La Loi 25 est en vigueur depuis un moment déjà, et la plupart des PME québécoises ont réglé le gros morceau : nommer un responsable de la protection des renseignements personnels, écrire une…
Avis : ce texte explique des pratiques techniques courantes. Ce n'est pas un avis juridique. Pour vos obligations précises, consultez un conseiller juridique — la conformité dépend de ce que votre entreprise fait réellement avec les renseignements personnels, pas seulement de son site web.
La Loi 25 est en vigueur depuis un moment déjà, et la plupart des PME québécoises ont réglé le gros morceau : nommer un responsable de la protection des renseignements personnels, écrire une politique.
Le site web, lui, reste souvent en retard. Pas par mauvaise foi — parce que personne n'a dit à l'agence que ça faisait partie du mandat, et que l'agence ne l'a pas proposé.
Voici ce qui se joue concrètement sur un site de PME.
La bannière de témoins : le consentement doit être réel
C'est le point le plus visible, et le plus souvent mal fait.
Une bannière qui dit « en poursuivant votre navigation, vous acceptez les témoins » avec un seul bouton « J'accepte » ne recueille pas un consentement. Elle annonce une décision déjà prise.
Ce qu'une bannière doit permettre :
- Refuser aussi facilement qu'accepter. Si « Accepter » est un gros bouton bleu et que refuser demande d'ouvrir un panneau de réglages et de décocher six cases, le choix n'est pas équivalent.
- Ne rien déposer avant le choix. C'est l'erreur technique la plus fréquente : la bannière s'affiche, mais les scripts d'analyse se sont déjà exécutés au chargement de la page. Le consentement arrive après coup et ne sert à rien.
- Distinguer les catégories. Les témoins strictement nécessaires au fonctionnement du site n'ont pas le même statut que ceux d'analyse ou de publicité.
- Se laisser changer d'avis. Un lien accessible en tout temps, généralement dans le pied de page.
Comment vérifier vous-même : ouvrez votre site dans une fenêtre de navigation privée, ouvrez les outils de développement, allez voir les témoins déposés avant de toucher à la bannière. S'il y en a d'autres que ceux de session, il y a un problème.
Les formulaires : ne demandez que ce dont vous avez besoin
Le principe de minimisation est simple et souvent ignoré : ne recueillez que les renseignements nécessaires à la finalité annoncée.
Un formulaire de contact a besoin d'un nom, d'un moyen de vous joindre et du message. Il n'a pas besoin de la date de naissance, du numéro d'entreprise ni de l'adresse municipale complète. Chaque champ superflu est un renseignement personnel de plus à protéger, à conserver et à pouvoir supprimer sur demande.
Trois choses à ajouter à vos formulaires :
- Dire à quoi ça sert, en une ligne, près du bouton d'envoi. « Ces informations servent uniquement à répondre à votre demande. »
- Lier la politique de confidentialité à cet endroit précis, pas seulement dans le pied de page.
- Savoir où les données vont. Si le formulaire alimente un CRM, ce CRM fait partie de votre inventaire de renseignements personnels. Si vous ne savez pas où atterrissent vos soumissions, c'est le premier trou à boucher.
L'hébergement et les transferts hors Québec
La loi n'interdit pas d'héberger ailleurs. Elle exige une évaluation avant de communiquer des renseignements personnels hors Québec, et que la protection y soit adéquate.
Attention au piège de vocabulaire, parce qu'on le voit répété partout : hors Québec ne veut pas dire hors Canada. Un serveur à Toronto est hors Québec. Héberger au Canada ne vous dispense donc pas de l'évaluation — c'est une erreur qu'on lit souvent, et qu'on avait nous-mêmes écrite dans un brouillon de ce texte avant de la faire corriger.
Ce que ça change quand même, en pratique : documenter un régime de protection provincial canadien est une conversation plus courte que documenter celui d'un pays tiers, et c'est plus simple à expliquer à un client qui pose la question. C'est une différence de degré, pas une exemption.
