La loi québécoise sur la vie privée n'est plus une nouveauté. La Loi 25 est entrée en vigueur en trois vagues entre septembre 2022 et septembre 2024, et la période de transition est terminée depuis longtemps : les obligations s'appliquent maintenant pleinement à toute entreprise privée qui recueille des renseignements personnels au Québec, peu importe sa taille. Un nom et une adresse courriel dans un formulaire de contact comptent déjà. Cette liste de vérification Loi 25 couvre le volet web de la conformité, la partie que vos visiteurs et le régulateur peuvent voir en trente secondes.
La liste de vérification web en 8 points
1. Nommez un responsable de la protection des renseignements personnels et publiez ses coordonnées
Par défaut, la personne ayant la plus haute autorité dans l'entreprise assume ce rôle, qui peut être délégué par écrit à une personne capable de l'exercer. Son titre et ses coordonnées doivent être publiés sur votre site web, comme l'explique la page de la Commission d'accès à l'information pour les entreprises. Une courte section sur le responsable dans votre pied de page ou votre page de confidentialité règle ce point.
2. Publiez une politique de confidentialité en langage clair
Si vous recueillez des renseignements personnels par un moyen technologique, ce qui inclut un simple formulaire de contact, vous devez rédiger une politique de confidentialité en termes simples et clairs, la publier sur votre site web et l'annoncer quand vous la modifiez. Un gabarit copié d'un site étranger correspond rarement à ce que votre site recueille vraiment.
3. Recueillez seulement le nécessaire, avec un consentement pour chaque finalité
Le consentement doit être manifeste, libre, éclairé et demandé pour chaque finalité en mots simples. En pratique : réduisez vos formulaires aux champs que vous utilisez vraiment, dites à quoi sert chacun, et ne cochez jamais d'avance les cases optionnelles comme l'infolettre.
4. Traitez les témoins et le suivi honnêtement
Les analytiques, les pixels publicitaires et les vidéos intégrées peuvent tous recueillir des renseignements personnels. Dites aux visiteurs ce qui tourne sur votre site et laissez-les refuser ce qui n'est pas essentiel. Les paramètres qu'un visiteur gère dans son propre navigateur sont traités différemment, mais la transparence sur votre suivi demeure la base sécuritaire.
5. Faites du réglage le plus privé le réglage par défaut
Pour les produits ou services technologiques offerts au public, les paramètres de confidentialité doivent assurer le plus haut niveau de confidentialité par défaut, sans aucune action du visiteur. Rien d'optionnel ne devrait démarrer en position activée.
6. Ayez un plan d'incident et tenez un registre
Depuis septembre 2022, un incident de confidentialité présentant un risque de préjudice sérieux doit être déclaré à la Commission et aux personnes concernées, et chaque incident doit être consigné dans un registre interne. Décidez aujourd'hui qui fait quoi en cas de fuite, parce qu'improviser pendant un incident, c'est ainsi que les petits problèmes deviennent grands.
7. Sachez où vivent vos données avant qu'elles quittent le Québec
La Loi 25 ne vous oblige pas à héberger au Québec. Elle exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors de la province, pour confirmer qu'ils seront adéquatement protégés. L'hébergement au Québec simplifie cet exercice, c'est pourquoi nous l'offrons, mais l'obligation légale est l'évaluation, pas le code postal du serveur.
8. Soyez prêts pour les demandes d'accès et de portabilité
Les gens peuvent demander ce que vous détenez à leur sujet et, depuis le 22 septembre 2024, ils peuvent aussi demander leurs renseignements personnels informatisés dans un format structuré et couramment utilisé. Sachez où se trouvent les données clients dans vos systèmes pour qu'une demande ne devienne pas un chantier d'archéologie.
