Responsable de la protection des renseignements personnels : quoi publier sur votre site
Ce que la CAI exige sur le site
Parmi les obligations de la Loi 25, l'une est particulièrement visible : la Commission d'accès à l'information (CAI) indique que le titre et les coordonnées du responsable de la protection des renseignements personnels doivent être publiés sur le site Web de l'entreprise, ou par un autre moyen approprié si l'entreprise n'a pas de site. C'est l'une des rares exigences dont l'application se vérifie en quelques secondes, par n'importe quel visiteur.
La loi s'applique à toutes les entreprises privées qui collectent des renseignements personnels, sans exemption pour les PME. Selon une étude préliminaire de 2023 du GRIC de Sherbrooke, seulement environ 5 % des PME avaient publié les informations requises sur leur site. C'est une étude ancienne et préliminaire, à lire comme un indice, pas comme un portrait actuel. Les dates de mise en vigueur sont sur Québec.ca : à partir du 22 septembre 2022, la plupart des dispositions depuis le 22 septembre 2023.
Qui désigner dans une PME ?
Le choix de la personne vous appartient. Pour une PME de dix employés, c'est souvent la direction elle-même ou une personne de confiance à l'administration. Par bonne pratique, consignez ce choix par écrit; les modalités exactes (par exemple une délégation) sont à faire valider par un juriste.
Critères pour choisir
- Une personne qui comprend les flux de données de l'entreprise (site, courriel, CRM, paie).
- Une personne disponible et joignable, avec une relève prévue en cas d'absence.
- Une personne qui a l'autorité de demander des correctifs à l'équipe et aux prestataires.
- Une personne qui peut documenter ses décisions.
Ce que cette personne fait au quotidien
Elle est le point de contact pour les demandes d'accès et de rectification, tient le registre des incidents, veille à l'évaluation des facteurs relatifs à la vie privée avant les projets de systèmes d'information et avant la communication de renseignements hors Québec (selon la CAI), et s'assure que les pratiques réelles du site correspondent à ce qui est publié.
Quoi publier, concrètement
| Élément | Statut | Exemple |
|---|---|---|
| Titre de la fonction | Exigé par la CAI | « Responsable de la protection des renseignements personnels » |
| Coordonnées | Exigées par la CAI | Courriel dédié, téléphone ou adresse postale |
| Nom de la personne | À confirmer avec un juriste | Selon votre préférence et vos pratiques |
| Délai de réponse indicatif | Bonne pratique | « Nous répondons dans un délai raisonnable » |
| Lien vers la politique de confidentialité | Bonne pratique | Voir plus bas |
| Procédure pour signaler un problème | Bonne pratique | Formulaire ou courriel dédié |
Où placer l'information sur le site
La CAI demande la publication sur le site, sans imposer un emplacement précis. Pour qu'elle soit trouvée facilement, voici les emplacements les plus utiles :
- Le pied de page de toutes les pages, avec un lien « Protection des renseignements personnels ».
- Une page dédiée, par exemple /protection-renseignements-personnels, avec le titre, les coordonnées et un lien vers la politique.
- Les formulaires : une mention courte, avec lien, sous le bouton d'envoi.
- La page « Contact », pour que les visiteurs s'y retrouvent naturellement.
Modèle de page à adapter
Voici une structure courte que vous pouvez adapter, après validation par un juriste :
- Titre de la page : Protection des renseignements personnels.
- Responsable : titre de la fonction (et nom, si vous choisissez de le publier).
- Nous joindre : courriel dédié, téléphone, adresse.
- Vos demandes : accès, rectification, questions sur vos renseignements.
- Documents liés : politique de confidentialité, gestion des témoins.
- Dernière mise à jour : date.
Consultation d'une heure par Google Meet : accès sécurisé et audit complet. Dans les jours suivants, sous mandat signé, nous mettons en place le volet Loi 25, puis nous livrons un rapport écrit complet dans les 7 jours ouvrables suivant la consultation.
Réserver ma consultation de 1 h: 1 499 $Les cinq erreurs fréquentes
1. Aucune mention sur le site
Le cas le plus fréquent. La personne est désignée en interne, mais rien n'est publié. Or l'exigence concerne la publication.
2. Un courriel qui rebondit
Une adresse qui n'existe plus ou qui arrive dans une boîte non surveillée, parce que l'employé est parti. Testez l'adresse chaque trimestre.
3. Une page cachée
Une page qui existe mais qu'aucun lien n'atteint, ou qui est exclue par erreur de l'indexation. Vérifiez l'accessibilité et les liens.
4. Des informations contradictoires
Une politique qui nomme une personne, une page de contact qui en nomme une autre. Gardez une source unique. Nous y revenons dans notre article sur la politique de confidentialité Loi 25.
5. Aucune relève
Quand le responsable est absent, qui répond ? Prévoyez un substitut et une adresse partagée.
Le responsable et les incidents
Le responsable est aussi le pivot de la gestion des incidents. Selon la CAI, en cas d'incident de confidentialité présentant un risque de préjudice sérieux, l'entreprise doit aviser la CAI et les personnes concernées, et tenir un registre des incidents, à fournir à la CAI sur demande. Plus les rôles sont clairs avant l'incident, plus la réaction est rapide.
