Politique de confidentialité et Loi 25 : contenu exigé et exemple

D’où vient l’obligation

L’article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) demande de publier la politique sur le site de l’entreprise, si elle en a un, et de la diffuser de façon à joindre les personnes concernées. La politique doit être « rédigée en termes simples et clairs ». Une modification de la politique doit faire l’objet d’un avis, publié de la même façon.

Le guide de la CAI (décembre 2023) le dit sans détour : « Il n’existe pas de règlement équivalent pour le secteur privé. » Son contenu suggéré repose sur les informations que l’article 8 exige, plus quelques ajouts inspirés du règlement du secteur public. Le guide donne des rubriques et des exemples, pas un modèle à remplir.

Les rubriques, une par une

Le niveau indique d’où vient la rubrique : loi, un article l’exige ; guide, le guide de la CAI l’exige sans citer d’article ; facultatif, le guide le propose sans l’exiger.

Rubrique	Niveau	Loi (P-39.1)	Guide de la CAI
Nom de l’entreprise et dates	guide	aucun article cité	§ 2
Moyens de collecte	loi	art. 8, al. 1, 2°	§ 2.1
Organisations qui recueillent pour vous	guide	aucun article cité	§ 2.1
Identification, localisation ou profilage	loi	art. 8.1, al. 1	§ 2.1
Paramètres de confidentialité par défaut	facultatif	art. 9.1, al. 1	§ 2.1
Renseignements recueillis	guide	art. 8, al. 3	§ 2.2
Buts de la collecte	loi	art. 8, al. 1, 1° ; art. 4	§ 2.2
Refuser la collecte et conséquences	guide	aucun article cité	§ 2.2
Personnes qui ont accès aux renseignements	loi	art. 8, al. 3	§ 2.3
Communication à d’autres organisations	loi	art. 8, al. 2	§ 2.3
Communication à l’extérieur du Québec	loi	art. 8, al. 2 ; art. 17, al. 1	§ 2.3
Durée de conservation	loi	art. 8, al. 3 ; art. 23, al. 1	non mentionnée
Mesures de sécurité	facultatif	art. 10	§ 2.4
Droits d’accès, de rectification et de plainte	loi	art. 8, al. 1, 3° ; art. 27, al. 1 ; art. 28 ; art. 3.2, al. 1	§ 2.5
Retrait du consentement	loi	art. 8, al. 1, 4°	non mentionné
Responsable de la protection des renseignements personnels	loi	art. 3.1, al. 3	§ 2.5
Moyens en ligne pour accéder ou rectifier	facultatif	aucun article cité	§ 2.5
Avis de modification	loi	art. 8.2	§ 3.8
Termes simples et clairs	loi	art. 8.2	§ 3.4

Trois points où le guide seul ne suffit pas

Suivre uniquement les rubriques du guide laisse de côté des informations que l’article 8 de la loi demande :

Le retrait du consentement. La loi oblige à informer la personne « de son droit de retirer son consentement » (art. 8, al. 1, 4°). La liste des droits du guide (§ 2.5) ne le mentionne pas.
La durée de conservation. La personne peut demander à la connaître (art. 8, al. 3). Le guide n’en parle pas.
Le responsable de la protection des renseignements personnels. Le guide le range sous « Vous pouvez aussi inclure » (§ 2.5). La loi exige que son titre et ses coordonnées « sont publiés sur le site Internet de l’entreprise » (art. 3.1, al. 3). Les inclure dans la politique publiée sur le site est une façon d’y arriver.

Exemple : la politique d’une petite boutique en ligne

L’exemple qui suit est fictif et volontairement court. Il montre la forme qu’une politique peut prendre pour une entreprise qui vend en ligne et répond aux courriels de sa clientèle. Il ne correspond pas à vos pratiques : chaque phrase est à remplacer par ce que votre entreprise fait vraiment. Le guide de la CAI conseille de s’adresser au lecteur (vous) et de parler de l’entreprise à la première personne (nous) (§ 3.4) ; l’exemple le fait.

Politique de confidentialité d’Atelier Lune (exemple fictif)

En vigueur depuis le 1^er mars 2026. Mise à jour le 1^er mars 2026.

Par quels moyens nous obtenons vos renseignements

Par la boutique en ligne, quand vous passez une commande, et par courriel, quand vous nous écrivez. Notre plateforme de boutique en ligne reçoit vos renseignements de commande pour nous.

Ce que nous recueillons, et dans quel but

Votre nom, votre adresse de livraison, votre courriel et votre téléphone. Ils servent à expédier vos pièces de céramique, à vous facturer et à répondre à vos questions. Sans adresse de livraison, nous ne pouvons pas expédier ; vous pouvez alors cueillir votre commande à l’atelier.

Qui les voit

Les deux personnes de l’atelier qui préparent les commandes. Notre transporteur reçoit votre nom et votre adresse pour la livraison. Notre plateforme de boutique en ligne conserve vos renseignements sur des serveurs situés à l’extérieur du Québec.

Combien de temps nous les gardons

Trois ans après votre dernière commande. Ensuite, nous les supprimons.

Vos droits

Vous pouvez demander à voir les renseignements que nous avons sur vous, les faire corriger, retirer votre consentement ou porter plainte. Écrivez à notre responsable de la protection des renseignements personnels : la propriétaire de l’atelier, confidentialite@atelier-lune.exemple.

Si cette politique change

Nous publions un avis sur cette page et nous changeons la date en haut.

Comparez l’exemple au tableau : il couvre les moyens de collecte, l’organisation qui recueille pour l’atelier, les renseignements, les buts, le refus, l’accès, la communication (y compris hors Québec), la conservation, les droits, le retrait du consentement, le responsable et les modifications. Une entreprise qui utilise des témoins de mesure d’audience ou de publicité aurait aussi à décrire cette technologie, et une évaluation des facteurs relatifs à la vie privée peut s’imposer avant d’envoyer des renseignements hors du Québec (art. 17).

Rédiger la vôtre à partir de vos réponses

Notre générateur pose les questions de chacune de ces rubriques, rédige la politique dans votre navigateur et peut y joindre une annexe qui cite, pour chaque section, l’article de la loi et la rubrique du guide. L’aperçu est gratuit ; le document complet est un achat unique, sans abonnement.

Voir le générateur et l’aperçu gratuit

Sources

Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, texte officiel de LégisQuébec, https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1, consulté le 2026-10-16.
Commission d’accès à l’information, Rédiger une politique de confidentialité — Guide explicatif pour les entreprises, décembre 2023, https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_POL_Confidentialite.pdf, consulté le 2026-10-16.

Autres guides : Loi 25 : résumé pour les PME ; ce que la Loi 25 demande à un site web d’entreprise ; publier sa politique sur Shopify, WordPress ou Wix ; responsable de la protection des renseignements personnels ; incident de confidentialité : étapes, avis et registre.