Loi 25 : 7 choses que votre site web doit afficher pour être conforme au Québec
La Loi 25 n’est plus une nouveauté à surveiller « un jour ». En 2026, ses principales obligations sont bien en vigueur.
Pour les organismes du secteur privé — PME, OBNL, cliniques privées, commerces — le site web est souvent le premier endroit où des renseignements personnels sont recueillis.
Et dans le contexte de cet article, le titre doit se comprendre au sens large : afficher ET respecter. Autrement dit, il ne s’agit pas seulement de publier des informations sur le site, mais aussi de configurer certains mécanismes et réglages de manière conforme.
On pense notamment à :
Nom et prénom
Adresse courriel
Numéro de téléphone
Adresse
Informations de facturation
Messages transmis par formulaire
Données de navigation
Préférences et comportements en ligne
Votre site recueille des données? La conformité web commence là. 🚀
Important : cet article présente de l’information générale et des bonnes pratiques liées au site web. Il ne constitue pas un avis juridique personnalisé. Selon votre situation, une validation avec un juriste ou une personne spécialisée en protection des renseignements personnels peut être nécessaire, particulièrement dans les cas plus complexes.
Voici les 7 éléments à afficher ou à respecter concrètement.
1. UNE POLITIQUE DE CONFIDENTIALITÉ CLAIRE ET FACILE À TROUVER
C’est la base.
Si une organisation recueille des renseignements personnels par un moyen technologique, elle doit publier une politique de confidentialité en termes simples et clairs. Cette politique doit être accessible sur le site, idéalement depuis le pied de page de toutes les pages.
Pas de lien caché. Pas de document incompréhensible. Pas de texte générique copié-collé.
La politique devrait expliquer notamment :
Quels renseignements sont recueillis
Pourquoi ils sont recueillis
Comment ils sont recueillis : formulaire, témoins, analytique, infolettre, clavardage
Qui peut y accéder
Quels fournisseurs ou tiers peuvent les recevoir
Si des données sont communiquées à l’extérieur du Québec
Combien de temps les renseignements sont conservés
Comment exercer les droits d’accès ou de rectification
Comment retirer son consentement
Comment communiquer avec le responsable de la protection des renseignements personnels
La loi exige aussi que la politique soit maintenue à jour. Si les outils changent — Google Analytics, Meta Pixel, CRM, logiciel de réservation ou plateforme d’infolettre — elle devrait être révisée. Elle exige également d’aviser les personnes de toute modification qui y est apportée.
👉 Consultez le guide de la CAI sur la politique de confidentialité.
2. LE NOM ET LES COORDONNÉES DU RESPONSABLE
Chaque entreprise est responsable des renseignements personnels qu’elle détient.
La personne ayant la plus haute autorité dans l’organisation exerce généralement cette fonction, sauf si elle a délégué par écrit le rôle à une autre personne.
La loi impose de publier :
Le titre du responsable
Ses coordonnées ou un autre moyen de communication permettant de le joindre
Le nom peut aussi être ajouté, mais il n’est pas requis si l’organisation choisit plutôt de publier clairement le titre et les coordonnées.
Un simple lien vers une boîte courriel générique peut parfois manquer de précision. Le visiteur doit comprendre à qui s’adresser et pourquoi.
Exemple de bloc à prévoir dans une politique ou une page de confidentialité :
Responsable de la protection des renseignements personnels Pour toute question ou demande concernant vos renseignements personnels, communiquez avec [titre] à [adresse courriel].
Ce petit bloc crée un vrai point de contact. Il démontre aussi que la protection des données appartient à une personne identifiée — pas à une abstraction.
3. DES FORMULAIRES TRANSPARENTS ET LIMITÉS À L’ESSENTIEL
Un formulaire web n’est jamais « juste un formulaire ».
Chaque champ demandé doit avoir une raison. Plus vous recueillez de renseignements, plus vous devez pouvoir expliquer leur nécessité.
