque finDemandé pour chaque fin, en termes simples et clairs et, s’il est demandé par écrit, présenté séparément de toute autre information (art. 14). Selon les orientations de la Commission, une case pré-cochée ou un consentement noyé dans les conditions d’utilisation ne répond pas à ces critères.
• DEM-04L’infolettre a sa propre case à cocherRépondre à une demande et envoyer de la prospection sont deux fins distinctes : la prospection commerciale ne peut pas être considérée comme une fin compatible (art. 12). Deux fins, deux consentements. (L’envoi de messages commerciaux est aussi encadré par la loi canadienne anti-pourriel.)
• DEM-05Les fonctions qui identifient, localisent ou profilent sont annoncées et activées par le visiteurSi le site utilise une technologie qui permet d’identifier, de localiser ou de profiler un visiteur (certains outils publicitaires ou de mesure d’audience), il doit l’en informer au préalable ainsi que des moyens d’activer ces fonctions (art. 8.1).
• DEM-06Les tiers et la communication hors Québec sont mentionnésLe cas échéant, indiquer le nom des tiers ou des catégories de tiers à qui les renseignements sont communiqués (outil de formulaire, infolettre, hébergeur) et la possibilité qu’ils soient communiqués à l’extérieur du Québec (art. 8).

Ce que l’entreprise doit gérer en coulisse

Ces obligations ne se voient pas sur le site, mais elles en découlent : ce que vous faites des messages reçus et des outils utilisés.

• GER-01Un registre des incidents de confidentialité est tenuTout incident est consigné (art. 3.8). S’il présente un risque de préjudice sérieux, la Commission d’accès à l’information et les personnes concernées sont avisées avec diligence (art. 3.5).
• GER-02Une évaluation est faite avant d’envoyer des renseignements hors QuébecAvant de communiquer des renseignements à l’extérieur du Québec, par exemple à un hébergeur ou un outil infonuagique situé ailleurs, une évaluation des facteurs relatifs à la vie privée est réalisée (art. 17).
• GER-03Une durée de conservation est fixée, puis les données sont détruitesUne fois la fin accomplie, les renseignements sont détruits ou anonymisés, sous réserve des délais de conservation prévus par la loi (art. 23). Pensez aux messages du formulaire qui s’accumulent dans une boîte courriel.
• GER-04Les demandes d’accès, de rectification et de portabilité ont une procédureLe responsable répond par écrit dans les 30 jours suivant la réception (art. 32). Depuis septembre 2024, une personne peut aussi demander ses renseignements dans un format technologique structuré et couramment utilisé (art. 27).
• GER-05Les fournisseurs qui traitent des renseignements ont une entente écriteConfier des renseignements à un prestataire (hébergeur, outil d’envoi de courriels, développeur) exige un contrat écrit qui précise les mesures de protection (art. 18.3).
• GER-06Des mesures de sécurité raisonnables protègent les donnéesSite en HTTPS, accès aux messages limité aux personnes qui en ont besoin, mots de passe solides, mises à jour appliquées : des mesures adaptées à la sensibilité des renseignements (art. 10).

Version imprimable

Les 16 points ci-dessus sont regroupés sur une seule page, prête à imprimer et à cocher : liste de contrôle Loi 25 imprimable. Pour vérifier rapidement si votre site affiche un lien vers une politique de confidentialité, essayez notre vérification de site gratuite.

Ce que risque une entreprise

Pour une entreprise qui n’est pas une personne physique, la Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé (art. 90.12). Les amendes pénales peuvent atteindre 25 M$ ou 4 % du chiffre d’affaires mondial (art. 91). Ce sont des maximums : en pratique, la première étape est souvent de corriger. Mais un formulaire sans politique de confidentialité reste l’un des manquements les plus faciles à repérer.

Sources

• Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1 — LégisQuébec
• Commission d’accès à l’information du Québec — cai.gouv.qc.ca