Les sept sections que votre politique doit contenir, ce que chacune doit dire et l'article qui l'exige - plus les autres obligations de la Loi 25 pour une PME québécoise : témoins, responsable désigné, incidents, transferts.
À jour au 10 août 2026 Dernier changement du droit couvert 22 septembre 2024
En une réponse : la Loi 25 s'applique à toute entreprise qui exploite au Québec, sans seuil de taille, dès le premier renseignement personnel recueilli. Une PME doit : publier une politique de confidentialité conforme, obtenir un consentement éclairé, n'installer aucun témoin non essentiel avant ce consentement, protéger les renseignements, tenir un registre des incidents et déclarer ceux à risque de préjudice sérieux, désigner un responsable de la protection des renseignements personnels - par défaut la plus haute autorité (art. 3.1) - et publier ses coordonnées, et mener une évaluation des facteurs relatifs à la vie privée quand elle est requise. Chaque obligation est détaillée plus bas, article à l'appui.
La modernisation de la protection des renseignements personnels au Québec
La Loi 25, officiellement intitulée Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a été sanctionnée le 22 septembre 2021. Anciennement connue sous le nom de projet de loi 64, elle modifie en profondeur la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) et la Loi sur l'accès aux documents des organismes publics.
Son objectif principal est de moderniser le cadre juridique québécois afin de mieux protéger les renseignements personnels des citoyens à l'ère numérique, tout en responsabilisant davantage les entreprises qui collectent et traitent ces données.
Désignation d'un responsable de la protection des renseignements personnels. Obligation d'aviser la Commission d'accès à l'information (CAI) et les personnes concernées de tout incident de confidentialité présentant un risque de préjudice sérieux. Tenue d'un registre de tous les incidents, avec ou sans préjudice.
Politique de confidentialité conforme avec les 7 sections obligatoires. Consentement manifeste, libre et éclairé requis. Évaluation des facteurs relatifs à la vie privée (EFVP) pour certains projets. Transparence sur le profilage et les décisions automatisées.
Entrée en vigueur complète du droit à la portabilité des renseignements personnels. Les personnes peuvent demander à recevoir leurs données dans un format technologique structuré et couramment utilisé, ou à les transférer à un autre organisme.
Toute entreprise qui collecte des renseignements personnels au Québec
La Loi 25 s'applique à toute entreprise privée ou organisme public qui recueille, détient, utilise ou communique des renseignements personnels au Québec, peu importe sa taille. Que vous soyez un travailleur autonome, une PME de 5 employés ou une grande entreprise, vous êtes assujetti à la loi dès que vous collectez des données personnelles de résidents québécois.
Un renseignement personnel est toute information qui permet d'identifier directement ou indirectement une personne physique : nom, adresse courriel, numéro de téléphone, adresse IP, données de navigation, cookies, informations de paiement, etc.
Commerces et boutiques en ligne - Collecte de noms, courriels, adresses de livraison et données de paiement.
Professionnels de la santé - Gestion de dossiers patients, rendez-vous en ligne et données de santé.
Restaurants et hôtels - Réservations en ligne, programmes de fidélité et collecte d'avis clients.
Entreprises de services - Formulaires de contact, devis en ligne, suivi de projets clients.
Agences immobilières - Données financières des acheteurs, historiques de recherche et informations personnelles.
Applications et SaaS - Comptes utilisateurs, données de comportement, analyses et cookies tiers.
Organismes de formation - Inscriptions en ligne, dossiers d'étudiants et suivi de progression.
Cabinets professionnels - Comptables, avocats, consultants qui gèrent des dossiers clients confidentiels.
Ce que la Loi 25 exige concrètement de votre entreprise
Publier une politique de confidentialité claire, rédigée en termes simples et accessible sur votre site web. Elle doit couvrir les 7 sections obligatoires :
Obtenir un consentement manifeste, libre et éclairé avant de collecter des renseignements personnels. Le consentement doit être :
Mettre en place une gestion conforme des cookies et technologies de suivi sur votre site web :
Mettre en place des mesures de sécurité raisonnables pour protéger les renseignements personnels :
Dès qu'un incident de confidentialité survient (accès, utilisation ou communication non autorisés, ou perte), vous devez :
Désigner une personne responsable de la protection des renseignements personnels au sein de votre organisation. Par défaut, c'est la personne ayant la plus haute autorité. Ses coordonnées doivent être publiées sur votre site web.