Avant ou au moment de remplir un formulaire, l’utilisateur devrait comprendre :
La finalité de la collecte
Les champs obligatoires et facultatifs
Les conséquences d’un refus
Les personnes ou catégories de fournisseurs qui pourraient recevoir les données
La possibilité d’une communication hors Québec, si applicable
La façon d’exercer ses droits
Un formulaire de demande de soumission a-t-il vraiment besoin de la date de naissance? Une demande de contact nécessite-t-elle une adresse complète? Une inscription à une infolettre exige-t-elle un numéro de téléphone?
Collecter moins. Expliquer mieux. Protéger davantage.
Une conception de site web professionnel intègre cette réflexion dès l’architecture des pages. Une refonte de site internet est également le moment idéal pour retirer les champs inutiles, revoir les mentions et simplifier l’expérience.
4. UNE BANNIÈRE DE TÉMOINS ET UN CONSENTEMENT RÉEL
Les témoins — ou cookies — ne sont pas tous identiques.
Certains sont nécessaires au fonctionnement du site. D’autres servent à mesurer les visites, personnaliser l’expérience, suivre les conversions ou diffuser de la publicité.
La Loi 25 ne crée pas un régime européen de consentement préalable pour tout témoin non essentiel. En revanche, pour les technologies qui permettent d’identifier, de localiser ou de profiler une personne, elle exige d’informer au préalable et d’offrir les moyens d’activer ces fonctions. Autrement dit, ces fonctions ne devraient pas être activées par défaut.
Dans ce cadre, il est utile de distinguer :
Les témoins strictement nécessaires au fonctionnement, généralement exemptés
Les technologies d’identification, de localisation ou de profilage, qui exigent une information préalable et un mécanisme permettant à la personne d’activer ces fonctions
Le consentement, lorsqu’il est requis, qui doit respecter les critères de validité : manifeste, libre, éclairé, donné à des fins précises et présenté distinctement
Comme bonnes pratiques web, il est souvent pertinent de prévoir :
Une information claire sur les catégories de témoins et technologies utilisées
Une explication simple de leurs finalités
Une bannière ou une interface de choix équilibrée
Un moyen simple de modifier ou retirer un choix
L’absence d’activation automatique des fonctions d’identification, de localisation ou de profilage avant l’action de la personne, selon votre configuration, à valider avec votre juriste
Un inventaire réel des outils d’analytique, de publicité, de remarketing ou de suivi des conversions, puis une configuration cohérente
Attention : une bannière qui affiche uniquement « Accepter » n’est pas nécessairement une expérience de choix équilibrée. Un lien gris pâle intitulé « Gérer mes préférences », caché au bas de l’écran, peut aussi manquer de clarté.
Le reste relève souvent de la mise en œuvre concrète du site. Bref : informer clairement, configurer avec cohérence, et valider selon le contexte.
5. UNE FAÇON SIMPLE D’EXERCER SES DROITS
La conformité ne se limite pas à informer. Elle consiste aussi à permettre aux personnes d’agir.
Le site peut orienter clairement les visiteurs qui souhaitent :
Accéder à leurs renseignements
Corriger une information inexacte
Retirer leur consentement
Demander la cessation de certaines communications
Poser une question sur l’utilisation de leurs données
Déposer une plainte
Dans certains cas, demander la portabilité ou la désindexation de renseignements
La portabilité est en vigueur depuis le 22 septembre 2024. Elle vise les renseignements personnels informatisés recueillis auprès de la personne, dans un format technologique structuré et couramment utilisé. La désindexation, pour sa part, est encadrée et ne s’applique pas sans conditions.
Ces instructions peuvent se trouver dans la politique de confidentialité. Elles doivent toutefois être compréhensibles et faciles à suivre.
Évitez les formulations vagues comme :
Pour toute question, communiquez avec nous.
Préférez une instruction précise :
Pour demander l’accès à vos renseignements personnels ou leur rectification, écrivez à [courriel]. Indiquez l’objet de votre demande et les informations nécessaires pour nous permettre de vous répondre.
Une bonne expérience de confidentialité ressemble à une bonne expérience utilisateur : claire, directe, humaine.
6. LA CONFIDENTIALITÉ PAR DÉFAUT ET LA COLLECTE MINIMALE
La confidentialité doit être intégrée dans la conception — pas ajoutée à la dernière minute.
