La Loi 25 s’applique à toute entreprise qui recueille des renseignements personnels au Québec, peu importe sa taille. Pour votre site web, ça se traduit par des obligations concrètes : obtenir un consentement valide avant d’activer les témoins (cookies) non essentiels, publier une politique de confidentialité claire, encadrer chaque formulaire qui collecte des données et désigner un responsable de la protection des renseignements personnels. Depuis septembre 2024, toutes les dispositions de la loi sont en vigueur. Voici ce que ça implique, sans jargon juridique.
La Loi 25, c’est quoi au juste?
Adoptée en 2021, la Loi 25 modernise la Loi sur la protection des renseignements personnels dans le secteur privé au Québec. Elle est entrée en vigueur en trois phases : septembre 2022 (responsable de la protection des renseignements personnels, gestion des incidents), septembre 2023 (la majorité des obligations, dont le consentement et la politique de confidentialité) et septembre 2024 (droit à la portabilité des données).
Point important pour les PME : contrairement à ce que plusieurs croient, il n’y a pas de seuil minimal. Une entreprise de deux personnes à Drummondville est soumise aux mêmes règles qu’une multinationale, dès qu’elle recueille des renseignements personnels — un nom, un courriel, une adresse IP, un comportement de navigation.
Ce que la Loi 25 exige concrètement sur votre site web
Le consentement aux témoins (cookies)
C’est l’exigence la plus visible. Toute technologie qui permet d’identifier, de localiser ou de profiler un visiteur — pensez à Google Analytics, au pixel Meta ou aux outils de reciblage publicitaire — doit être désactivée par défaut. Le visiteur doit donner un consentement libre et éclairé avant qu’elle s’active. En pratique, ça veut dire une bannière de gestion des témoins qui bloque réellement les scripts tant que le visiteur n’a pas accepté, pas juste un bandeau décoratif avec un bouton « OK ».
Attention aux fausses conformités : beaucoup de sites affichent une bannière, mais chargent quand même les traceurs avant le consentement. Un test technique de quelques minutes suffit à le vérifier — et la Commission d’accès à l’information peut faire le même test.
La politique de confidentialité
Votre site doit publier, en termes simples et clairs, une politique qui explique quels renseignements vous recueillez, pourquoi, comment ils sont conservés et protégés, avec qui ils sont partagés, et comment une personne peut exercer ses droits (accès, rectification, retrait du consentement). Copier-coller la politique d’un autre site est une mauvaise idée : elle doit refléter vos pratiques réelles. Pour la rédaction, un modèle adapté est un bon point de départ, mais si vos activités sont sensibles (santé, finance, données de mineurs), la validation par un juriste spécialisé demeure la voie prudente.
Les formulaires et la collecte de données
Chaque formulaire de votre site — contact, soumission, infolettre, carrières — est un point de collecte. La règle de base : ne demander que ce qui est nécessaire à la finalité annoncée. Un formulaire de contact n’a pas besoin de la date de naissance. Pour l’infolettre, le consentement doit être explicite : pas de case précochée, pas d’abonnement automatique caché dans un autre formulaire. Et les données recueillies doivent être hébergées et transmises de façon sécurisée, ce qui ramène à des bases techniques saines : certificat SSL, extensions à jour, maintenance régulière du site.
Les obligations qui dépassent le site web
La Loi 25 ne se limite pas à votre site. Quelques obligations touchent l’entreprise dans son ensemble :
- Responsable de la protection des renseignements personnels : par défaut, c’est la personne à la plus haute autorité (souvent le propriétaire dans une PME). Son nom et ses coordonnées doivent être publiés sur votre site.
- Registre des incidents de confidentialité : toute fuite ou tout accès non autorisé doit être consigné, et déclaré à la Commission d’accès à l’information s’il présente un risque de préjudice sérieux.
- Évaluation des facteurs relatifs à la vie privée (ÉFVP) : requise avant certains projets, notamment quand des données sont communiquées à l’extérieur du Québec — ce qui inclut plusieurs outils infonuagiques américains courants.
- Portabilité : depuis septembre 2024, une personne peut demander de recevoir ses renseignements personnels dans un format technologique structuré.
Quels sont les risques si on ne fait rien?
Les sanctions prévues sont sérieuses : des sanctions administratives pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et des sanctions pénales allant jusqu’à 25 millions ou 4 % du chiffre d’affaires. Soyons honnêtes : la Commission ne distribue pas des amendes maximales aux PME de bonne foi. Le risque réel pour une petite entreprise, c’est plutôt une plainte d’un client ou d’un concurrent, une demande d’enquête, du temps perdu et une crédibilité entachée. La conformité est aussi devenue un critère d’affaires : de plus en plus de donneurs d’ordres et d’organismes publics la vérifient avant de signer.
Trois mythes qu’on entend encore en 2026
- « Je suis trop petit pour être visé. » Faux : la loi s’applique dès le premier renseignement personnel recueilli, sans égard à la taille de l’entreprise ou du site.
- « Ma bannière de cookies me rend conforme. » Pas nécessairement : si les traceurs se chargent avant le consentement, ou si la politique de confidentialité ne suit pas, la bannière ne règle qu’une partie du problème.
- « C’est fait une fois pour toutes. » Non : chaque nouvel outil ajouté au site — un pixel publicitaire, un module de clavardage, une plateforme d’infolettre — change ce que vous collectez et doit être intégré à votre gestion du consentement et à votre politique.
Par où commencer, concrètement
Pour un site WordPress typique de PME, la mise en conformité de base est un chantier raisonnable — quelques heures de travail bien encadrées, pas des mois. L’ordre logique :
- Faire l’inventaire de ce que votre site collecte : formulaires, statistiques, pixels publicitaires, outils intégrés.
- Installer une vraie gestion des témoins, qui bloque les traceurs avant le consentement.
- Rédiger ou mettre à jour la politique de confidentialité pour qu’elle reflète vos pratiques réelles.
- Désigner le responsable de la protection des renseignements personnels et publier ses coordonnées.
- Réviser chaque formulaire : champs nécessaires seulement, consentements explicites.
Pour vous guider étape par étape, on a préparé une checklist Loi 25 pour site WordPress que vous pouvez suivre à votre rythme. Et si vous préférez qu’on regarde votre situation avec vous — ce qu’on fait régulièrement pour des PME d’ici —, écrivez-nous : on vous dira franchement ce qui est conforme, ce qui ne l’est pas, et ce que ça prend pour corriger le tir.
