Pour beaucoup d’entreprises, la Loi 25 s’est résumée à une bannière de témoins ajoutée en vitesse. C’est un début. Mais la loi demande davantage à un site web, et les manquements les plus fréquents ne se voient pas dans la bannière : une politique de confidentialité introuvable, un formulaire qui demande trop, des outils qui envoient des données avant que le visiteur ait choisi. Voici ce que la Loi 25 exige d’un site, avec les articles de loi correspondants, et comment vérifier le vôtre.
Nous sommes développeurs, pas avocats. Cet article explique ce que la loi demande à un site web; pour une situation particulière, la Commission d’accès à l’information (CAI) publie des guides clairs, et un juriste peut trancher.
Ce que la Loi 25 change pour un site web
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Ses dispositions sont entrées en vigueur par étapes, de 2022 à 2024. Elle vise toute entreprise qui recueille des renseignements personnels dans le cadre de ses activités, quelle que soit sa taille.
Un site en recueille plus souvent qu’on ne le pense. Un formulaire de contact reçoit un nom, une adresse courriel, un numéro de téléphone. Un outil de mesure d’audience ou un pixel publicitaire suit la navigation d’un visiteur d’une page à l’autre. Dès que votre site fait l’un ou l’autre, la loi s’applique à lui.
La politique de confidentialité, publiée sur le site
L’article 8.2 est le plus simple à respecter, et pourtant souvent raté. Une entreprise qui recueille des renseignements par un moyen technologique doit publier sur son site une politique de confidentialité « rédigée en termes simples et clairs », et annoncer de la même façon toute modification. L’article 3.2 ajoute la publication d’informations détaillées sur vos règles de gouvernance : conservation, destruction, rôles de chacun, traitement des plaintes.
Le guide de la CAI sur la politique de confidentialité indique ce qu’elle doit couvrir : les moyens de collecte (formulaires, courriels, certains témoins), les fins, les personnes qui ont accès aux renseignements, les fournisseurs qui les traitent pour vous, comme un outil d’infolettre, et la façon de refuser les témoins. Une politique copiée d’un autre site, ou générée en deux minutes, décrit rarement vos outils à vous. Elle doit nommer ce que votre site utilise vraiment, et se trouver facilement, depuis le pied de page de chaque page par exemple.
Les témoins et le consentement
C’est ici que la Loi 25 est la plus mal comprise. L’article 8.1 vise les technologies qui permettent d’identifier une personne, de la localiser ou d’établir son profil. Vous devez l’en informer au préalable, et la CAI précise que ces fonctions doivent être désactivées par défaut : c’est au visiteur de les activer. Son guide range « certains témoins » de votre site parmi ces moyens de collecte, et cite « une fenêtre pour paramétrer les témoins de connexion » comme une forme de demande de consentement.
La loi ne vise pas pour autant tous les témoins. Ceux qui font fonctionner le site (la session, le panier, la langue choisie) n’ont pas besoin d’accord. L’article 9.1, qui impose les réglages les plus protecteurs par défaut, exclut d’ailleurs explicitement les paramètres des témoins de connexion. Ce sont les outils qui suivent et profilent le visiteur qui doivent attendre son choix : publicité ciblée, pixels des réseaux sociaux et, dans la lecture la plus prudente, outils de mesure d’audience.
Le consentement lui-même doit être « manifeste, libre, éclairé et être donné à des fins spécifiques » (article 14). En pratique, un vrai choix se voit : un bouton Refuser aussi visible que le bouton Accepter, et des catégories expliquées en une phrase. Un consentement qui ne respecte pas ces critères est « sans effet », dit la loi.
Méfiez-vous aussi de la bannière qui fait bonne figure pendant que les outils partent quand même. Certains réglages de Google chargent des scripts avant le consentement sans prévenir, comme nous l’expliquons dans notre article sur Google Tag Manager.
Les formulaires : ne demander que le nécessaire
Avant de recueillir un renseignement, l’entreprise doit en déterminer les fins, et ne recueillir que ce qui est nécessaire à ces fins (articles 4 et 5). La loi ajoute une règle qui tranche bien des débats internes : « En cas de doute, un renseignement personnel est réputé non nécessaire » (article 9).