Que se passe-t-il si vous l'ignorez
La Commission d'accès à l'information peut maintenant imposer aux entreprises des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les poursuites pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et ces montants doublent en cas de récidive. Au-delà des sanctions, le coût le plus discret est la confiance : un site sans politique, sans responsable et aux cases précochées dit aux clients attentifs exactement comment leurs données seront traitées.
Par où commencer si vous êtes en retard
Commencez par les éléments visibles, parce qu'ils sont aussi les plus rapides : désignez et publiez votre responsable, puis mettez en ligne une vraie politique de confidentialité. Ensuite, vérifiez vos formulaires et votre suivi selon les points 3 à 5. Terminez par les morceaux internes, le registre d'incidents et la carte des données, qui prennent plus de temps mais n'ont pas à être publics. La plupart des sites de petites entreprises peuvent couvrir cette liste en quelques jours concentrés. La ressource Loi 25 de la FCEI est un bon complément en langage clair pour le volet affaires au-delà de votre site, et notre service configuration Loi 25 s'occupe de tout le volet web pour vous, de la politique à la bannière de consentement jusqu'à l'hébergement au Québec avec sauvegardes chiffrées.
Cet article est de l'information générale, pas un avis juridique. Pour les situations impliquant des données sensibles ou des flux de données complexes, parlez à un avocat.
La conformité est une habitude, pas une tâche de lancement
La liste ci-dessus décrit un moment dans le temps, et les sites web ne restent pas immobiles. Chaque nouveau champ de formulaire, chaque nouveau pixel marketing, chaque nouvel outil qui touche aux données clients peut discrètement vous éloigner de votre propre politique. Intégrez un réflexe simple à la gestion du site : quand quelque chose de nouveau commence à recueillir des renseignements personnels, mettez à jour la politique de confidentialité, vérifiez la bannière de consentement et notez-le dans votre carte des données. Une revue rapide deux fois par année, par exemple au renouvellement de l'hébergement et à la planification de la nouvelle année, garde les documents honnêtes. Les entreprises qui traitent la vie privée comme de l'entretien continu y consacrent quelques minutes par mois. Celles qui la traitent comme un projet unique refont habituellement tout l'exercice sous pression, souvent juste après une plainte client ou un incident.
Questions fréquentes
La Loi 25 s'applique-t-elle à ma petite entreprise?
Oui. La loi s'applique à toute entreprise privée qui recueille, détient, utilise ou communique des renseignements personnels au Québec, sans taille minimale. Un travailleur autonome avec un formulaire de contact est couvert, au même titre qu'une chaîne de cliniques.
Dois-je héberger mon site web au Québec?
Non. La loi exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors Québec, pour assurer une protection adéquate. L'hébergement au Québec simplifie beaucoup cette évaluation, c'est pourquoi plusieurs entreprises le choisissent, mais c'est une simplification, pas une exigence légale.
Une bannière de témoins est-elle obligatoire?
Ce que la loi exige, c'est la transparence et un consentement valide pour la collecte, plus la confidentialité maximale par défaut pour les technologies offertes au public. Pour la plupart des sites qui utilisent des analytiques ou des balises publicitaires, une bannière de consentement est le moyen pratique de remplir ces obligations.
Puis-je faire tout cela moi-même ou ai-je besoin d'un avocat?
La plupart des éléments web de cette liste sont opérationnels : publier le responsable, la politique, corriger les formulaires et les réglages par défaut. Un avocat devient utile quand vous traitez des données sensibles, partagez des données avec plusieurs partenaires ou exercez hors Québec. Pour tout ce qui touche le site lui-même, nous le faisons régulièrement pour nos clients.
Vous ne savez pas où en est votre site? Réservez un audit gratuit et nous vérifierons chaque élément de cette liste pour vous. Nos forfaits de maintenance et hébergement au Québec le gardent conforme après le lancement.
Technocure Digital Solutions est une agence numérique bilingue de Montréal cumulant plus de 14 ans d'expérience en web, SEO et Google Ads, au service de la croissance des entreprises québécoises. En savoir plus sur nous.
