Checklist Loi 25 pour le site web d'une PME
Cette checklist de 12 points vous aide à examiner le site web de votre PME au regard de la Loi 25. Chaque élément indique où vérifier et s'il s'appuie sur une exigence documentée par la CAI ou sur une bonne pratique. Elle ne remplace pas un avis juridique.
Comment utiliser cette checklist
La Loi 25 est en vigueur depuis le 22 septembre 2022, la plupart de ses dispositions s'appliquant depuis le 22 septembre 2023 (voir Québec.ca). Elle s'applique à toutes les entreprises privées qui collectent des renseignements personnels, sans exemption pour les PME (source secondaire : RCGT). Votre site web, avec ses formulaires, ses outils d'analyse et ses témoins, est souvent le premier endroit où l'entreprise collecte de tels renseignements.
Chaque élément porte une étiquette :
- Vérifié : exigence documentée par la Commission d'accès à l'information (CAI);
- Bonne pratique : mesure recommandée, qui n'est pas présentée ici comme une obligation légale précise.
Cochez chaque point au fur et à mesure et notez la date de vérification. Une checklist datée devient la trace de votre démarche.
Les 12 points
1. Un responsable de la protection des renseignements personnels est désigné Vérifié
La CAI indique que le titre et les coordonnées de la personne responsable doivent être publiés sur le site web de l'entreprise, ou par un autre moyen approprié si elle n'a pas de site. Où vérifier : pied de page, page « Confidentialité » ou « Nous joindre ». Détails dans notre article sur le responsable.
2. Un registre des incidents de confidentialité existe Vérifié
La CAI exige la tenue d'un registre et sa communication sur demande. Où vérifier : un document interne daté, accessible au responsable. Voyez le registre et la réaction à un incident.
3. Une procédure d'avis en cas d'incident est écrite Bonne pratique
Si un incident présente un risque de préjudice sérieux, l'entreprise doit aviser la CAI et les personnes touchées (obligation vérifiée). Disposer d'une procédure écrite pour y arriver est une bonne pratique, non une exigence que nous avons vérifiée auprès de la CAI. Où vérifier : procédure interne indiquant qui évalue, qui décide, qui communique.
4. Les technologies de profilage, de localisation et d'identification sont désactivées par défaut Vérifié
Selon la CAI, ces technologies doivent être désactivées par défaut, avec activation par consentement (opt-in). Où vérifier : votre bandeau de témoins et vos outils de suivi publicitaire ou de profilage : aucun ne devrait s'activer avant le choix du visiteur. Voir notre article sur le bandeau de témoins.
5. Une évaluation des facteurs relatifs à la vie privée (EFVP) a été faite au besoin Vérifié
La CAI prévoit une EFVP avant un projet de système d'information touchant des renseignements personnels, et avant de les communiquer hors Québec. Où vérifier : dossier de projet. Exemples : nouveau site de commerce électronique, nouveau CRM infonuagique, outil d'analyse hébergé ailleurs.
6. Un inventaire des renseignements collectés par le site existe Bonne pratique
Listez chaque formulaire, outil d'analyse, plugin de clavardage et infolettre, avec la donnée collectée et son but. Vous ne pouvez pas protéger ce que vous ne connaissez pas. Où vérifier : un tableur à jour, validé après chaque modification du site.
Vous préférez ne pas tout vérifier vous-même? Nous examinons les éléments techniques de votre site et corrigeons ceux du mandat signé.
Réserver ma consultation de 1 h : 1 499 $7. Une politique de confidentialité est accessible sur le site Bonne pratique
Afficher une politique claire est une bonne pratique et une attente raisonnable des visiteurs et de la CAI. Les sources consultées divergent toutefois sur le contenu exact exigé et sur l'obligation de la publier sur le site : validez avec un avocat. Où vérifier : lien visible dans le pied de page de chaque page. Notre guide : politique de confidentialité pour votre site.
8. Le bandeau de témoins reflète vos outils réels Bonne pratique
Un bandeau qui affiche des choix mais laisse les traceurs se charger avant le clic peut induire en erreur. Aucune sanction visant spécifiquement un bandeau de témoins n'est documentée à ce jour dans nos sources; la démarche relève donc de la bonne pratique, liée au point 4. Où vérifier : ouvrez le site en navigation privée, refusez tout, puis consultez l'onglet Réseau des outils de développement du navigateur.
9. WordPress, thèmes, plugins et PHP sont à jour Bonne pratique
Selon Patchstack, 11 334 nouvelles vulnérabilités WordPress ont été recensées en 2025, environ 91 % dans des plugins (source secondaire). Où vérifier : tableau de bord WordPress, section Mises à jour, et Outils, puis Santé du site. Lisez notre guide de sécurité WordPress.
10. Les connexions et comptes sont protégés Bonne pratique
HTTPS actif partout, authentification à deux facteurs pour les administrateurs, comptes d'anciens employés supprimés, rôles minimaux. Où vérifier : cadenas du navigateur, liste des utilisateurs, paramètres de sécurité du CMS.
11. Des sauvegardes testées existent, hors site Bonne pratique
Une sauvegarde non testée est une hypothèse. Elle contient aussi des renseignements personnels : protégez-la. Où vérifier : panneau de l'hébergeur ou du plugin de sauvegarde; date de la dernière restauration réussie.
12. Les fournisseurs et sous-traitants ont été examinés Bonne pratique
Hébergeur, outil de courriel, plateforme de paiement, outil de clavardage : sachez où les données sont hébergées et ce que prévoit le contrat. Si des renseignements sont communiqués hors Québec, l'EFVP du point 5 s'applique. Où vérifier : contrats, politiques de confidentialité des fournisseurs, paramètres de région d'hébergement.