Réaliser une EFVP avant tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels, et avant toute communication de renseignements à l'extérieur du Québec. L'évaluation est proportionnée à la sensibilité et à la quantité des renseignements - pour une PME, quelques pages suffisent souvent.
Chaque section est requise par la Loi 25 pour votre politique de confidentialité
Votre politique de confidentialité doit être rédigée en termes simples et clairs, publiée sur votre site web et facilement accessible. Voici le détail des 7 sections que la CAI attend d'y trouver.
Les fins de la collecte doivent être déterminées AVANT de recueillir le moindre renseignement (art. 4 LPRPSP) et communiquées à la personne au moment de la collecte (art. 8). Seuls les renseignements nécessaires à ces fins peuvent être recueillis (art. 5).
Cette clause borne tout le reste. Une fin vague comme « améliorer nos services » ne permet pas de valider la nécessité (art. 5) ni de limiter l'utilisation (art. 12). Listez plutôt des fins précises, une par usage réel.
La personne doit savoir COMMENT ses renseignements sont recueillis (art. 8 LPRPSP) : formulaires, témoins, journaux de serveur, outils tiers. L'art. 8.1 exige en plus une mention spécifique des technologies d'identification, de localisation ou de profilage.
La collecte invisible (adresse IP dans les journaux, témoins, pixels de suivi) est celle que vos visiteurs ignorent - et donc celle que la loi vous oblige explicitement à divulguer.
Une fois les fins accomplies, les renseignements doivent être détruits ou anonymisés (art. 23 LPRPSP). La politique doit indiquer combien de temps chaque catégorie est conservée - une conservation « indéfinie » n'est pas défendable.
Un calendrier de conservation est aussi votre meilleure défense en cas d'incident : moins de données conservées = moins de données compromises = incident moins grave à déclarer.
L'entreprise doit prendre des mesures de sécurité propres à assurer la protection des renseignements, raisonnables compte tenu de leur sensibilité (art. 10 LPRPSP) - et sa politique doit en informer les personnes concernées.
Vous n'avez pas à divulguer votre architecture technique. Il suffit de décrire votre posture : chiffrement, contrôle d'accès, sauvegardes, procédure en cas d'incident. Les assureurs en cybersécurité et les grands donneurs d'ordre vérifient d'ailleurs ce point.
Avant de communiquer des renseignements hors du Québec (y compris vers un hébergeur ou un outil infonuagique), l'entreprise doit évaluer les facteurs relatifs à la vie privée (art. 17 LPRPSP) et sa politique doit divulguer que des renseignements peuvent être traités à l'extérieur du Québec.
Presque tout site utilise des services hors Québec (Google, Meta, Microsoft, hébergeur américain…). Le transfert n'est pas interdit - il doit être évalué, encadré contractuellement et divulgué. Le taire alors qu'un simple examen technique le révèle mine la crédibilité de toute la politique.
Toute personne peut accéder à ses renseignements (art. 27 LPRPSP), les faire rectifier (art. 28), demander la cessation de diffusion ou la désindexation (art. 28.1) et retirer son consentement. La politique doit expliquer ces droits ET comment les exercer.
Une politique sans mode d'emploi des droits est incomplète : la loi exige que l'exercice soit concret (à qui écrire, délai de réponse - 30 jours, art. 32).
Chaque entreprise doit désigner un responsable de la protection des renseignements personnels - par défaut, la personne ayant la plus haute autorité (le dirigeant) - et publier son TITRE et ses COORDONNÉES sur son site web (art. 3.1 LPRPSP).
C'est l'obligation la plus simple à remplir (dix minutes) et son absence est immédiatement visible. Pour une PME, le dirigeant se désigne lui-même - aucune embauche requise, la fonction peut aussi être déléguée par écrit.
Ce que risque votre entreprise en cas de non-conformité
La CAI applique une approche graduée qui tient compte de la taille de l'entreprise, de la gravité de l'infraction, de la bonne foi de l'entreprise et des mesures correctives déjà prises. En pratique, les PME québécoises s'exposent à des amendes de quelques milliers à quelques centaines de milliers de dollars, selon la situation.
Jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial. La CAI peut ordonner des mesures correctives, imposer des conditions et exiger des rapports de conformité.
Jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial (art. 91). Les infractions visées : collecte, utilisation ou communication contraires à la loi, défaut de mesures de sécurité, défaut de déclarer un incident, entrave aux enquêtes de la CAI. En cas de récidive, les amendes doublent (art. 92.1).
Les citoyens peuvent poursuivre une entreprise en dommages-intérêts. En cas d'atteinte intentionnelle ou de négligence grave, des dommages-intérêts punitifs d'au moins 1 000 $ par personne sont prévus.
En pratique pour les PME : La CAI privilégie l'accompagnement et la prévention. Une PME de bonne foi qui démontre des efforts de mise en conformité sera traitée différemment d'une entreprise qui ignore délibérément ses obligations. Les premières interventions prennent souvent la forme d'avertissements ou d'ordonnances de conformité avant d'en arriver aux amendes.
Une analyse automatisée en 5 étapes basée sur les exigences de la Loi 25
Un navigateur headless (sans interface graphique) visite votre site web exactement comme le ferait un visiteur réel. Il charge la page d'accueil, attend l'exécution du JavaScript et détecte les éléments de la page : bandeau de cookies, liens vers la politique de confidentialité, formulaires de collecte de données.
L'outil vérifie la présence d'un bandeau de consentement aux cookies, la disponibilité d'un bouton de refus aussi visible que le bouton d'acceptation, les cookies déposés avant le consentement de l'utilisateur, et la présence de cookies tiers (Google Analytics, Facebook Pixel, etc.).
L'outil recherche et analyse automatiquement votre politique de confidentialité. Il vérifie la couverture de chacune des 7 sections obligatoires requises par la Loi 25 et évalue la clarté et l'exhaustivité de chaque section.
Le score de conformité est calculé en pondérant deux axes d'analyse : la gestion des cookies représente 40 % du score total et la politique de confidentialité représente 60 % du score total. Chaque violation détectée réduit le score proportionnellement à sa gravité.
Votre site reçoit un niveau de conformité basé sur le score final obtenu :
Audit automatisé gratuit en 5 minutes. Identifiez vos lacunes et corrigez-les avant de recevoir un avis de la CAI.
Les mêmes réponses que le balisage FAQPage de cette page
Oui. La loi vise toute personne qui exploite une entreprise au Québec, sans seuil de taille ni de chiffre d'affaires : dès qu'un renseignement personnel est recueilli (un courriel de client suffit), les obligations s'appliquent. Ce qui change avec la taille, c'est l'ampleur des moyens à mettre en place, pas l'existence de l'obligation.
Publier une politique de confidentialité couvrant les sections obligatoires; obtenir un consentement éclairé; encadrer les témoins (cookies) - aucun témoin non essentiel avant consentement; protéger les renseignements; tenir un registre des incidents et déclarer ceux qui présentent un risque de préjudice sérieux; désigner un responsable et publier ses coordonnées; et mener une évaluation des facteurs relatifs à la vie privée quand elle est requise. Le détail est dans les 7 obligations principales.
Par défaut, la personne ayant la plus haute autorité dans l'entreprise (art. 3.1) - le président ou la présidente d'une PME. Cette fonction peut être déléguée par écrit, à l'interne ou à l'externe, et le titre et les coordonnées du responsable doivent être publiés sur le site web.
Oui, pour tout témoin qui n'est pas nécessaire au fonctionnement du site : publicité, statistiques avec identifiant, réseaux sociaux. Le consentement doit être manifeste, libre et éclairé - un bandeau qui dépose avant la réponse ne le recueille pas. C'est exactement ce que notre évaluation gratuite observe sur votre site.
Sources de référence pour approfondir vos connaissances sur la Loi 25
Les deux régimes de sanctions, la gradation réelle d'un dossier, articles cités.
L'organisme québécois responsable de l'application de la Loi 25. Guides, outils et formulaires de déclaration d'incidents.
Visiter le site de la CAI →La Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) dans sa version à jour sur LégisQuébec.
Consulter la loi →Ressources pratiques de la CAI spécifiquement conçues pour aider les entreprises à se conformer à la Loi 25.
Voir le guide de la CAI →Ce guide est fourni à titre informatif uniquement. Il ne constitue pas un avis juridique ni une garantie de conformité totale à la Loi 25. Le contenu reflète notre compréhension des exigences législatives en vigueur - la législation évoluant, consultez le texte officiel de la loi ou un professionnel du droit pour toute interprétation définitive.