Relisez vos formulaires avec cette phrase en tête. Le numéro de téléphone obligatoire pour une simple question, la date de naissance pour une infolettre, l’adresse postale pour une soumission en ligne : chaque champ doit se justifier. Au moment de la collecte, la personne doit aussi savoir à quoi serviront ses renseignements et quels sont ses droits (article 8). Une phrase courte sous le formulaire, avec un lien vers la politique, suffit souvent.
Pensez enfin à ce que deviennent les demandes reçues. Quand la fin est atteinte, les renseignements doivent être détruits ou anonymisés (article 23). Or un site WordPress garde souvent chaque demande de formulaire, indéfiniment, en plus des courriels envoyés. Les extensions de formulaires sérieuses permettent de fixer une durée de conservation : Gravity Forms, par exemple, peut supprimer automatiquement les entrées après le nombre de jours choisi.
Le responsable de la protection des renseignements personnels
Chaque entreprise en a un, qu’elle le sache ou non. Par défaut, c’est la personne qui a la plus haute autorité dans l’entreprise, qui peut déléguer cette fonction par écrit (article 3.1). Son titre et ses coordonnées doivent être publiés sur le site web.
C’est l’oubli le plus facile à corriger. Un titre et une adresse courriel dédiée, dans la politique de confidentialité ou le pied de page, font l’affaire.
Les données qui sortent du Québec
Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit faire une évaluation des facteurs relatifs à la vie privée : sensibilité des renseignements, finalité, mesures de protection, cadre juridique du pays de destination (article 17). La règle vaut aussi quand vous confiez à un fournisseur hors Québec le soin de recueillir ou de conserver des renseignements pour vous, et la communication doit faire l’objet d’une entente écrite.
Pour un site, ça concerne l’hébergement, les outils de mesure d’audience, l’infolettre, le CRM qui reçoit les demandes. Ce n’est pas une interdiction : la loi demande d’évaluer avant, et de l’écrire. Attention au détail géographique, l’extérieur du Québec commence en Ontario. Un serveur à Toronto est hors Québec au sens de la loi. Nous en parlons dans notre article sur le choix d’un hébergement.
Un site piraté est un incident de confidentialité
Un accès non autorisé à des renseignements personnels, leur perte ou leur communication par erreur sont des incidents de confidentialité (article 3.6). Un site WordPress piraté dont la base contient des demandes de formulaire en est un. L’entreprise doit alors limiter les dégâts, aviser la CAI et les personnes concernées si l’incident présente un risque de préjudice sérieux, et inscrire chaque incident dans un registre (articles 3.5 et 3.8).
La meilleure façon de gérer un incident reste de l’éviter : des mises à jour suivies, des sauvegardes hors du site, et le moins possible de renseignements conservés.
Les sanctions, sans dramatiser
La CAI peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial (article 90.12), et les amendes pénales montent jusqu’à 25 millions ou 4 % (article 91). Un tribunal peut aussi accorder des dommages-intérêts punitifs d’au moins 1 000 $ en cas d’atteinte intentionnelle ou de faute lourde (article 93.1).
Ces plafonds visent les cas graves. Pour un site de PME, le risque le plus concret est ailleurs : la plainte d’un client, une demande de la CAI à laquelle on ne sait pas répondre, ou un incident découvert trop tard.
Vérifier la conformité de votre site à la Loi 25 en dix minutes
Pas besoin d’outil payant pour un premier contrôle :
- Ouvrez votre site dans une fenêtre de navigation privée, sans toucher à la bannière. Dans l’onglet Réseau des outils de développement du navigateur, rien ne doit partir vers Google Analytics, Meta ou un réseau publicitaire.
- Cliquez sur Refuser, puis naviguez : ces mêmes outils doivent rester silencieux.
- Trouvez la politique de confidentialité depuis le pied de page, et vérifiez qu’elle décrit vos outils réels.
- Repérez le titre et les coordonnées du responsable de la protection des renseignements personnels.
- Relisez chaque formulaire : chaque champ obligatoire est-il nécessaire, et la fin de la collecte est-elle annoncée?
- Vérifiez combien de temps les demandes reçues restent dans le site et dans les boîtes courriel.
- Dressez la liste des outils qui reçoivent des données (statistiques, infolettre, CRM) et de l’endroit où ils les gardent.
Si un point bloque, il se corrige en général en quelques heures. Sur les sites que nous entretenons, le consentement aux témoins fait partie de l’état des lieux du début de mandat, et la licence de Complianz Premium, l’extension qui gère la bannière, est incluse à partir du forfait Avancé de nos forfaits de maintenance.
