Ce que la Loi 25 demande au site web d’une entreprise

De quelle loi parle-t-on

On appelle couramment Loi 25 la loi de 2021 qui a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Sur LégisQuébec, les articles cités ici portent dans leur historique la mention « 2021, c. 25 ». C’est la loi modifiée, P-39.1, qui s’applique et que cette page cite.

Pour la politique de confidentialité, la Commission d’accès à l’information (CAI) donne la date : « Depuis le 22 septembre 2023, vous devez publier une politique de confidentialité si votre entreprise recueille des renseignements personnels par un moyen technologique » (guide de la CAI, p. 3). Le guide donne comme exemples de ces moyens « une adresse courriel, un site Web ou une application ».

1. Publier une politique de confidentialité

L’article 8.2 demande de publier la politique sur le site de l’entreprise et de la diffuser par un moyen qui joint les personnes concernées. Le guide de la CAI (§ 1.1) le résume ainsi : « Elle doit être publiée sur le site Web de l’entreprise, si elle en a un. » Parmi ses exemples de diffusion : « Un lien à consulter avant de passer une commande en ligne ».

En pratique, un lien dans le pied de page de chaque page et un lien près de chaque formulaire ou de la page de paiement répondent à ces deux exemples. Quand la politique change, l’avis de modification se publie de la même façon (art. 8.2).

Ce que la politique doit contenir est détaillé dans un autre guide : politique de confidentialité selon la Loi 25, avec un exemple.

2. Informer au moment de la collecte

L’article 8 oblige l’entreprise qui recueille des renseignements auprès d’une personne à l’informer, lors de la collecte, des buts, des moyens, de ses droits d’accès et de rectification et de son droit de retirer son consentement, puis de lui répondre sur demande. Cette information se donne en termes simples et clairs, « quel que soit le moyen utilisé pour recueillir les renseignements » (art. 8, al. 4). Sur un site, c’est le rôle de la politique : le formulaire de contact, d’infolettre ou de commande peut y renvoyer par un lien.

Ne pas informer les personnes conformément aux articles 7 et 8 fait partie des manquements pour lesquels une sanction administrative pécuniaire peut être imposée (art. 90.1, al. 1, 1°).

3. Afficher le responsable de la protection des renseignements personnels

Par défaut, le responsable est la personne qui a la plus haute autorité dans l’entreprise ; elle peut déléguer cette fonction par écrit (art. 3.1, al. 2). Le titre et les coordonnées de ce responsable « sont publiés sur le site Internet de l’entreprise » (art. 3.1, al. 3). Le titre suffit : la loi ne demande pas le nom. Une adresse courriel dédiée évite de publier une adresse personnelle.

4. Publier des informations sur la gouvernance

L’article 3.2 demande à l’entreprise d’établir des politiques et des pratiques de gouvernance : conservation et destruction des renseignements, rôles du personnel, traitement des plaintes. Des informations détaillées sur ces règles sont publiées sur le site, en termes simples et clairs (art. 3.2, al. 2).

Ce document est distinct de la politique de confidentialité. Le guide de la CAI (§ 1.2) le précise : « Vous pouvez la rendre publique et vous devez au minimum publier des informations détaillées sur vos pratiques. » Notre générateur rédige la politique de confidentialité, pas ce document de gouvernance.

5. Témoins (cookies) et technologies qui identifient, localisent ou profilent

Le guide de la CAI (§ 2.1) range « Certains témoins (cookies) de votre site Web » parmi les moyens de collecte que la politique doit nommer.

Si le site recourt à une technologie qui permet d’identifier, de localiser ou de profiler le visiteur, l’article 8.1 demande de l’en informer au préalable : qu’une telle technologie est utilisée, et comment activer ces fonctions. Le guide ajoute à propos de ces fonctions : « Elles doivent être désactivées par défaut. » (§ 2.1).

La règle des paramètres de confidentialité réglés au plus haut niveau par défaut (art. 9.1, al. 1) vise les produits et services technologiques offerts au public. Son second alinéa l’écarte pour les témoins : « Ne sont pas visés au premier alinéa les paramètres de confidentialité d’un témoin de connexion. »

Quand le site demande un consentement, il doit être « manifeste, libre, éclairé » et donné à des fins spécifiques (art. 14, al. 1). Le guide cite comme exemple de processus de consentement « Une fenêtre pour paramétrer les témoins de connexion (cookies) sur un site Web. » (§ 1.2). Les articles cités ici ne parlent pas de bannière. Les lignes directrices de la CAI sur le consentement, auxquelles le guide renvoie, n’ont pas été lues pour cette page : non vérifié.

6. Hébergeur, formulaires et infolettre hors du Québec

Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit faire une évaluation des facteurs relatifs à la vie privée (art. 17, al. 1). La communication peut se faire si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate ; elle doit faire l’objet d’une entente écrite (art. 17, al. 2). La même règle vaut quand l’entreprise confie à une organisation située hors du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver ces renseignements pour elle (art. 17, al. 3). Un hébergeur, un service de formulaires ou un gestionnaire d’infolettre établi ailleurs peut être dans cette situation : vérifiez où chacun conserve les renseignements.

La politique de confidentialité doit aussi dire que les renseignements peuvent être communiqués à l’extérieur du Québec (art. 8, al. 2).

En résumé, sur votre site

• une politique de confidentialité, liée depuis chaque page et près des formulaires (art. 8.2) ;
• le titre et les coordonnées du responsable de la protection des renseignements personnels (art. 3.1) ;
• des informations détaillées sur vos politiques et pratiques de gouvernance (art. 3.2) ;
• pour les témoins qui identifient, localisent ou profilent : l’information préalable et le moyen de les activer (art. 8.1) ;
• pour un fournisseur hors du Québec : l’évaluation et l’entente écrite (art. 17), et la mention dans la politique (art. 8).