Politique de confidentialité Loi 25 : modèle et points à vérifier
Ce que l'on sait, et ce que l'on ne peut pas affirmer
La politique de confidentialité Loi 25 est l'un des sujets où l'on lit le plus d'affirmations contradictoires. Nous préférons être clairs sur notre niveau de certitude. Ce que les sources officielles confirment : la loi s'applique à toutes les entreprises privées qui collectent des renseignements personnels, sans exemption pour les PME, et la Commission d'accès à l'information (CAI) exige de publier le titre et les coordonnées du responsable de la protection des renseignements personnels sur le site de l'entreprise.
Ce que nous ne pouvons pas affirmer avec certitude : le contenu exact obligatoire d'une politique et si elle doit absolument être affichée sur le site. Les sources consultées divergent. Dans cet article, nous marquons donc chaque point comme « à confirmer » ou « bonne pratique » quand c'est le cas, et nous vous invitons à faire valider l'ensemble par un avocat en protection des renseignements personnels.
Les dates de mise en vigueur sont sur Québec.ca : à partir du 22 septembre 2022, la plupart des dispositions depuis le 22 septembre 2023, avec un déploiement par étapes jusqu'en 2024.
Pourquoi en publier une quand même
Même sans trancher la question légale, plusieurs raisons plaident pour une politique claire et accessible depuis le pied de page :
- Transparence : vos visiteurs savent ce que vous faites de leurs renseignements.
- Cohérence : elle force l'entreprise à inventorier ses collectes, ce qui sert aussi à tout autre exercice de conformité.
- Confiance : les clients, partenaires et assureurs la consultent parfois avant de transiger.
- Preuve : un document daté montre une démarche réfléchie.
Avant d'écrire : l'inventaire
Une politique juste commence par la connaissance de vos collectes. Listez : formulaires de contact et de rendez-vous, infolettre, comptes clients, paiements, clavardage, témoins et pixels, prestataires qui reçoivent des données (hébergeur, courriel, CRM). Pour les témoins, voyez notre article sur le bandeau de cookies et la Loi 25 : la politique et le bandeau doivent décrire les mêmes outils.
Plan de modèle : les rubriques usuelles
Le tableau ci-dessous présente une structure type. Le statut indique notre niveau de certitude : « confirmé » quand une source officielle l'appuie, « bonne pratique » sinon.
| Rubrique | Contenu | Statut |
|---|---|---|
| Responsable | Titre et coordonnées du responsable de la protection des renseignements personnels | Publication sur le site : confirmé par la CAI |
| Renseignements collectés | Types de renseignements (nom, courriel, téléphone, adresse IP, etc.) | Bonne pratique |
| Finalités | À quoi servent ces renseignements | Bonne pratique |
| Outils et tiers | Analytique, publicité, hébergement, paiement, courriel | Bonne pratique |
| Hors Québec | Communication de renseignements à l'extérieur du Québec | Une évaluation des facteurs relatifs à la vie privée précède cette communication selon la CAI; mention dans la politique : bonne pratique |
| Conservation | Durée et mode de destruction | Bonne pratique |
| Vos droits | Accès, rectification, retrait du consentement, comment les exercer | Bonne pratique à faire valider |
| Incidents | Engagement d'aviser en cas de risque de préjudice sérieux | L'avis à la CAI et aux personnes est confirmé; sa mention dans la politique : bonne pratique |
| Mise à jour | Date de dernière révision | Bonne pratique |
Rédiger chaque rubrique en langage clair
Le responsable
Indiquez le titre de la personne et un moyen de la joindre, par exemple une adresse courriel dédiée comme « confidentialite@ » suivie de votre domaine. Un article complet y est consacré : quoi publier au sujet du responsable de la protection des renseignements personnels.
Les renseignements collectés
Soyez concret. Au lieu de « données de navigation », écrivez : « adresse IP, type d'appareil, pages visitées ». Au lieu de « coordonnées », précisez : « nom, courriel, numéro de téléphone saisis dans le formulaire de contact ».
Les finalités
Une phrase par finalité suffit : répondre à une demande, planifier un rendez-vous, envoyer l'infolettre, mesurer l'audience du site. Évitez les finalités vagues comme « améliorer nos services » sans autre précision.
Les outils tiers
Nommez les fournisseurs principaux et leur rôle. Une politique qui dit « aucun tiers » alors qu'un pixel publicitaire est installé crée un écart que n'importe quel visiteur technique peut constater.
Les droits des personnes
Expliquez comment demander l'accès à ses renseignements ou leur correction, à qui s'adresser et dans quel délai vous vous engagez à répondre. Faites valider les délais et les modalités par un juriste avant de promettre quoi que ce soit.
Consultation d'une heure par Google Meet : accès sécurisé et audit complet. Dans les jours suivants, sous mandat signé, nous mettons en place le volet Loi 25, puis nous livrons un rapport écrit complet dans les 7 jours ouvrables suivant la consultation.
Réserver ma consultation de 1 h: 1 499 $Les points techniques à vérifier sur le site
Une politique n'est utile que si elle est visible et fidèle. Voici une vérification côté technique, que nous pouvons faire pour vous dans le cadre d'un mandat :
- Un lien « Politique de confidentialité » dans le pied de page de toutes les pages.
