Un formulaire de contact, un outil de mesure d'audience, un pixel publicitaire : dès que votre site recueille des renseignements sur des personnes au Québec, la Loi 25 entre en jeu. La dernière étape de son entrée en vigueur remonte au 22 septembre 2024, et la Commission d'accès à l'information du Québec (CAI) peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars canadiens ou, si ce montant est plus élevé, 2 % du chiffre d'affaires mondial de l'exercice précédent.
Ce guide s'adresse aux entreprises dont le site est visité par des Québécois, qu'elles soient établies au Québec, ailleurs au Canada ou en Europe. Il présente l'état du droit en octobre 2026 et ne remplace pas un avis juridique.
Qu'est-ce que la Loi 25 et où en est-elle en 2026 ?
« Loi 25 » est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (L.Q. 2021, chapitre 25). Issue du projet de loi n° 64, elle a été sanctionnée le 22 septembre 2021. Elle modifie plusieurs lois existantes, dont la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), souvent appelée « Loi sur le privé ». C'est cette loi, telle que modifiée, qui s'applique aux sites web des entreprises, et les numéros d'articles cités ici renvoient à sa version consolidée sur LégisQuébec. Le texte de la Loi 25 tel qu'adopté est publié par les Publications du Québec.
Un calendrier en trois étapes, achevé depuis 2024
L'article 175 de la Loi 25 a échelonné l'entrée en vigueur sur trois ans :
- 22 septembre 2022 : personne responsable de la protection des renseignements personnels, obligations en cas d'incident de confidentialité, et nouvelles règles de communication sans consentement pour certaines transactions commerciales et pour la recherche.
- 22 septembre 2023 : la majorité des dispositions, dont les règles de consentement, la politique de confidentialité, l'encadrement des technologies d'identification, de localisation et de profilage, la confidentialité par défaut, l'évaluation préalable aux communications hors Québec, les décisions automatisées, la désindexation et le nouveau régime de sanctions.
- 22 septembre 2024 : le droit à la portabilité, soit le droit d'obtenir les renseignements informatisés recueillis auprès de soi dans un format technologique structuré et couramment utilisé.
En octobre 2026, ce calendrier est donc achevé. Le cadre pourrait toutefois évoluer : dans son rapport quinquennal publié le 11 juin 2026, la CAI formule 74 recommandations, dont l'interdiction des interfaces truquées ayant un effet sur la protection des renseignements personnels. Ce sont des recommandations au législateur, pas des règles en vigueur.
La Loi 25 s'applique-t-elle à mon site si mon entreprise n'est pas au Québec ?
La Loi sur le privé vise toute personne qui exploite une entreprise au sens de l'article 1525 du Code civil du Québec, c'est-à-dire qui exerce une activité économique organisée, commerciale ou non. Selon la CAI, cela inclut le travailleur autonome et, après analyse au cas par cas, certains organismes à but non lucratif. La loi ne prévoit pas d'exemption selon la taille, mais certaines obligations, comme les politiques de gouvernance, doivent être proportionnées à la nature et à l'importance des activités.
Pour les entreprises établies ailleurs, la page de la CAI sur le champ d'application de la loi est claire : une organisation située à l'extérieur du Québec est assujettie si elle recueille, détient, utilise ou communique des renseignements personnels dans le cadre des activités de son entreprise au Québec. Le lieu du siège social ou des serveurs ne suffit donc pas à écarter la loi.
Les indices d'une activité au Québec
La loi ne dresse pas de liste de critères. En pratique, ces éléments laissent penser que votre site s'inscrit dans une activité au Québec :
- vous vendez, livrez ou offrez des services à des clients québécois ;
- votre site affiche des prix en dollars canadiens ou des conditions de vente propres au Québec ;
- vous faites de la publicité ciblant le Québec ;
- vous recueillez des comptes clients, des demandes de soumission ou des inscriptions à l'infolettre auprès de résidents du Québec.
Aucun indice n'est décisif à lui seul : un site simplement accessible depuis le Québec n'est pas dans la même situation qu'une boutique qui y expédie des commandes chaque semaine.