La Loi 25 met de l’avant un niveau élevé de confidentialité par défaut pour les produits et services technologiques destinés au public. Pour un site web, cela peut se traduire par des décisions très concrètes touchant les réglages par défaut du site et des comptes :
Réduire le nombre de champs obligatoires
Ne pas demander de renseignements inutiles
Limiter les accès internes aux données
Sécuriser les formulaires et les comptes utilisateurs
Prévoir des durées de conservation cohérentes plutôt qu’une conservation indéfinie
Configurer les outils tiers avec les paramètres de confidentialité appropriés
Ici, l’idée n’est pas de viser les témoins de connexion, que la règle de confidentialité par défaut exclut expressément, mais bien les paramètres initiaux du service, des comptes et de la collecte. Selon votre configuration, certains réglages devraient être validés avec votre juriste.
La sécurité technique compte aussi : certificat SSL, mises à jour, contrôles d’accès, mots de passe robustes, sauvegardes et surveillance des intégrations.
Un site rapide et beau, c’est bien. Un site qui respecte ses visiteurs, c’est essentiel.
7. UNE GOUVERNANCE COHÉRENTE DERRIÈRE LE SITE
Le site web n’est que la partie visible de votre gestion des données.
Derrière un formulaire, il y a souvent :
Une boîte courriel
Un CRM
Une plateforme d’infolettre
Un outil de prise de rendez-vous
Un hébergeur
Des outils d’analytique
Des fournisseurs situés à l’extérieur du Québec
Votre organisation doit savoir ce qui arrive aux données après leur collecte.
La Loi 25 prévoit notamment des obligations liées à la gouvernance, à la conservation, à la destruction, aux fournisseurs, aux communications hors Québec, aux évaluations des facteurs relatifs à la vie privée et aux incidents de confidentialité.
Une refonte complète ou le développement d’une nouvelle plateforme impliquant des renseignements personnels peut donc nécessiter une réflexion plus large qu’un simple changement de design.
Avant de mettre un nouveau site en ligne, posez ces questions :
Quelles données sont recueillies?
Où sont-elles stockées?
Qui y a accès?
Quels fournisseurs les traitent?
Combien de temps sont-elles conservées?
Que faisons-nous en cas d’incident?
Notre politique reflète-t-elle réellement nos outils?
VOTRE CHECKLIST LOI 25 POUR LE SITE WEB ✅
Avant de publier ou de refondre un site, il peut être utile de vérifier la présence de ces éléments :
Politique de confidentialité accessible
Coordonnées du responsable de la protection des renseignements personnels
Mentions claires sur les formulaires
Consentement distinct et compréhensible, lorsque requis
Gestion cohérente des témoins et traceurs
Processus pour exercer les droits
Collecte limitée aux renseignements nécessaires
Paramètres de confidentialité appropriés
Sécurité des données et des intégrations
Procédure de gestion des incidents
Validation des fournisseurs et des transferts hors Québec
Rappel : cet article est informatif et ne remplace pas un avis juridique adapté à votre situation.
BESOIN D’UN SITE PLUS CLAIR, PLUS SOLIDE, PLUS PRÊT?
La conformité commence souvent par une conversation.
Chez WeWix, nous concevons des plateformes numériques performantes pour les PME et organisations du Québec. Notre rôle n’est pas de remplacer un juriste. Notre rôle est de traduire les exigences web en actions concrètes : architecture, formulaires, pages de confidentialité, intégrations, expérience utilisateur et configuration technique.
Nous sommes une agence web à Montréal et un partenaire Wix certifié. Nous combinons stratégie, conception de site web professionnel, développement, SEO et accompagnement humain.
Pour une création ou une refonte de site internet :
Votre site doit informer. Protéger. Connecter. Convertir.
On le construit ensemble. 🚀
Ressources officielles
Commission d’accès à l’information — Principaux changements de la Loi 25
Commission d’accès à l’information — Responsabilités des entreprises
Commission d’accès à l’information — Conservation et destruction
Gouvernement du Québec — Loi 25 et protection des renseignements personnels
LégisQuébec — Loi sur la protection des renseignements personnels dans le secteur privé
Commentaires