Les modèles et les générateurs produisent la page publique. C'est une moitié de l'obligation, et pas celle qu'on vous reprochera. Voici ce que l'article 3.2 nomme au texte, pourquoi sa liste reste ouverte, et les blancs que personne ne peut remplir à votre place.
À jour au 10 août 2026 Dernier changement du droit couvert 22 septembre 2024
En une réponse : la Loi 25 n'impose pas un modèle de politique de confidentialité, elle impose un résultat. L'article 3.2 oblige toute entreprise à établir et à mettre en oeuvre des politiques et des pratiques de gouvernance, qui doivent notamment prévoir l'encadrement de la conservation et de la destruction, les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements, et un processus de traitement des plaintes. Elles doivent être proportionnées aux activités de l'entreprise et approuvées par le responsable de la protection des renseignements personnels. Le deuxième alinéa ajoute la partie visible : en publier des informations détaillées, en termes simples et clairs, sur le site Internet. Le mot « notamment » compte : la liste n'est pas fermée.
Deux alinéas que la vulgarisation confond en un seul
On lit partout « la Loi 25 exige une politique de confidentialité sur votre site ». L'article dit deux choses distinctes, et c'est la première qui coûte du travail.
Ce qu'on appelle couramment « la politique de confidentialité » est la face publique du dispositif, pas le dispositif. Un générateur en ligne produit la face publique et s'arrête là.
Le mot « notamment » n'est pas décoratif. La liste de l'alinéa 1 est ouverte : l'article nomme trois contenus et n'exclut rien d'autre. Un modèle qui se présente comme complet parce qu'il coche trois cases affirme quelque chose que la loi ne dit pas.
Une deuxième obligation de publication vit dans l'article voisin, et se perd souvent pour cette raison : l'article 3.1 exige que le titre et les coordonnées du responsable de la protection des renseignements personnels soient publiés sur le site. La fonction est exercée d'office par la personne ayant la plus haute autorité, qui peut la déléguer par écrit. Une entreprise qui n'a désigné personne a donc quand même un responsable - son dirigeant - et doit le publier.
Le contenu attendu de la page elle-même, section par section, est détaillé sur la page À savoir du module, avec la référence de chaque exigence.
Les endroits où un document type ne peut rien écrire de vrai
Un modèle générique décrit une entreprise qui n'existe pas. Ces éléments-là ne se devinent pas depuis un gabarit, et ce sont précisément ceux que la loi nomme.
La même règle vaut pour nous : notre propre politique est publiée, et le responsable y est nommé avec ses coordonnées.
Ce que l'article 9.1 dit, et ce que son deuxième alinéa retire
L'article 9.1 exige que les paramètres de confidentialité d'un produit ou service technologique offert au public assurent par défaut le plus haut niveau de confidentialité, sans intervention de la personne. C'est la phrase qu'on cite partout. Le deuxième alinéa, lui, ne se cite jamais :
« Ne sont pas visés au premier alinéa les paramètres de confidentialité d'un témoin de connexion. »
Les témoins sont expressément exclus de la règle du plus haut niveau par défaut. Ça ne les rend pas libres : le consentement et l'information de l'art. 8 continuent de s'appliquer. Mais l'exigence propre aux témoins vient d'un autre article, et les gabarits écrits pour le RGPD la manquent.
L'article 8.1 impose d'informer au préalable du recours à une technologie permettant d'identifier, de localiser ou de profiler, et des moyens offerts pour ACTIVER ces fonctions. Le verbe est « activer » : la loi suppose les fonctions éteintes et vous demande d'expliquer comment les allumer. Un modèle importé décrit l'inverse - des fonctions allumées qu'on peut refuser.
Le profilage est défini au même article : évaluer des caractéristiques d'une personne - rendement au travail, situation économique, santé, préférences, intérêts, comportement.
Les deux listes lues au complet
L'article 3.2 n'est nommé ni dans la liste des sanctions administratives pécuniaires (art. 90.1, six manquements), ni dans celle des infractions pénales (art. 91, dix cas). Ce constat surprend, et il ne veut pas dire ce qu'on croit : la sanction existe, elle passe par trois chemins.
« Pas de politique = 25 M$ » est faux. « Rien ne vous oblige » l'est autant. Les montants réels et la gradation d'un dossier sont détaillés sur la page des amendes.
Tout ce qui précède est du droit public, et le restera : les articles sont vérifiables gratuitement sur LégisQuébec, et la page À savoir détaille chaque exigence. L'évaluation gratuite ajoute le constat sur votre site, avec la référence légale de chaque écart. La politique rédigée à partir de vos réponses - responsable nommé, durées de conservation, processus de plaintes et rôles adaptés à votre entreprise - est comprise dans tous les plans, à partir de 299 $, payés une seule fois.
Ce que les dirigeants demandent sur les modèles et les générateurs
Il produit la page publique, qui n'est qu'une moitié de l'obligation. L'art. 3.2 impose d'établir et de mettre en oeuvre des politiques et des pratiques de gouvernance, puis d'en publier des informations détaillées. Un générateur ne connaît ni votre responsable, ni vos durées de conservation, ni votre processus de plaintes - et il ne peut pas approuver le document, ce que l'article exige du responsable.
L'art. 3.1 exige que le titre et les coordonnées du responsable soient publiés sur le site Internet. La fonction est exercée d'office par la personne ayant la plus haute autorité, qui peut la déléguer par écrit : une entreprise qui n'a désigné personne a quand même un responsable, son dirigeant.
Pas par l'art. 9.1 : son deuxième alinéa exclut expressément les paramètres de confidentialité d'un témoin de connexion de la règle du plus haut niveau par défaut. L'exigence propre aux témoins vient de l'art. 8.1 - informer au préalable du recours à une technologie qui identifie, localise ou profile, et des moyens offerts pour activer ces fonctions.
L'art. 3.2 n'est nommé ni à l'art. 90.1 ni à l'art. 91. La sanction arrive autrement : l'information de l'art. 8, que la page est censée porter, est directement sanctionnable (art. 90.1, 1°); et une ordonnance rendue au terme d'une enquête (art. 83) transforme le manquement en infraction de l'art. 91, 10°. Les montants et la gradation.
Tout ce qui est cité ici est vérifiable gratuitement