Le cas des entreprises européennes
Une entreprise européenne qui vend au Québec peut relever à la fois du RGPD et de la Loi sur le privé. Une conformité RGPD solide est un bon point de départ, mais elle ne couvre pas automatiquement les exigences québécoises sur le profilage, la personne responsable et les communications hors Québec.
La CAI a déjà visé une entreprise étrangère : en décembre 2021, elle a ordonné à l'entreprise américaine Clearview AI de cesser de recueillir sans consentement des images de personnes dans le cadre de ses activités au Québec.
Faut-il une bannière de témoins (cookies) pour les visiteurs québécois ?
Contrairement au droit européen, la Loi sur le privé ne contient pas de règle générale sur le dépôt de témoins de connexion. Elle ne les mentionne qu'une fois, pour les exclure de la règle de confidentialité par défaut de l'article 9.1. Vos obligations découlent donc des règles générales sur l'information et le consentement.
Le point de départ est la définition du renseignement personnel : tout renseignement qui concerne une personne physique et permet de l'identifier, directement ou indirectement. Selon le contexte, un identifiant de témoin, une adresse IP rattachée à un historique de navigation ou un identifiant publicitaire peuvent entrer dans cette définition.
Les témoins nécessaires au fonctionnement du site
Les témoins indispensables au service demandé (session, panier, sécurité, mémorisation du choix de consentement) posent rarement problème. L'article 8 impose d'informer la personne des fins et des moyens de la collecte, et l'article 8.3 prévoit que la personne qui fournit ses renseignements après avoir reçu cette information consent à leur utilisation aux fins annoncées. Selon la lecture courante de la loi, une information claire dans la bannière et la politique de confidentialité suffit pour ces témoins.
Les témoins de mesure d'audience, de publicité et de profilage
La situation change dès qu'un témoin sert à identifier, localiser ou profiler les visiteurs. L'article 8.1 s'applique alors : vous devez informer la personne avant la collecte et lui indiquer comment activer ces fonctions. Pour la CAI, elles doivent être désactivées par défaut, et la personne doit poser un geste positif pour les activer.
Les lignes directrices de la CAI sur le consentement en donnent une illustration : un magazine en ligne dont les témoins recueillent des données de navigation (pages consultées, clics, langue du navigateur, temps passé sur chaque page) affiche, dès la première visite, une fenêtre superposée qui fournit les informations prévues par la loi, puis indique comment activer le dépôt des témoins.
La publicité appelle une vigilance supplémentaire : selon l'article 12, la prospection commerciale ne peut pas être considérée comme une fin compatible avec celle de la collecte initiale. Réutiliser des renseignements à des fins de marketing exige donc, en principe, un consentement.
La mesure d'audience est un cas plus discuté : des statistiques agrégées, sans identification ni profilage, n'ont pas le même statut qu'un suivi de chaque visiteur dans la durée. Faute de position publiée de la CAI sur chaque type d'outil, l'approche prudente consiste à traiter ce second cas comme visé par l'article 8.1.
Ce que votre bannière devrait permettre
La loi n'impose pas de modèle. Une bannière destinée aux visiteurs québécois devrait :
- s'afficher avant le dépôt de tout témoin non nécessaire ;
- expliquer en termes simples et clairs à quoi servent les témoins et qui les dépose ;
- offrir un choix par finalité (mesure d'audience, publicité, personnalisation) ;
- rendre le refus aussi simple que l'acceptation ;
- permettre de modifier ou de retirer son choix à tout moment ;
- renvoyer vers la politique de confidentialité ;
- conserver une trace des choix exprimés, pour pouvoir démontrer la conformité.
Ces points traduisent les critères de la CAI détaillés plus bas ; elle indique notamment que donner son consentement devrait être aussi facile que ne pas le donner.
Qu'exige la règle de confidentialité par défaut pour les technologies qui identifient, localisent ou profilent ?
Deux articles distincts sont souvent réunis sous l'expression « confidentialité par défaut », et l'un d'eux exclut expressément les témoins.
L'article 8.1 : informer d'abord, laisser la personne activer
L'article 8.1 vise la collecte de renseignements personnels au moyen d'une technologie comprenant des fonctions qui permettent d'identifier, de localiser ou d'effectuer un profilage de la personne. Vous devez l'informer au préalable :
- du recours à une telle technologie ;
- des moyens offerts pour activer les fonctions d'identification, de localisation ou de profilage.
