Loi 25 et votre site web : ce que les PME doivent faire

La Loi 25 en bref

La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. Ses obligations sont entrées en vigueur en trois étapes : septembre 2022, septembre 2023 et septembre 2024. Aujourd'hui, tout est en vigueur. Elle s'applique à toutes les entreprises, peu importe leur taille.

Mon site est-il concerné?

Presque certainement. Votre site recueille des renseignements personnels dès qu'il a :

• un formulaire de contact ou de soumission (nom, courriel, téléphone);
• une infolettre;
• Google Analytics, Microsoft Clarity, le pixel Meta ou un autre outil de suivi;
• une boutique en ligne ou un système de réservation.

Le responsable des renseignements personnels

Chaque entreprise doit avoir un responsable de la protection des renseignements personnels. Par défaut, c'est la personne qui a la plus haute autorité, souvent le propriétaire dans une PME. Cette fonction peut être déléguée par écrit. Le titre et les coordonnées du responsable doivent être publiés sur votre site.

La politique de confidentialité

Votre site doit publier une politique de confidentialité rédigée en termes simples et clairs. Elle explique notamment :

• quels renseignements vous recueillez et pourquoi;
• avec quels fournisseurs ils sont partagés (hébergeur, outil de formulaire, outils de mesure);
• si ces renseignements peuvent être traités à l'extérieur du Québec;
• combien de temps vous les conservez;
• comment une personne peut demander l'accès, la correction ou la suppression de ses renseignements.

Un modèle générique copié d'un autre site ne suffit pas : la politique doit décrire ce que votre site fait réellement.

Témoins et outils de mesure

C'est l'obligation qui touche le plus les sites web. Les technologies qui permettent d'identifier, de localiser ou de profiler un visiteur doivent être désactivées par défaut, et la personne doit être informée de leur utilisation. Concrètement :

• Un bandeau de témoins qui offre « Accepter » et « Refuser » de façon aussi visible l'un que l'autre.
• Google Analytics, Clarity et les pixels publicitaires bloqués tant que le visiteur n'a pas accepté.
• Un moyen de changer d'avis en tout temps, par exemple un lien « Gérer les témoins » au bas de chaque page.

Les témoins strictement nécessaires au fonctionnement du site, comme celui qui retient le choix du visiteur, peuvent rester actifs.

Les sanctions

La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les amendes pénales peuvent aller de 15 000 $ à 25 millions de dollars, ou 4 % du chiffre d'affaires mondial. Les montants maximaux visent les cas graves, mais une plainte d'un visiteur suffit pour déclencher une enquête. Pour une PME, une mise en conformité de base coûte beaucoup moins cher.

La liste de vérification

1. Désigner le responsable des renseignements personnels et publier ses coordonnées.
2. Publier une politique de confidentialité qui décrit votre site réel.
3. Installer un bandeau de témoins avec « Accepter » et « Refuser » aussi visibles.
4. Bloquer les outils de mesure et les pixels jusqu'au consentement.
5. Ajouter un lien pour modifier ses choix sur chaque page.
6. Mentionner sous le formulaire à quoi servent les renseignements recueillis.
7. Tenir un registre des incidents de confidentialité, même s'il reste vide.

Tous les sites que nous livrons incluent la politique de confidentialité et le bandeau de témoins. Voir notre page création de site web, ou demandez-nous de vérifier votre site actuel dans notre audit gratuit.

Ces informations sont générales et ne constituent pas un avis juridique. Pour votre situation précise, consultez un professionnel du droit.