Tableau récapitulatif
| # | Élément | Statut | Où vérifier |
|---|---|---|---|
| 1 | Responsable désigné et publié | Vérifié | Pied de page du site |
| 2 | Registre des incidents | Vérifié | Document interne |
| 3 | Procédure d'avis | Bonne pratique | Procédure écrite |
| 4 | Technologies désactivées par défaut | Vérifié | Bandeau et outils de suivi |
| 5 | EFVP au besoin | Vérifié | Dossiers de projet |
| 6 | Inventaire des données | Bonne pratique | Tableur à jour |
| 7 | Politique accessible | Bonne pratique | Pied de page |
| 8 | Bandeau fidèle aux outils | Bonne pratique | Navigation privée |
| 9 | Mises à jour | Bonne pratique | Tableau de bord CMS |
| 10 | Accès protégés | Bonne pratique | Comptes et HTTPS |
| 11 | Sauvegardes testées | Bonne pratique | Hébergeur ou plugin |
| 12 | Fournisseurs examinés | Bonne pratique | Contrats |
Que faire des écarts trouvés?
Classez chaque écart selon deux critères : le risque pour les personnes dont vous détenez les renseignements, et l'effort de correction. Commencez par ce qui est à la fois risqué et simple : désactiver les traceurs avant consentement, supprimer un compte inutilisé, mettre à jour un plugin vulnérable. Les chantiers plus longs, comme l'EFVP d'un nouveau système, se planifient.
Exemple pédagogique : un cabinet de physiothérapie à Sherbrooke
Un cabinet fait la checklist un lundi matin. Il constate que le responsable n'est nommé nulle part, que son plugin de prise de rendez-vous n'a pas été mis à jour depuis onze mois et que son bandeau laisse un outil publicitaire se charger avant le choix. En deux semaines, il désigne la directrice comme responsable et publie ses coordonnées, met à jour le plugin, règle le bandeau et crée un registre des incidents vide mais prêt. Il inscrit la date de chaque vérification. Ce cas est fictif et illustre une démarche, pas un résultat juridique.
Comment documenter votre démarche
Conservez un dossier simple : la checklist datée, les captures d'écran des réglages vérifiés, les courriels de confirmation des fournisseurs et les décisions prises. Si la CAI ou un client pose une question, ce dossier montre que votre entreprise a une démarche structurée et suivie. Désignez une personne qui reprend la checklist à date fixe, par exemple chaque trimestre, et qui note les changements du site entre deux vérifications : nouvel outil, nouveau formulaire, nouveau fournisseur ou changement d'hébergeur.
Ordre de grandeur des risques : rester factuel
La CAI peut imposer des sanctions administratives pécuniaires jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, selon le plus élevé. Les amendes pénales peuvent aller jusqu'à 25 M$ ou 4 %, selon le plus élevé, avec un minimum de 15 000 $ pour une personne morale (source secondaire : Osler). Ce sont des plafonds, pas des montants attendus pour une petite entreprise; notre article sur les amendes les replace en contexte. Un recours privé existe aussi : des dommages-intérêts punitifs d'au moins 1 000 $ sont possibles en cas d'atteinte intentionnelle ou de négligence grave causant un préjudice.
Un autre point de repère : selon l'Insurance Bureau of Canada, rapporté par Insurance Business en octobre 2026, environ 22 % des PME canadiennes détiennent une cyberassurance. Si vous en avez une, lisez ses exigences de sécurité et de déclaration.
Ce que notre service fait et ne fait pas
Notre rapport de sécurité et nos corrections visent les éléments techniques d'un site : mises à jour, durcissement, configuration des témoins, sauvegardes, vérifications. Les éléments de gouvernance (désignation du responsable, registre, politiques, EFVP) demeurent ceux de l'entreprise, et nous pouvons vous aider à documenter leur volet technique. Nous ne délivrons aucun certificat de conformité. Pour comprendre le contenu du rapport, lisez Audit de site web : rapport complet et consultation de 1 h, ou appelez le 1 (888) 711-9428.
À retenir
- Quatre points de la checklist reposent sur des exigences documentées par la CAI; huit sont des bonnes pratiques.
- Datez chaque vérification et conservez les preuves.
- Refaites la checklist chaque année et après tout changement de site.
- Validez vos obligations précises avec un avocat spécialisé.
Transformez cette checklist en constats documentés sur votre site, sous mandat signé.
Réserver ma consultation de 1 h : 1 499 $Questions fréquentes
Cette checklist garantit-elle ma conformité?
Non. Elle sert à repérer des écarts. La conformité reste la responsabilité de l'entreprise, et un avocat peut valider votre situation particulière.
Ma PME est-elle vraiment visée?
Oui. La Loi 25 s'applique à toutes les entreprises privées qui collectent des renseignements personnels, sans exemption pour les PME.
Que signifie « vérifié » dans la checklist?
Cela indique que l'exigence est documentée par la CAI. « Bonne pratique » signifie une mesure recommandée, sans prétendre qu'elle est exigée telle quelle par la loi.
Dois-je afficher ma politique de confidentialité sur mon site?
C'est une bonne pratique largement attendue, mais les sources consultées divergent sur le contenu et le caractère obligatoire de sa publication sur le site. Validez avec un avocat.
À quelle fréquence refaire la checklist?
Au moins une fois par année, et après tout changement important : nouveau formulaire, nouvel outil d'analyse, nouveau fournisseur.
À lire aussi
- Politique de confidentialité Loi 25 pour votre site web
- Responsable de la protection des renseignements personnels
- Incident de confidentialité : registre et réaction