La loi entend par profilage la collecte et l'utilisation de renseignements personnels pour évaluer certaines caractéristiques d'une personne, comme ses préférences, ses intérêts, son comportement, sa situation économique, sa santé ou son rendement au travail. Comme la loi parle de moyens pour activer ces fonctions, la CAI en déduit qu'elles ne peuvent pas être activées par défaut. Selon leur configuration, cela peut viser sur un site web :
- les pixels et témoins publicitaires qui suivent un visiteur d'un site à l'autre ;
- les outils qui classent les visiteurs dans des segments d'intérêt ;
- la géolocalisation précise de l'appareil ;
- les outils d'enregistrement de session qui rattachent un parcours à une personne.
L'article 9.1 : des paramètres réglés au plus haut niveau de confidentialité
L'article 9.1 vise l'entreprise qui recueille des renseignements personnels en offrant au public un produit ou un service technologique disposant de paramètres de confidentialité, par exemple un espace client avec des réglages de visibilité ou de partage. Par défaut, ces paramètres doivent assurer le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée (par exemple, profil non public et partage désactivé).
Le second alinéa précise que cette règle ne vise pas les paramètres de confidentialité d'un témoin de connexion. Lorsqu'ils servent à identifier, localiser ou profiler, les témoins restent visés par l'article 8.1 et par les règles de consentement, mais pas par l'article 9.1. La CAI reprend cette nuance dans sa présentation des principaux changements de la Loi 25.
À quelles conditions un consentement est-il valide selon la CAI ?
L'article 14 pose les exigences de base. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé pour chacune de ces fins, en termes simples et clairs, et, s'il est demandé par écrit, distinctement de toute autre information. Il ne vaut que pour la durée nécessaire aux fins visées, et un consentement non conforme à la loi est sans effet.
La CAI a précisé ces exigences dans ses lignes directrices 2023-1 sur les critères de validité du consentement, publiées le 31 octobre 2023. Elles n'ont pas force de loi, mais montrent comment l'autorité de contrôle lit le texte.
Les huit critères de validité
- Manifeste : le consentement traduit la volonté réelle de la personne, de façon expresse ou, dans certaines circonstances, implicite.
- Libre : la personne fait un véritable choix, sans contrainte ni pression, et peut retirer son consentement en tout temps.
- Éclairé : la personne sait quels renseignements sont visés, pour quelles fins et à qui ils seront communiqués.
- Spécifique : le consentement porte sur des fins précises, pas sur des formules vagues.
- Granulaire : il est demandé pour chacune des fins visées.
- Compréhensible : la demande est présentée en termes simples et clairs.
- Temporaire : il ne vaut que pour la durée nécessaire à la réalisation des fins.
- Distinct : la demande écrite est présentée séparément de toute autre information, comme des conditions d'utilisation.
Consentement exprès, consentement implicite et mineurs
Lorsque la loi exige un consentement pour utiliser un renseignement personnel sensible à une autre fin ou pour le communiquer à un tiers, ce consentement doit être exprès (articles 12 et 13). Est sensible un renseignement qui, par sa nature (notamment médicale, biométrique ou autrement intime) ou par le contexte de son utilisation ou de sa communication, suscite un haut degré d'attente raisonnable en matière de vie privée. Le consentement exprès suppose un geste positif : cocher une case vide, cliquer sur un bouton, répondre oui à une question. Dans ses lignes directrices, la CAI range la case déjà cochée parmi les formes de consentement implicite, qu'elle n'admet que dans certaines circonstances.
Le consentement d'un mineur de moins de 14 ans est donné par le titulaire de l'autorité parentale ou le tuteur, et ses renseignements ne peuvent pas être recueillis auprès de lui sans ce consentement, sauf si la collecte est manifestement à son bénéfice. En pratique, pour votre site :
- aucune case précochée pour la publicité ou le profilage ;
- un bouton « Tout refuser » aussi accessible que « Tout accepter » ;
- un consentement à l'infolettre distinct des conditions de vente ;
- un consentement exprès lorsque la loi l'exige pour un renseignement sensible ;
- un mécanisme de consentement parental si vous recueillez des renseignements auprès d'enfants de moins de 14 ans.