Ce qui compte tout autant, et qu'on oublie : les services tiers embarqués dans vos pages. Une police de caractères chargée depuis un serveur étranger, une vidéo intégrée, un outil de clavardage, un pixel publicitaire — chacun voit l'adresse IP de vos visiteurs. Faites-en la liste. Elle est souvent plus longue que prévu.
La politique de confidentialité : pas un copier-coller
Une politique reprise telle quelle sur un autre site décrit les pratiques de quelqu'un d'autre. Elle doit dire ce que vous faites : quels renseignements vous recueillez, pourquoi, combien de temps vous les gardez, avec qui vous les partagez, et comment quelqu'un exerce ses droits.
Ce dernier point est celui qu'on néglige le plus. Une personne a le droit de demander l'accès à ses renseignements, leur rectification, et dans certains cas leur suppression. Votre politique doit dire à qui s'adresser et comment — un nom de rôle et un moyen de contact qui fonctionne, pas une adresse générique que personne ne surveille.
La conservation : ce que vous gardez, vous devez le protéger
Un formulaire qui alimente une boîte de courriels depuis quatre ans, c'est quatre ans de renseignements personnels dans une boîte de courriels. Chaque soumission conservée sans raison est un risque sans contrepartie.
Fixez une durée, écrivez-la dans la politique, et faites le ménage pour de vrai. C'est la mesure la moins coûteuse et la plus efficace de toute cette liste.
Le test de dix minutes
À faire vous-même, aujourd'hui :
- Fenêtre privée, votre site, outils de développement : des témoins non essentiels avant le choix ?
- Le bouton « Refuser » est-il aussi accessible que « Accepter » ?
- Peut-on changer d'avis depuis le pied de page ?
- Le formulaire demande-t-il un champ dont vous ne vous servez jamais ?
- La politique nomme-t-elle une personne à contacter, joignable ?
- Savez-vous où atterrissent les soumissions, et depuis combien de temps elles s'accumulent ?
Un « non » quelque part n'est pas une catastrophe. C'est une liste de tâches.
Notre position
On héberge au Canada, on recueille le minimum, et on pose la bannière de consentement correctement dès la construction du site plutôt qu'en rattrapage. C'est notre façon de travailler depuis le début — la conformité coûte beaucoup moins cher quand elle est dans la conception que quand elle est un correctif.
On tient aussi une trousse gratuite sur l'IA responsable et la Loi 25, avec des guides et des gabarits que vous pouvez utiliser sans nous demander quoi que ce soit.
Pour ce qui est du site lui-même, le détail de ce qui est inclus est sur la page création de site web.
Questions fréquentes
La Loi 25 s'applique-t-elle à mon petit site vitrine ? Dès que votre site recueille des renseignements personnels — un formulaire de contact suffit — vous traitez des renseignements personnels et les obligations s'appliquent. La taille de l'entreprise ne change pas ce principe.
Ma bannière de témoins est-elle conforme ? Deux tests rapides : refuser doit être aussi facile qu'accepter, et aucun témoin non essentiel ne doit être déposé avant le choix du visiteur. Vérifiez le second en navigation privée avec les outils de développement.
Dois-je héberger mon site au Québec ? La loi ne l'impose pas, mais elle exige une évaluation avant de communiquer des renseignements personnels hors Québec — et « hors Québec » inclut le reste du Canada. Un serveur à Toronto déclenche l'obligation autant qu'un serveur à Paris. Héberger au Québec est ce qui l'évite ; héberger au Canada la rend simplement plus facile à documenter.
Puis-je copier une politique de confidentialité trouvée en ligne ? Non. Une politique doit décrire vos pratiques réelles : ce que vous recueillez, pourquoi, combien de temps, avec qui, et comment exercer ses droits. Une politique empruntée décrit quelqu'un d'autre.
Combien de temps puis-je conserver les soumissions de formulaire ? La loi demande de ne pas les garder au-delà de la finalité pour laquelle elles ont été recueillies. Fixez une durée, inscrivez-la dans votre politique, et appliquez-la réellement.