Maintenir la fonction dans le temps
Publier une fois ne suffit pas. Un site évolue, des employés partent, des outils changent. Voici une routine simple, de type bonne pratique, qui garde la fonction vivante sans alourdir l'entreprise.
Chaque trimestre
Envoyez un courriel de test à l'adresse publiée et confirmez qu'il est reçu et lu. Vérifiez que le lien du pied de page fonctionne encore après les mises à jour du site. Passez en revue le registre des incidents, même s'il est vide, et notez la date de la révision.
À chaque changement
Si vous ajoutez un formulaire, un outil de clavardage, un pixel publicitaire ou un nouveau fournisseur, informez le responsable avant la mise en ligne. Selon la CAI, une évaluation des facteurs relatifs à la vie privée est requise avant les projets de systèmes d'information qui touchent des renseignements personnels, et avant la communication de renseignements hors Québec. Le responsable est la bonne personne pour porter ce dossier.
Chaque année
Relisez la page dédiée et la politique de confidentialité avec un juriste, mettez à jour la date, confirmez la relève et vérifiez que la délégation écrite est toujours valide. Un rappel dans le calendrier suffit pour que cette révision ne tombe pas dans l'oubli.
Quand un client écrit
Préparez une courte procédure interne : qui reçoit la demande, qui vérifie l'identité du demandeur, qui répond et dans quel délai interne. Sans procédure, une demande d'accès envoyée à une adresse générale peut rester sans réponse pendant des semaines, ce qui nuit à la confiance bien avant de poser un problème juridique.
Pourquoi un site technique solide compte ici
Un responsable désigné ne peut pas protéger un site qui fuit. Selon Patchstack, 11 334 nouvelles vulnérabilités WordPress ont été recensées en 2025, soit 42 % de plus qu'en 2024, dont environ 91 % dans des extensions. Et selon le rapport 2026 d'IBM, le coût moyen d'une violation de données au Canada a atteint un record de 7,11 M$ CA, une moyenne calculée sur les organisations étudiées par IBM, sans ventilation publiée pour les PME. Environ 22 % des PME canadiennes détiennent une assurance cyber, selon le Bureau d'assurance du Canada cité par Insurance Business en octobre 2026.
Ces chiffres ne sont pas des prédictions pour votre entreprise. Ils rappellent que le responsable a besoin d'un site à jour, de sauvegardes et d'accès contrôlés. Les mécanismes de sanction prévus sont expliqués, avec leurs plafonds, dans notre article sur les amendes prévues par la Loi 25 pour une PME.
Cas fictifs
Une firme d'ingénierie de 12 employés à Sherbrooke
La directrice générale a désigné la responsable administrative, publié le titre et un courriel dédié sur une page liée depuis le pied de page, et ajouté un registre d'incidents partagé.
Une clinique de physiothérapie à Longueuil
Le site collectait des renseignements via un formulaire de prise de rendez-vous. La clinique a désigné son propriétaire comme responsable, publié ses coordonnées et fait vérifier que le formulaire n'envoyait pas de données à des outils non déclarés.
Un commerce de détail à Trois-Rivières
Le commerce avait un courriel de contact général, jamais lu. Il l'a remplacé par une adresse dédiée, avec une relève, et teste maintenant l'envoi chaque trimestre. Ces trois cas sont fictifs.
Liste de vérification finale
- Un responsable est désigné, avec une délégation écrite si ce n'est pas la direction.
- Son titre et ses coordonnées sont publiés sur le site.
- La page est liée depuis le pied de page et indexable.
- L'adresse courriel est surveillée et testée chaque trimestre.
- Une relève est prévue en cas d'absence.
- Un registre d'incidents existe et est accessible au responsable.
- La politique de confidentialité et le bandeau de témoins sont cohérents avec la page.
- Un juriste spécialisé a relu le tout.
Pour les pratiques du bandeau, consultez notre guide sur le bandeau de cookies et la Loi 25. Si vous voulez qu'un tiers vérifie la publication, l'accessibilité de la page et la cohérence technique du site, appelez-nous au 1 (888) 711-9428.
Le rapport écrit complet est livré dans les 7 jours ouvrables suivant la consultation. Si des problèmes sont trouvés, une deuxième rencontre sans frais permet d'en discuter librement. Ce service ne constitue pas un avis juridique.
Réserver ma consultation de 1 h: 1 499 $Questions fréquentes
Dois-je publier le nom du responsable sur mon site ?
La CAI indique que le titre et les coordonnées doivent être publiés. Le titre suffit comme repère, et les coordonnées doivent permettre de joindre la personne. La question de publier ou non un nom propre est à confirmer avec un juriste.
Qui désigner comme responsable dans une PME ?
Le choix vous appartient; dans une PME, c'est souvent la direction ou une personne de confiance à l'administration. Par bonne pratique, consignez ce choix par écrit et faites valider les modalités par un juriste.
Que faire si je n'ai pas de site Web ?
La CAI mentionne un autre moyen approprié. Comme votre entreprise a un site, la publication s'y fait naturellement.
Une adresse courriel générique est-elle acceptable ?
Une adresse dédiée, surveillée et distincte de la boîte générale facilite le suivi. C'est une bonne pratique, pas une exigence que nous pouvons confirmer.
Votre service garantit-il que mon site est conforme ?
Non. Ce service ne constitue pas un avis juridique et ne garantit pas la conformité légale. Nous corrigeons et documentons les éléments techniques du mandat signé.