Que doit contenir la politique de confidentialité de votre site ?
Toute entreprise qui recueille des renseignements personnels par un moyen technologique (site, application, formulaire en ligne) doit publier sur son site une politique de confidentialité rédigée en termes simples et clairs, et la diffuser par tout moyen propre à atteindre les personnes concernées (article 8.2). Toute modification doit faire l'objet d'un avis diffusé de la même façon.
Le contenu attendu par la CAI
Selon la page de la CAI sur la collecte de renseignements personnels, la politique doit notamment informer les personnes :
- des renseignements recueillis par ce moyen technologique et des fins de la collecte ;
- des tiers à qui ils pourraient être communiqués, et dans quels contextes ;
- des mesures de protection mises en place ;
- du recours aux témoins de connexion, le cas échéant ;
- de leurs droits et recours ;
- des modifications apportées à la politique.
Ajoutez-y les informations exigées lors de la collecte et les coordonnées de la personne responsable.
Les informations à donner au moment de la collecte
L'article 8 exige d'informer la personne, lors de la collecte et ensuite sur demande :
- des fins auxquelles les renseignements sont recueillis ;
- des moyens par lesquels ils sont recueillis ;
- de ses droits d'accès et de rectification ;
- de son droit de retirer son consentement.
Le cas échéant, il faut aussi indiquer le nom du tiers pour qui la collecte est faite, les tiers ou catégories de tiers destinataires, et la possibilité que les renseignements soient communiqués hors du Québec. La CAI cite l'exemple d'un hébergement infonuagique en Ontario, qui doit être mentionné. Sur demande, vous devez aussi préciser les renseignements recueillis, qui y a accès dans l'entreprise, leur durée de conservation et les coordonnées de la personne responsable. Sur un site, placez une courte mention à côté de chaque formulaire, avec un lien vers la politique.
Ne confondez pas cette politique avec les politiques de gouvernance de l'article 3.2 (conservation et destruction, rôles du personnel, traitement des plaintes), dont des informations détaillées doivent aussi être publiées sur le site.
Qui est la personne responsable de la protection des renseignements personnels, et que doit afficher votre site ?
La personne ayant la plus haute autorité dans l'entreprise exerce par défaut la fonction de responsable de la protection des renseignements personnels (article 3.1). Elle peut la déléguer par écrit, en tout ou en partie, à toute personne. Selon la CAI, la personne déléguée devrait avoir un réel pouvoir décisionnel, et la plus haute autorité doit lui fournir les ressources nécessaires.
Le titre et les coordonnées de la personne responsable doivent être publiés sur le site de l'entreprise. Il n'est pas nécessaire d'en informer la CAI. Selon la CAI, cette personne doit notamment :
- approuver les politiques et les pratiques de gouvernance ;
- répondre aux demandes d'accès et de rectification dans un délai de 30 jours, l'absence de réponse équivalant à un refus ;
- traiter les demandes de cessation de diffusion et de désindexation ;
- participer, dès le début, aux évaluations des facteurs relatifs à la vie privée (EFVP) ;
- être consultée pour évaluer le risque de préjudice lors d'un incident ;
- recevoir les signalements des fournisseurs en cas de violation de la confidentialité.
La loi exige le titre et les coordonnées, pas le nom : une adresse courriel liée à la fonction facilite les changements de titulaire.
Que faire en cas d'incident de confidentialité touchant votre site ?
L'article 3.6 définit l'incident de confidentialité comme l'accès, l'utilisation ou la communication d'un renseignement personnel non autorisés par la loi, ou sa perte ou toute autre atteinte à sa protection. Pour un site web, cela peut être une base de données clients exposée, des réponses à un formulaire accessibles publiquement, un compte administrateur piraté ou un script tiers qui transmet des renseignements à un destinataire non prévu.