- Un lien vers la politique près de chaque formulaire qui collecte des renseignements.
- La page est indexable, rapide, lisible sur mobile et sans erreur de chargement.
- Les outils décrits dans la politique correspondent à ceux qui s'exécutent réellement.
- Le bandeau de consentement renvoie vers la politique.
- La date de dernière mise à jour est affichée.
- Le titre et les coordonnées du responsable sont accessibles sur le site.
- Les anciennes versions sont archivées avec leur date.
Le piège des formulaires
Un formulaire de contact en apparence anodin envoie parfois ses données à un service externe (automatisation, CRM, courriel transactionnel). Chacun de ces services est un tiers à mentionner. Notre vérification technique consiste précisément à suivre le chemin de chaque donnée, de la saisie jusqu'à sa destination.
Le piège des sites vulnérables
Une politique impeccable sur un site compromis perd son sens. Selon Patchstack, 11 334 nouvelles vulnérabilités WordPress ont été recensées en 2025, environ 91 % dans des extensions. Un formulaire exposé par une extension désuète illustre le risque : selon la CAI, un incident de confidentialité présentant un risque de préjudice sérieux exige d'aviser la CAI et les personnes concernées, et de tenir un registre.
Exemple de formulation (à adapter et à faire valider)
Voici le genre de phrases claires qu'on retrouve dans une politique de PME. Ce sont des exemples de ton, pas du texte juridique validé.
- Collecte : « Lorsque vous remplissez notre formulaire de contact, nous recueillons votre nom, votre courriel et votre message afin de répondre à votre demande. »
- Outils : « Nous utilisons un outil de mesure d'audience qui ne s'active qu'avec votre consentement. »
- Responsable : « Pour toute question, communiquez avec notre responsable de la protection des renseignements personnels, dont les coordonnées figurent sur cette page. »
- Mise à jour : « Dernière révision : [date]. »
Cas fictifs de PME québécoises
Un cabinet de comptabilité à Québec
Le cabinet a un site vitrine avec formulaire de contact et un portail de dépôt de documents fourni par un tiers. Sa politique d'origine, copiée sur un site français, ne mentionnait ni le portail ni l'hébergement. La correction a consisté à inventorier les flux, nommer le fournisseur du portail et désigner un responsable.
Une boutique en ligne à Montréal
La boutique utilisait deux pixels publicitaires et une infolettre. La politique parlait seulement des « cookies ». Après inventaire, elle décrit maintenant les outils, leur finalité et la façon de gérer le consentement.
Un plombier à Gatineau
Un site simple, avec un formulaire de soumission. La politique tient sur une page courte : ce qui est collecté, pourquoi, qui y a accès, comment joindre le responsable. Preuve qu'une politique courte et fidèle vaut mieux qu'un texte long et inexact. Ces trois cas sont fictifs.
Ce que la politique ne remplace pas
Une politique est un document de transparence. Elle ne remplace pas : la désactivation par défaut des technologies de profilage (CAI), l'évaluation des facteurs relatifs à la vie privée avant un projet de système d'information ou une communication hors Québec, le registre des incidents, ni la sécurité technique du site. Les risques d'une absence de démarche sont décrits dans notre article sur les sanctions prévues par la Loi 25 pour une PME, avec les plafonds exprimés comme des maximums et non comme des attentes.
Par où commencer
- Faites l'inventaire de vos collectes et de vos outils tiers.
- Rédigez en langage clair les rubriques du tableau ci-dessus.
- Faites relire par un avocat en protection des renseignements personnels.
- Publiez, liez depuis le pied de page et les formulaires, datez.
- Révisez à chaque changement et au moins une fois par an.
Si vous souhaitez que quelqu'un vérifie le côté technique, de l'inventaire des flux à la cohérence avec le bandeau, appelez-nous au 1 (888) 711-9428.
Le rapport écrit complet est livré dans les 7 jours ouvrables suivant la consultation. Si des problèmes sont trouvés, une deuxième rencontre sans frais permet d'en discuter librement. Ce service ne constitue pas un avis juridique.
Réserver ma consultation de 1 h: 1 499 $Questions fréquentes
Une politique de confidentialité est-elle obligatoire sur mon site ?
Les sources que nous avons consultées ne s'accordent pas sur le contenu exact et sur l'obligation de la publier en ligne. Nous la présentons comme une bonne pratique et une attente courante, à faire valider par un avocat spécialisé.
Puis-je copier la politique d'un concurrent ?
Ce n'est pas recommandé : elle décrit ses outils et ses pratiques, pas les vôtres. Une politique inexacte est pire qu'une politique simple mais fidèle.
Que doit contenir une politique de confidentialité ?
Typiquement : les renseignements collectés, les finalités, les outils tiers, la durée de conservation, les droits d'accès et de rectification, le responsable et ses coordonnées. Cette liste est une bonne pratique, pas une liste légale validée.
À quelle fréquence la mettre à jour ?
À chaque changement d'outil, de formulaire ou de pratique, et au moins une fois par an.
Votre service garantit-il que mon site est conforme ?
Non. Ce service ne constitue pas un avis juridique et ne garantit pas la conformité légale. Nous corrigeons et documentons les éléments techniques du mandat signé.