Niveau de preuve : C — faits vérifiés aux sources officielles. Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1, Légis Québec, à jour au 15 octobre 2026) et pages et guides de la Commission d’accès à l’information (CAI), consultés le 2 novembre 2026. Cette page n’est pas un avis juridique ; aucun verdict personnel, seulement des faits avec leur source.
En bref. Le site web d’une entreprise québécoise qui recueille des renseignements personnels par un moyen technologique doit afficher quatre choses, selon la Loi sur la protection des renseignements personnels dans le secteur privé : le titre et les coordonnées du responsable de la protection des renseignements personnels (art. 3.1), des informations sur ses politiques et pratiques de gouvernance (art. 3.2), une politique de confidentialité en termes simples et clairs (art. 8.2), et, si le site recourt à une technologie qui permet d’identifier, de localiser ou de profiler un visiteur, l’information sur cette technologie et le moyen de l’activer, ces fonctions n’étant pas activées par défaut (art. 8.1). Chaque formulaire informe en plus au moment de la collecte (art. 8) et demande son consentement à part (art. 14). Avant toute communication hors du Québec, une évaluation des facteurs relatifs à la vie privée est requise (art. 17). Niveau de preuve C : faits vérifiés aux sources officielles. Cette page ne porte aucun tableau de données : ce résumé ne cite donc que des numéros d’articles de loi, et aucun montant. Elle n’est pas un avis juridique ; les dates exactes d’entrée en vigueur et les montants d’amendes restent marqués « à vérifier » par la page.
La réponse courte : le site web d’une entreprise québécoise qui recueille des renseignements personnels doit afficher quatre choses selon la Loi 25 : le titre et les coordonnées du responsable de la protection des renseignements personnels (art. 3.1), des renseignements sur ses politiques et pratiques de gouvernance (art. 3.2), une politique de confidentialité en termes simples et clairs (art. 8.2), et, s’il utilise une technologie qui permet d’identifier, de localiser ou de profiler un visiteur, l’information sur cette technologie et le moyen de l’activer, ces fonctions étant désactivées par défaut (art. 8.1). Chaque formulaire, lui, doit informer au moment de la collecte (art. 8).
1. Le responsable de la protection des renseignements personnels
Par défaut, c’est la personne qui a la plus haute autorité dans l’entreprise ; elle peut déléguer la fonction par écrit (art. 3.1). Son titre et ses coordonnées sont publiés sur le site web de l’entreprise. La page de la CAI sur le sujet ne mentionne pas le nom de la personne parmi ce qui doit être publié, et précise qu’il n’est pas nécessaire d’aviser la Commission. Sans site web, l’entreprise informe le public par un autre moyen approprié.
En pratique : une ligne « Responsable de la protection des renseignements personnels : direction générale, confidentialite@votreentreprise.ca » dans la politique de confidentialité et la page contact remplit l’exigence de publication.
Sources : Légis Québec, P-39.1, art. 3.1 ; CAI, Responsabilité des entreprises (page non datée). Consultées le 2 novembre 2026.
2. Les politiques de gouvernance
L’article 3.2 oblige l’entreprise à adopter des politiques et pratiques qui encadrent la conservation et la destruction des renseignements, les rôles et responsabilités du personnel, et le traitement des plaintes. Elles sont proportionnées à la taille et aux activités de l’entreprise, et des informations détaillées sur ces politiques sont publiées en termes simples et clairs sur le site web.
La CAI distingue ce document de la politique de confidentialité : la gouvernance encadre l’interne (qui a accès, combien de temps on garde, comment on détruit, comment on traite une plainte) ; la politique de confidentialité s’adresse aux visiteurs.
Sources : Légis Québec, P-39.1, art. 3.2 ; CAI, Rédiger une politique de confidentialité, guide explicatif pour les entreprises (décembre 2023), section 1.2. Consultés le 2 novembre 2026.
3. La politique de confidentialité
Une entreprise qui recueille des renseignements personnels par un moyen technologique publie sur son site une politique de confidentialité rédigée en termes simples et clairs, et y diffuse aussi tout avis de modification (art. 8.2). Selon la CAI, cette publication est obligatoire dès qu’il y a collecte par un moyen technologique : un formulaire de contact suffit.
Le guide de la CAI de décembre 2023 suggère d’y inclure :
- le nom de l’entreprise, la date d’entrée en vigueur et la date de dernière mise à jour ;
- les moyens de collecte (formulaires, courriels, témoins, applications) et les tiers qui recueillent pour l’entreprise ;
- les renseignements recueillis, par catégorie, et les fins de la collecte ;
- les moyens de refuser certaines collectes et leurs conséquences ;
- les catégories de personnes qui ont accès aux renseignements, les communications à des tiers et la possibilité d’une communication hors du Québec ;
- les droits d’accès, de rectification et de plainte.
Le guide classe comme facultatifs la description des mesures de sécurité et le nom du responsable. Il ajoute que la politique est aussi diffusée là où la collecte a lieu, par exemple par un lien avant une commande en ligne.
Sources : Légis Québec, P-39.1, art. 8.2 ; CAI, guide explicatif (décembre 2023), sections 1.1 et 2 ; CAI, Collecte de renseignements personnels (page non datée). Consultés le 2 novembre 2026.