Évaluer le risque de préjudice sérieux
Dès que vous avez des motifs de croire qu'un incident s'est produit, vous devez prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter que des incidents de même nature se reproduisent (article 3.5). Pour évaluer le risque, en consultant la personne responsable, la loi impose de considérer notamment :
- la sensibilité du renseignement concerné ;
- les conséquences appréhendées de son utilisation ;
- la probabilité qu'il soit utilisé à des fins préjudiciables.
Aviser la CAI et tenir un registre
Une procédure d'incident suit généralement ces étapes :
- Contenir l'incident et documenter les faits : date, nature, renseignements touchés, nombre de personnes concernées.
- Évaluer le risque de préjudice sérieux avec la personne responsable.
- Si le risque est sérieux, aviser la CAI avec diligence, par écrit, au moyen du formulaire prévu à cette fin.
- Aviser aussi les personnes concernées, faute de quoi la CAI peut vous l'ordonner. Cet avis peut attendre tant qu'il risquerait d'entraver une enquête menée par une autorité chargée de réprimer le crime ou les infractions.
- Inscrire l'incident au registre, même s'il ne présente pas de risque sérieux.
Un règlement précise le contenu des avis et du registre. Selon la page de la CAI sur les incidents de confidentialité, les renseignements du registre sont conservés au moins cinq ans à compter du moment où l'entreprise a pris connaissance de l'incident, et une copie est transmise à la CAI sur demande. Contrairement au RGPD, la loi ne fixe pas de délai chiffré pour aviser l'autorité.
Pouvez-vous héberger ou communiquer des renseignements hors du Québec ?
Oui, mais pas sans évaluation préalable. Avant de communiquer un renseignement personnel à l'extérieur du Québec, l'entreprise doit réaliser une EFVP (article 17), qui tient notamment compte :
- de la sensibilité du renseignement ;
- de la finalité de son utilisation ;
- des mesures de protection, y compris contractuelles, dont il bénéficierait ;
- du régime juridique applicable dans l'État de destination.
La communication peut avoir lieu si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, notamment au regard des principes de protection généralement reconnus. Elle doit faire l'objet d'une entente écrite qui tient compte des résultats de l'évaluation et, le cas échéant, des mesures convenues pour atténuer les risques. La même règle s'applique lorsque vous confiez à un prestataire situé hors du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver des renseignements pour votre compte.
« Hors du Québec » inclut le reste du Canada, comme le montre l'exemple ontarien de la CAI. Il n'existe pas de liste officielle de pays jugés adéquats : l'évaluation se fait au cas par cas, proportionnellement à la sensibilité et au volume des renseignements.
Les outils de votre site et vos fournisseurs
Passez en revue les services hébergés hors du Québec :
- l'hébergement du site, des bases de données et le réseau de diffusion de contenu (CDN) ;
- les outils de mesure d'audience et de publicité ;
- le logiciel de gestion de la relation client, l'outil d'infolettre et le clavardage ;
- la plateforme de commerce électronique et le prestataire de paiement ;
- la plateforme de gestion du consentement elle-même.
Pour chaque prestataire qui traite des renseignements pour votre compte, l'article 18.3 exige un contrat écrit précisant les mesures de protection de la confidentialité, l'interdiction d'utiliser les renseignements hors du contrat et de les conserver après son expiration. Le prestataire doit aviser sans délai votre personne responsable de toute violation ou tentative de violation de la confidentialité.
Votre site prend-il des décisions fondées exclusivement sur un traitement automatisé ?
L'article 12.1 vise toute entreprise qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé : une demande de financement refusée en ligne sans intervention humaine, une commande bloquée par un outil antifraude, une candidature écartée par un logiciel de tri. Vous devez alors :
- informer la personne du recours à ce traitement au plus tard au moment où vous l'informez de la décision ;
- sur demande, lui indiquer les renseignements utilisés ainsi que les raisons, les principaux facteurs et les paramètres ayant mené à la décision ;
- sur demande, l'informer de son droit de faire rectifier ces renseignements ;
- lui donner l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.
Contrairement au RGPD, la Loi sur le privé ne limite pas ces obligations aux décisions qui produisent des effets juridiques ou importants. Un manquement à l'article 12.1 peut entraîner une sanction administrative pécuniaire.
Quelles sanctions risquez-vous en cas de non-conformité ?
