La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) s'applique à toute entreprise qui recueille des renseignements personnels au Québec. Or, presque tous les sites web en recueillent : un formulaire de contact, une infolettre, un outil de statistiques ou un pixel publicitaire suffisent.
1. Une politique de confidentialité claire
Votre site doit publier, en termes simples, une politique qui explique quels renseignements vous recueillez, pourquoi, comment ils sont protégés, combien de temps vous les conservez et comment une personne peut y accéder ou les faire corriger.
2. Le responsable de la protection des renseignements personnels
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. Son titre et ses coordonnées doivent être publiés sur le site.
3. Le consentement aux témoins (cookies)
Les technologies qui permettent d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut. Concrètement : Google Analytics, les pixels Meta ou LinkedIn et autres outils de suivi doivent attendre le consentement du visiteur. Un bandeau qui offre « Accepter » et « Refuser » avec la même facilité est la pratique recommandée.
4. Des formulaires qui ne demandent que le nécessaire
Ne demandez que les renseignements utiles à la demande. Indiquez la raison de la collecte près du formulaire et faites un lien vers votre politique.
5. L'emplacement de l'hébergement
Avant de communiquer des renseignements personnels à l'extérieur du Québec (y compris à un fournisseur infonuagique), l'entreprise doit évaluer les facteurs relatifs à la vie privée. Un hébergement au Canada et des fournisseurs reconnus simplifient cette évaluation.
6. Un registre des incidents
Tout incident de confidentialité (piratage, fuite d'une liste de clients) doit être consigné dans un registre et, s'il présente un risque de préjudice sérieux, déclaré à la Commission d'accès à l'information et aux personnes concernées.
Liste de vérification rapide
- Politique de confidentialité publiée et accessible depuis chaque page
- Responsable des renseignements personnels identifié avec ses coordonnées
- Bandeau de consentement : outils de suivi bloqués avant acceptation
- Formulaires limités au strict nécessaire, avec mention de la finalité
- Hébergement et sous-traitants documentés
- Procédure en cas d'incident et registre
Tous les sites que nous créons intègrent ces éléments. Votre site actuel n'est pas conforme? Une refonte ou une simple mise à niveau peut corriger la situation.