Scanner mon site
Étude · Septembre 2026

Conformité Loi 25 : l'état réel de 3 730 sites de PME québécoises

Entre le 3 et le 14 septembre 2026, nous avons analysé automatiquement 3 730 sites d'entreprises québécoises sur trois obligations de la Loi 25 qui se vérifient de l'extérieur, sans accès privilégié. Voici ce que les données montrent — méthode et limites comprises.

3 730 domaines uniques3 au 14 septembre 20263 obligations vérifiéesMéthode publiée ci-dessous
87,3 %

des sites analysés manquent à au moins une obligation de la Loi 25 visible de l'extérieur. Seuls 473 sites — environ un sur huit — sont en règle sur les trois points vérifiés.

Ce qui manque, obligation par obligation

Chaque pourcentage rapporte le nombre de sites en défaut à l'ensemble des 3 730 domaines analysés.

Loi 25, art. 3.1

Responsable de la protection des renseignements personnels

81 %

Toute entreprise doit désigner un responsable de la protection des renseignements personnels et publier son titre et ses coordonnées. Cette obligation est en vigueur depuis septembre 2022.

3 023 sites en défaut sur 3 730

Loi 25, art. 3.2

Politique de confidentialité publiée

52,3 %

Une entreprise qui recueille des renseignements personnels par son site doit publier une politique rédigée en termes simples et clairs, et la rendre accessible depuis le site.

1 951 sites en défaut sur 3 730

Loi 25, art. 8.1

Consentement aux témoins et traqueurs

32,3 %

Lorsqu'un site dépose des témoins de suivi, le visiteur doit pouvoir les refuser. Les paramètres les plus protecteurs doivent s'appliquer par défaut, sans intervention de sa part.

1 205 sites en défaut sur 3 730

Publier une politique de confidentialité ne suffit pas

1 779 sites publient bien une politique de confidentialité. Parmi eux, 1 090 — soit 61 % — n'affichent toujours pas leur responsable de la protection des renseignements personnels.

Autrement dit : la majorité des entreprises qui ont fait l'effort de rédiger une politique manquent encore l'obligation la plus ancienne des trois — en vigueur depuis septembre 2022. La conformité n'est pas un document, c'est une série de gestes.

Chez les sites sans politique de confidentialité, la proportion sans responsable publié monte à 99,1 %.

Combien d'obligations chaque site manque-t-il ?

Obligations en défautSitesPart
Aucune — en règle sur les trois points47312,7 %
196325,8 %
21 66644,7 %
Les trois62816,8 %

La bonne nouvelle : le chiffrage, c'est réglé

99,5 % des sites analysés servent un certificat SSL valide. Le chiffrement des communications, longtemps le premier reproche fait aux petits sites, n'est plus le problème au Québec. Ce qui ne suit pas, c'est la gouvernance des renseignements personnels : désigner un responsable, le publier, expliquer ce qu'on collecte et laisser refuser le suivi.

Méthodologie

Ces chiffres n'ont de valeur que si l'on peut vérifier comment ils ont été obtenus.

Comment la mesure est faite

  • Échantillon : 3 730 domaines uniques d'entreprises québécoises. Un seul rapport par domaine — le plus récent — pour qu'aucune entreprise ne compte deux fois.
  • Période : analyses effectuées du 3 au 14 septembre 2026, agrégées le 16 septembre 2026.
  • Ce qui est examiné : la page d'accueil publique et les pages légales qui y sont liées. Aucun accès privilégié, aucune donnée privée, aucune tentative de contournement.
  • Chiffres figés : la page ne recalcule rien à la visite. Un chiffre cité aujourd'hui sera le même demain. Une nouvelle mesure donnera une nouvelle édition, datée.

Ce que nous avons volontairement exclu

  • Les bonnes pratiques techniques. L'en-tête HSTS manque sur 59,6 % des sites, mais ce n'est pas une exigence de la Loi 25. L'inclure aurait gonflé le chiffre global sans qu'un seul site de plus soit en infraction.
  • Un constat compté deux fois. Notre analyse distingue « absence de bannière de consentement » et « traqueurs sans consentement ». Sur les 3 730 sites, les deux coïncident exactement, sans une seule divergence : ce n'est qu'un seul fait. Il n'est compté qu'une fois.
  • Les analyses échouées. 692 sites se sont révélés injoignables ou impossibles à analyser. Ils sont exclus des pourcentages plutôt que comptés comme non conformes.

Limites à connaître avant de citer ces chiffres

  • L'échantillon n'est pas aléatoire. Ces entreprises ont été repérées par leur présence en ligne. Les résultats décrivent les PME québécoises qui ont un site web, pas l'ensemble des entreprises du Québec. 210 entreprises repérées n'avaient aucun site : elles sont hors échantillon.
  • Seul ce qui est visible de l'extérieur est mesuré. Une entreprise peut avoir désigné un responsable sans le publier sur son site. Elle apparaîtra ici en défaut — et c'est correct au sens de la loi, puisque la publication fait partie de l'obligation. Mais cela ne dit rien de son organisation interne.
  • Une détection automatisée se trompe parfois. Une politique placée à un endroit inhabituel peut échapper à l'analyse. Ces chiffres décrivent ce qu'un visiteur — ou une autorité — trouverait en regardant normalement le site.
  • Trois obligations, pas toute la loi. La Loi 25 en comporte bien davantage : registre des incidents, évaluations des facteurs relatifs à la vie privée, encadrement des sous-traitants, droit à la portabilité. Aucune ne se vérifie depuis l'extérieur d'un site.

Et votre site, il est dans quel groupe ?

La même analyse, sur votre domaine, en 30 secondes. Sans inscription et sans carte de crédit.

Analyser mon site

Pour comprendre les obligations en détail, lisez notre guide complet de la Loi 25.