Loi 25 et site web : la liste de vérification (et la Loi 96)

Comment utiliser cette liste

La Loi 25 est la loi québécoise modernisée sur la protection des renseignements personnels dans le secteur privé. Elle encadre la façon dont une entreprise recueille, utilise, conserve et communique ces renseignements, et la Commission d’accès à l’information (CAI) en surveille l’application. La Loi 96 a modifié la Charte de la langue française, dont l’Office québécois de la langue française (OQLF) surveille l’application. Les deux touchent votre site web.

Chaque point indique quoi regarder sur le site. Savoir si votre entreprise doit s’y conformer, et jusqu’où, dépend de votre situation : confirmez la partie juridique avec un avocat ou dans les guides de la CAI et de l’OQLF. Rédigé en octobre 2026; les règles et les guides évoluent, alors consultez les versions à jour.

Bannière de témoins (cookies) et Google Analytics : le consentement avant tout chargement

Les outils d’analyse, les pixels publicitaires, les enregistrements de session et certains contenus intégrés (vidéo, cartes, clavardage) déposent des témoins ou envoient des données de visiteurs à l’entreprise qui les exploite. La Loi 25 exige que la personne soit informée au préalable du recours à une technologie qui permet de l’identifier, de la localiser ou d’effectuer un profilage, et des moyens offerts pour activer ces fonctions. Selon la CAI, ces fonctions ne peuvent donc pas être activées par défaut : c’est la personne qui doit les activer. À vérifier (notre norme de travail, qui va parfois plus loin que le texte de la loi) :

• Rien ne se charge avant le choix Ouvrez le site en navigation privée, ne cliquez sur rien et surveillez l’onglet Réseau. Si des requêtes vers Google Analytics, Meta ou un outil semblable partent avant que le visiteur choisisse, le consentement ne fonctionne pas. Une bannière affichée par-dessus un script qui s’est déjà exécuté ne protège personne.
• Refuser est aussi facile qu’accepter Même écran, même taille, même nombre de clics, aucune case précochée.
• Le choix peut être modifié plus tard Un lien « paramètres des témoins » dans le pied de page qui rouvre la bannière, pour que retirer son consentement soit aussi simple que le donner.
• La bannière nomme les outils « Google Analytics » est clair. « Pour améliorer votre expérience » ne l’est pas.
• Les contenus intégrés attendent aussi Une vidéo YouTube ou une carte Google peut rester derrière un espace réservé à cliquer, jusqu’à ce que le visiteur accepte.
• Les gestionnaires de balises sont verrouillés Si tout passe par Google Tag Manager, le conteneur lui-même ne doit pas se déclencher avant le consentement.

Une politique de confidentialité facile à trouver et à lire

Si vous recueillez des renseignements personnels par votre site, la loi exige que vous publiiez une politique de confidentialité rédigée en termes simples et clairs, et que vous donniez un avis lorsque vous la modifiez. Les guides de la CAI précisent ce qu’elle devrait contenir. Voici les points à y trouver :

• Ce que vous recueillez, et par quel moyen Formulaire de contact, infolettre, réservation, outils d’analyse, témoins. Nommez chacun.
• Pourquoi vous le recueillez Une phrase claire par finalité.
• Qui le reçoit Votre fournisseur d’analyse, votre outil de courriel, votre service de réservation ou de paiement.
• S’il sort du Québec Beaucoup d’outils traitent les données sur des serveurs ailleurs. Dites-le.
• Combien de temps vous le gardez Une vraie durée lorsque c’est possible. Une formule vague n’aide personne, et on peut vous la demander.
• Comment poser une question Accès, rectification, retrait du consentement, et à qui écrire.
• Vos règles de gouvernance Conservation et destruction, rôles de chacun et traitement des plaintes. La loi demande que de l’information détaillée à ce sujet soit publiée en termes simples et clairs.
• Où elle est liée Dans le pied de page de chaque page, et à côté de chaque formulaire.

Une personne responsable de la protection des renseignements personnels

Quelqu’un doit être responsable des renseignements personnels dans votre entreprise. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise (dans une petite entreprise, généralement un propriétaire ou un associé), qui peut déléguer cette fonction par écrit, en tout ou en partie. Le titre et les coordonnées de cette personne doivent être publiés sur votre site web.

Vérifiez que la politique indique un titre et un courriel qui fonctionne (une adresse de fonction comme confidentialite@votredomaine convient), puis écrivez-y pour voir si quelqu’un lit les messages.

Formulaires de contact : dire pourquoi, et recueillir moins

• Une phrase à côté du bouton d’envoi À quoi servent les renseignements, avec un lien vers la politique.
• Seulement les champs nécessaires Un champ téléphone sur un formulaire « télécharger le guide » est un signal d’alerte.
• Les courriels promotionnels sont un choix distinct Une case non cochée, pas jumelée à la demande de contact. La Loi canadienne anti-pourriel a ses propres règles, distinctes de la Loi 25.
• Vous savez où vont les envois Une boîte courriel, un CRM, un service de formulaires. Sachez quelle entreprise et quels serveurs.
• L’antipourriel compte aussi Un captcha charge généralement un script tiers. Il appartient à votre liste d’outils.