La Loi 25 a instauré les sanctions administratives pécuniaires, fortement relevé les amendes pénales et prévu des dommages-intérêts punitifs. Les montants ci-dessous sont des plafonds et des fourchettes légales.
| Régime | Qui l'impose | Montant maximal | Manquements visés |
|---|---|---|---|
| Sanction administrative pécuniaire | Une personne désignée par la CAI, sans passer par un tribunal | Personne physique : 50 000 $. Autres cas : 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, si ce montant est plus élevé | Information insuffisante des personnes, collecte ou communication illégale, incident non déclaré, mesures de sécurité inappropriées, non-respect de l'article 12.1 |
| Amende pénale | Un tribunal, sur poursuite de la CAI | Personne physique : 5 000 $ à 100 000 $. Autres cas : 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, si ce montant est plus élevé. Doublée en cas de récidive | Collecte ou communication illégale, incident non déclaré, tentative de réidentification, entrave à une enquête |
| Dommages-intérêts punitifs | Un tribunal, dans un recours civil | Au moins 1 000 $ (article 93.1) | Atteinte illicite à un droit conféré par la loi, intentionnelle ou résultant d'une faute lourde |
Les sanctions administratives pécuniaires
Une personne désignée par la CAI peut imposer une sanction administrative pécuniaire, sans passer par un tribunal, notamment à quiconque :
- n'informe pas les personnes concernées comme l'exigent les articles 7 et 8 ;
- recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la loi ;
- ne déclare pas un incident de confidentialité lorsqu'il y est tenu ;
- ne prend pas les mesures de sécurité appropriées ;
- ne respecte pas l'article 12.1 sur les décisions automatisées.
Le maximum est de 50 000 $ pour une personne physique et, dans les autres cas, de 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, si ce montant est plus élevé. La sanction doit être précédée d'un avis de non-conformité qui donne à l'entreprise l'occasion de présenter ses observations (articles 90.3 et 90.4), et elle se prescrit par deux ans à compter du manquement. Le cadre général d'application publié par la CAI le 11 mai 2023 prévoit, pour une entreprise, des montants de base de 1 000 $ à 15 000 $ selon la catégorie du manquement, ajustés selon des facteurs aggravants et atténuants. Un engagement accepté par la CAI et respecté met l'entreprise à l'abri d'une sanction administrative pour les faits visés.
Les amendes pénales
La CAI peut aussi intenter une poursuite pénale, par exemple pour une collecte ou une communication illégale, l'omission de déclarer un incident, une tentative de réidentification à partir de renseignements anonymisés ou l'entrave à une enquête. Les amendes vont de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial de l'exercice précédent, si ce montant est plus élevé. Elles sont doublées en cas de récidive, et la poursuite doit être intentée dans les cinq ans. La page de la CAI sur les sanctions résume ces deux régimes.
Les dommages-intérêts punitifs
Lorsqu'une atteinte illicite à un droit conféré par la loi, ou par les articles 35 à 40 du Code civil, cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $ (article 93.1).
En quoi la Loi 25 diffère-t-elle du RGPD ?
Les deux textes partagent plusieurs notions : transparence, collecte limitée au nécessaire, sécurité, droits d'accès et de rectification, portabilité et sanctions proportionnelles au chiffre d'affaires mondial. Les écarts restent toutefois importants.
Les différences qui comptent pour un site web
- Bases légales : le RGPD prévoit six bases de licéité, dont l'exécution d'un contrat et l'intérêt légitime. La Loi sur le privé repose sur la nécessité et le consentement : l'information donnée à la collecte vaut consentement pour les fins annoncées, et les autres usages exigent un consentement ou une exception prévue par la loi. Il n'y a pas d'équivalent général de l'intérêt légitime.
- Témoins : en Europe, les témoins non nécessaires relèvent de la directive « vie privée et communications électroniques ». Au Québec, l'encadrement passe par l'article 8.1 et les règles de consentement.
- Incidents : le RGPD exige de notifier l'autorité si possible dans les 72 heures, sauf si la violation est peu susceptible d'engendrer un risque. La Loi sur le privé exige d'aviser la CAI avec diligence lorsque l'incident présente un risque de préjudice sérieux.
