Loi 25 : ce que votre site web doit prévoir au Québec

Pourquoi votre site est concerné

Un formulaire de contact, une infolettre, des statistiques de visite ou une boutique en ligne recueillent des renseignements personnels. Dès lors, la Loi 25 s'applique. La majorité de ses dispositions sont entrées en vigueur le 22 septembre 2023, selon le gouvernement du Québec.

Les éléments à vérifier sur votre site

Voici les points qui reviennent le plus souvent. Pour une validation juridique précise, consultez un professionnel du droit.

• Une politique de confidentialité rédigée en langage clair et facile à trouver
• Un consentement avant l'utilisation de témoins non essentiels, comme le suivi publicitaire
• Des formulaires qui ne demandent que les renseignements nécessaires
• Les coordonnées de la personne responsable de la protection des renseignements personnels
• Une façon simple de retirer son consentement ou de faire une demande d'accès

Les sanctions possibles

La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial. Les sanctions pénales peuvent atteindre 25 M$ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.

Les outils tiers : à surveiller

Les outils d'analyse, de clavardage ou de publicité installés sur votre site recueillent aussi des données. Faites l'inventaire de ceux que vous utilisez et assurez-vous qu'ils respectent vos engagements de confidentialité.

Intégrer la conformité dès la conception

Il est plus simple de prévoir la bannière de consentement, la politique et les formulaires pendant la création du site que de les ajouter plus tard. Cet article ne constitue pas un avis juridique.

Ce qu'ajoutent les guides de la Commission d'accès à l'information

D'après les ressources de la Commission, les entreprises doivent publier sur leur site le titre et les coordonnées de la personne responsable de la protection des renseignements personnels, ainsi que de l'information détaillée sur leurs pratiques, rédigée en termes simples et clairs.

Lorsque le consentement est demandé par écrit, il doit être présenté séparément des autres informations et demandé pour chaque fin précise. Depuis septembre 2023, lors de la collecte, l'entreprise doit informer la personne des fins et des moyens de la collecte, de ses droits d'accès et de rectification et de son droit de retirer son consentement. Avant d'utiliser une technologie permettant d'identifier, de localiser ou de profiler une personne, il faut l'en informer et expliquer comment désactiver ces fonctions.

Qui est responsable, et de quoi

L'entreprise est responsable des renseignements qu'elle détient. La personne qui exerce la plus haute autorité assume la fonction de responsable de la protection des renseignements personnels, mais peut la déléguer par écrit. L'entreprise doit établir des règles de gouvernance : conservation et destruction des renseignements, rôles du personnel, traitement des plaintes. Les grandes lignes doivent être publiées.

Incidents de confidentialité

En cas d'incident présentant un risque de préjudice sérieux, l'entreprise doit en aviser la Commission et les personnes concernées. Elle doit aussi tenir un registre de tous les incidents. Pour un site, cela signifie se demander à l'avance qui prévenir et comment si un formulaire ou une base de données était compromis.

Projets technologiques et transferts hors Québec

Une évaluation des facteurs relatifs à la vie privée est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui touche des renseignements personnels, et avant de communiquer des renseignements à l'extérieur du Québec. C'est pertinent pour un site : un outil d'infolettre, de statistiques ou de clavardage hébergé à l'étranger entre dans cette réflexion.

Les droits des personnes

Les personnes peuvent demander la désindexation d'un lien ou la cessation de la diffusion de leurs renseignements dans certains cas. Depuis le 22 septembre 2024, elles peuvent aussi demander que leurs renseignements informatisés leur soient transmis dans un format structuré et couramment utilisé (portabilité). Les renseignements concernant un enfant de moins de 14 ans demandent le consentement du parent ou du tuteur. Une décision fondée exclusivement sur un traitement automatisé doit être communiquée avec la possibilité de présenter ses observations.

Les paramètres par défaut

Un produit ou un service technologique offert au public doit, par défaut, offrir le plus haut niveau de confidentialité, sans que la personne ait à intervenir. Les fonctions qui permettent d'identifier, de localiser ou de profiler une personne ne peuvent pas être activées par défaut. Cette règle ne vise pas les paramètres des témoins de connexion. Les obligations sont entrées en vigueur par étapes, en septembre 2022, en septembre 2023 et en septembre 2024.

Questions fréquentes

Notre service lié : Design web. Des sites web modernes et intuitifs, pensés pour mettre votre marque en valeur et transformer les visiteurs en clients.