Outils tiers et données qui sortent du Québec

Chaque service qui reçoit des données de visiteurs fait partie de votre portrait de confidentialité : analyse, polices chargées depuis un CDN, cartes et vidéos intégrées, clavardage, réservation, services de formulaires, outils de courriel. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur du Québec, y compris lorsqu’un fournisseur situé hors du Québec les recueille ou les conserve pour vous, ainsi qu’une entente écrite avec ce fournisseur. Une évaluation distincte s’applique aux projets qui créent ou refondent un système traitant des renseignements personnels. Savoir si un outil ou un projet de site déclenche l’une ou l’autre est une question juridique. La partie technique, c’est de connaître votre liste.

• Dressez la liste Ouvrez l’onglet Réseau, triez par domaine et notez chaque domaine tiers qui apparaît.
• Pour chacun, trois notes Les données qu’il reçoit, où se trouve l’entreprise, et si vous pourriez vous en passer.
• Hébergez vous-même ce que vous pouvez Des polices et des scripts servis depuis votre propre domaine, ce sont moins de requêtes qui quittent le site.
• Gardez la liste à jour Elle alimente la politique de confidentialité et toute évaluation que votre avocat demande.

Durée de conservation : garder moins, supprimer selon un calendrier

Les renseignements personnels doivent être détruits ou anonymisés une fois la finalité de leur collecte atteinte, sauf si une autre loi exige de les conserver plus longtemps. Pour un site web, concrètement :

• Fixez une durée de conservation Pour les courriels de formulaires, les fiches CRM et les exportations, et écrivez-la dans la politique.
• Faites le ménage Les anciens envois, les tests et les exportations ne doivent pas dormir indéfiniment dans les boîtes courriel et les tableurs.
• Sachez qui a accès Un compte d’outil de formulaires partagé par cinq personnes est un signal d’alerte.
• Soyez capable de répondre à une demande Quelqu’un peut retrouver, montrer ou corriger les renseignements d’une personne. La loi exige une réponse écrite au plus tard 30 jours après la réception de la demande.
• Prévoyez quoi faire en cas d’incident La Loi 25 exige un registre des incidents de confidentialité (accès, utilisation ou communication non autorisés, ou perte) et, en cas de risque de préjudice sérieux, un avis diligent à la CAI et aux personnes concernées.

Loi 96 : le français sur le site web

La Charte de la langue française, modifiée par la Loi 96, donne aux consommateurs le droit d’être informés et servis en français, et l’OQLF précise qu’ils peuvent accéder à une version française complète du site web d’une entreprise. Des exceptions existent : lisez les guides de l’OQLF pour votre cas. Côté technique, voici ce qui est souvent oublié :

• Une version française existe et se trouve facilement Un sélecteur de langue visible sur chaque page, et une version française au moins aussi facile à trouver et aussi complète que l’autre langue.
• De vraies pages en français Leurs propres adresses (comme /fr/), un attribut lang="fr", un titre et une description traduits. Pas des paragraphes traduits à la machine sous une mise en page anglaise.
• Tout ce qui entoure le contenu Les libellés et messages d’erreur des formulaires, les courriels de confirmation, la bannière des témoins, la politique de confidentialité et les conditions de vente.
• Contrats et conditions en ligne Si des clients acceptent des conditions types en ligne, la Charte exige en général que la version française soit remise en premier, avant toute autre langue. Votre avocat peut confirmer si vos conditions constituent un contrat d’adhésion.
• Publicités et bannières promotionnelles Dans la publicité commerciale, le français doit être nettement prédominant sur toute autre langue.
• Les balises de langue Les attributs lang et hreflang, pour que les moteurs de recherche et les lecteurs d’écran sachent quelle page est laquelle.

Un test à faire aujourd’hui

• 1. Navigation privée, aucun clic Ouvrez votre site en navigation privée et laissez la bannière tranquille.
• 2. Regardez l’onglet Réseau Rechargez avec les outils de développement ouverts. Toute requête tierce avant votre choix est un problème.
• 3. Cliquez sur Refuser et rechargez Toujours rien de tiers? Bien. Cliquez ensuite sur Accepter et confirmez que les outils nommés se chargent maintenant.
• 4. Vérifiez le pied de page Lien vers la politique de confidentialité, lien vers les paramètres des témoins, sélecteur de langue.
• 5. Lisez la politique Nomme-t-elle les outils que votre site utilise vraiment, et une personne à joindre?
• 6. Envoyez votre propre formulaire Lisez le courriel de confirmation et vérifiez dans quelle langue il arrive.

Sur les sites web que nous construisons pour les entreprises locales, la bannière de consentement empêche les outils d’analyse de se charger tant que le visiteur n’a pas accepté, refuser est aussi facile qu’accepter, et les versions française et anglaise partagent la même mise en page. La rédaction de la politique et les conclusions juridiques reviennent à votre avocat; nous mettons en place ce qu’il décide. Pour voir à quoi ressemble une politique en langage clair, consultez notre propre page de confidentialité.

Vous planifiez un nouveau site ou une refonte? Inscrivez ces points dans la portée écrite dès le départ. Notre guide pour comparer des soumissions de site web montre ce qu’une soumission doit aussi préciser.