- Délégué ou responsable : le RGPD n'impose un délégué à la protection des données que dans certains cas. Au Québec, toute entreprise a une personne responsable dont le titre et les coordonnées sont publiés.
- Transferts : le RGPD s'appuie sur des décisions d'adéquation et des garanties appropriées. La Loi sur le privé exige une EFVP et une entente écrite avant toute communication hors du Québec.
- Décisions automatisées : le RGPD donne le droit de ne pas faire l'objet d'une décision exclusivement automatisée produisant des effets juridiques ou importants, sauf exceptions. La Loi sur le privé n'interdit pas ces décisions, mais impose transparence et droit de présenter ses observations.
- Sanctions : le RGPD prévoit des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Au Québec, les sanctions administratives atteignent 10 millions de dollars ou 2 %, les amendes pénales 25 millions de dollars ou 4 %, sans compter les dommages-intérêts punitifs.
- Mineurs : le RGPD fixe à 16 ans l'âge du consentement pour les services en ligne, les États membres pouvant l'abaisser jusqu'à 13 ans. Au Québec, le seuil est de 14 ans.
Pouvez-vous réutiliser votre conformité RGPD ?
En grande partie, oui. Votre registre des traitements, vos analyses d'impact, vos contrats de sous-traitance et votre plateforme de gestion du consentement sont de bonnes bases. Prévoyez toutefois ces ajustements :
- publier le titre et les coordonnées de la personne responsable ;
- désactiver par défaut, pour les visiteurs québécois, les fonctions d'identification, de localisation et de profilage ;
- revoir les traitements fondés sur l'intérêt légitime ;
- réaliser une EFVP avant toute communication hors du Québec, y compris vers une autre province canadienne ;
- adapter la procédure d'incident au critère du risque de préjudice sérieux ;
- prévoir la procédure de l'article 12.1 pour les décisions automatisées.
Par où commencer pour mettre votre site en conformité avec la Loi 25 ?
Voici un ordre de travail réaliste pour un site qui reçoit des visiteurs québécois :
- Cartographiez les renseignements recueillis : formulaires, comptes, témoins, pixels, outils tiers et lieux d'hébergement.
- Désignez et publiez la personne responsable : délégation écrite si nécessaire, puis titre et coordonnées sur le site.
- Classez vos témoins par finalité et repérez ceux qui permettent d'identifier, de localiser ou de profiler.
- Configurez une bannière adaptée au Québec : profilage désactivé par défaut, choix par finalité, refus aussi simple que l'acceptation.
- Mettez à jour la politique de confidentialité et ajoutez une mention courte à côté de chaque formulaire.
- Réalisez les EFVP nécessaires : avant une refonte de site ou un nouveau service en ligne impliquant des renseignements personnels (article 3.3), et avant toute communication hors du Québec.
- Mettez à jour vos contrats avec les fournisseurs selon l'article 18.3.
- Préparez la procédure d'incident et ouvrez le registre.
- Fixez des durées de conservation, puis détruisez ou anonymisez les renseignements dont les fins sont accomplies (article 23).
- Documentez les choix de consentement pour pouvoir démontrer la conformité.
Pour les témoins et le consentement, une plateforme de gestion du consentement fait gagner du temps. Secure Privacy permet notamment :
- d'afficher une bannière de consentement en plus de 70 langues, dont le français ;
- de géocibler les bannières selon la juridiction, pour appliquer des réglages propres au Québec sans changer l'expérience des visiteurs européens ;
- de conserver un journal des consentements et de générer une politique de confidentialité ;
- de se connecter à vos outils grâce à plus de 20 intégrations natives ;
- de s'appuyer sur une plateforme certifiée par Google (partenaire CMP de niveau Gold).
Pour voir comment ces fonctions s'appliquent au contexte québécois, découvrez comment Secure Privacy peut vous aider à mettre votre site en conformité avec la Loi 25.
La Loi 25 n'exige pas de reconstruire votre site, mais impose des réglages que les sites conçus pour l'Europe n'ont pas toujours : profilage désactivé par défaut, personne responsable visible, évaluation avant toute communication hors du Québec. Commencez par l'inventaire de vos témoins et de vos formulaires.
