Ce que la Loi 25 exige
Toute entreprise qui recueille des renseignements personnels doit établir et appliquer des politiques encadrant leur gouvernance, et publier sur son site, en termes simples et clairs, de l'information détaillée à leur sujet (art. 3.2). Si elle les recueille par un moyen technologique, comme un formulaire en ligne, elle doit aussi publier une politique de confidentialité claire (art. 8.2).
Concrètement, pour une PME, ces exigences se rejoignent dans un seul document public : la politique de confidentialité. Elle dit à vos clients ce que vous recueillez, pourquoi, avec qui vous le partagez et comment exercer leurs droits.
Les 9 éléments à inclure
Qui est responsable
Le titre et les coordonnées du responsable de la protection des renseignements personnels. Un courriel générique suffit, le nom n'est pas obligatoire.
Quels renseignements vous recueillez
Les catégories réelles : coordonnées, historique d'achats, candidatures, données de navigation. Pas une liste générique copiée d'un autre site.
Pourquoi vous les recueillez
Les fins précises. Vous ne pourrez ensuite utiliser les renseignements qu'à ces fins, sauf consentement ou exception prévue par la loi.
Comment vous les recueillez
Formulaires, commandes, téléphone, en personne, témoins. La personne doit savoir par quels moyens ses renseignements vous parviennent.
Les témoins et technologies de suivi
Si votre site utilise des outils de mesure d'audience ou des pixels publicitaires : lesquels servent à quoi, et comment le visiteur peut les refuser. Ils doivent être désactivés par défaut.
À qui vous les communiquez
Les catégories de fournisseurs (hébergement, paiement, infolettre, comptabilité) qui ont accès aux renseignements pour vous.
S'ils sortent du Québec
La possibilité que des renseignements soient communiqués à l'extérieur du Québec, par exemple chez un hébergeur ou un outil d'infolettre américain.
Combien de temps vous les gardez
La durée de conservation, ou la règle qui la détermine, et ce qui arrive ensuite : destruction sécuritaire ou anonymisation.
Les droits de la personne
Accès, rectification, retrait du consentement, portabilité, désindexation, et le recours à la Commission d'accès à l'information. Avec le délai de réponse : 30 jours.
Les 7 erreurs courantes
Copier la politique d'un autre site
Elle décrit les pratiques d'une autre entreprise. Si votre politique ne correspond pas à ce que vous faites vraiment, elle vous expose au lieu de vous protéger.
Une politique européenne (RGPD) traduite
Elle cite des articles et des délais qui ne s'appliquent pas au Québec, comme le fameux avis en 72 heures, et oublie le responsable exigé par la Loi 25.
Aucun moyen de joindre le responsable
C'est le défaut le plus fréquent. Sans coordonnées, personne ne peut exercer ses droits.
Un bandeau de témoins décoratif
La politique promet un refus possible, mais le site charge Google Analytics avant tout clic. Le texte et le comportement du site doivent concorder.
Un jargon juridique illisible
La loi exige des termes simples et clairs. Une politique que vos clients ne comprennent pas ne remplit pas son rôle.
Introuvable sur le site
Une politique publiée mais reliée nulle part ne sert à rien. Un lien dans le pied de page de chaque page est la norme.
Jamais mise à jour
Un nouvel outil d'infolettre, un nouveau formulaire, un hébergeur hors Québec : chaque changement de pratique doit s'y refléter, avec la date.
Questions fréquentes
Une petite entreprise doit-elle vraiment avoir une politique de confidentialité?
Oui. Toute entreprise qui recueille des renseignements personnels doit établir des politiques encadrant leur gouvernance et publier sur son site, en termes simples et clairs, l'information détaillée sur ses pratiques. Si votre site a un formulaire de contact, une boutique ou un outil de mesure d'audience, la question ne se pose pas.
Peut-on utiliser un générateur de politique gratuit?
Avec prudence. Beaucoup sont conçus pour le RGPD européen ou les lois américaines. Vérifiez que le texte mentionne le responsable de la protection, la possibilité de communication hors Québec, le délai de 30 jours et le recours à la Commission d'accès à l'information.
Où publier la politique?
Sur votre site Web, accessible depuis chaque page, habituellement par un lien dans le pied de page. Si vous recueillez des renseignements par un formulaire, un lien près du bouton d'envoi est une bonne pratique.
Faut-il un avocat pour la rédiger?
Pas nécessairement. Pour une PME aux pratiques simples, une politique claire qui décrit fidèlement ce que vous faites suffit généralement. Pour des activités sensibles (santé, données d'enfants, profilage à grande échelle), un avis juridique est recommandé.
Une politique de confidentialité suffit-elle pour être conforme?
Non. C'est une pièce parmi d'autres : désigner et publier le responsable, tenir les registres, gérer le consentement aux témoins, encadrer les incidents. La checklist Loi 25 donne la vue d'ensemble.
Articles cités : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25. Source officielle : Commission d'accès à l'information du Québec. Cette page est informative et ne constitue pas un avis juridique.
Une politique conforme à la Loi 25, à partir de vos réponses.
Le générateur de Loi 25 Facile vous pose les bonnes questions et rédige une politique en termes simples, prête à copier sur votre site en HTML ou à télécharger en PDF. Il est inclus dans le forfait Conformité complète. Commencez par voir ce qui manque sur votre site, gratuitement.
Scanner mon site gratuitement Voir les forfaits