4. Les témoins (cookies) et les technologies de profilage
Deux articles se croisent ici, et ils ne disent pas la même chose :
- Art. 8.1 : avant de recueillir des renseignements au moyen d’une technologie qui permet d’identifier, de localiser ou d’effectuer un profilage d’une personne, l’entreprise l’informe du recours à cette technologie et des moyens offerts pour activer ces fonctions. La loi définit le profilage comme la collecte et l’utilisation de renseignements pour évaluer certaines caractéristiques d’une personne (rendement au travail, situation économique, santé, préférences, intérêts, comportement). La CAI en tire que ces fonctions ne peuvent pas être activées par défaut : la personne doit les activer elle-même.
- Art. 9.1 : les paramètres de confidentialité d’un produit ou service technologique offert au public doivent assurer par défaut le plus haut niveau de confidentialité. Le même article exclut expressément les paramètres de confidentialité d’un témoin de connexion.
Pour un site de PME, ça se traduit ainsi, selon les pages de la CAI :
- les témoins nécessaires au fonctionnement du site (session, panier) sont mentionnés dans la politique de confidentialité ;
- les témoins et outils qui profilent le visiteur (publicité ciblée, reciblage, analyse comportementale qui évalue ses préférences) relèvent de l’art. 8.1 : information préalable et activation par la personne ;
- le visiteur doit pouvoir refuser les témoins, quitte à ce que certaines fonctions soient limitées (guide de décembre 2023, section 2.2).
Une fenêtre de paramétrage des témoins est citée en exemple par la CAI dans son guide (section 1.2). Ce que doit afficher cette fenêtre, bouton par bouton, n’est pas fixé par la loi : les lignes directrices sur le consentement demandent que refuser soit aussi facile qu’accepter et qu’aucun choix ne soit mis en évidence au détriment de l’autre (Lignes directrices 2023-1, p. 13).
Sources : Légis Québec, P-39.1, art. 8.1 et 9.1 ; CAI, page Collecte de renseignements personnels ; CAI, guide explicatif (décembre 2023). Consultés le 2 novembre 2026.
5. Les formulaires du site
Chaque formulaire (contact, soumission, infolettre, inscription) est un point de collecte. Au moment de la collecte, l’entreprise informe la personne des fins, des moyens, de ses droits d’accès et de rectification, de son droit de retirer son consentement et, le cas échéant, des tiers et de la possibilité d’une communication hors du Québec (art. 8). Quand le formulaire demande un consentement, il le demande à part, une case par fin (art. 14).
Le détail, avec des modèles de formulation et l’hébergement des réponses chez Fillout, Tally, Jotform et Typeform : voir notre page sur le formulaire de consentement Loi 25.
6. Si les données sortent du Québec
Un site hébergé hors du Québec, une infolettre envoyée par un service américain, un formulaire hébergé en Europe : avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise réalise une évaluation des facteurs relatifs à la vie privée (art. 17), et la communication fait l’objet d’une entente écrite. La possibilité de cette communication est aussi mentionnée au visiteur (art. 8).
Pour savoir où vos outils hébergent leurs données, voir Loi 25 : où sont hébergées les données de vos outils SaaS et Quels hébergeurs WordPress ont un centre de données au Canada.
Dates d’entrée en vigueur et sanctions
Selon la page de la CAI sur les principaux changements de la Loi 25 : les nouvelles règles sur le consentement, l’EFVP avant une communication hors Québec, les politiques et pratiques des entreprises et les obligations de transparence lors de la collecte sont en vigueur depuis septembre 2023 ; le droit à la portabilité depuis le 22 septembre 2024. La même page indique que les sanctions administratives pécuniaires pourraient atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et que la Commission peut intenter des poursuites pénales.
Source : CAI, Principaux changements de la Loi 25 (page non datée), consultée le 2 novembre 2026.
Liste de vérification pour le site
- [ ] Titre et coordonnées du responsable publiés (art. 3.1)
- [ ] Informations sur les politiques de gouvernance publiées (art. 3.2)
- [ ] Politique de confidentialité en termes simples, datée, liée depuis chaque page et chaque formulaire (art. 8.2)
- [ ] Témoins de profilage, publicité ciblée et reciblage inactifs tant que le visiteur ne les active pas (art. 8.1)
- [ ] Refuser les témoins aussi facile qu’accepter (CAI, Lignes directrices 2023-1)
- [ ] Chaque formulaire informe au moment de la collecte (art. 8) et demande son consentement à part (art. 14)
- [ ] EFVP faite pour chaque outil qui héberge hors du Québec (art. 17)
À vérifier
- La date exacte d’entrée en vigueur de chaque obligation : la page de la CAI consultée donne le mois (septembre 2023), pas le jour.
- Les montants maximaux d’amendes pénales : non indiqués sur la page de la CAI consultée ; à relever dans la loi.
À lire aussi
- Loi 25 : où sont hébergées les données de vos outils SaaS
- Loi 25 et IA générative : ce que la Commission d’accès à l’information attend d’une PME
- Loi canadienne anti-pourriel : ce que la LCAP exige d’une PME qui envoie une infolettre
Divulgation d’affiliation. Ce site peut toucher une commission si vous vous abonnez à un outil par un de nos liens. Ça ne change ni les prix affichés, ni le contenu de cette page.