Niveau de preuve : C — faits vérifiés à la source, outils non testés par nous. Dernière vérification : 20 septembre 2026.
En bref. Ça dépend entièrement de ce que vous moissonnez. Les coordonnées professionnelles — nom, fonction, adresse et courriel au travail — sont exclues des sections II et III de la loi 25 (art. 1, 3e alinéa) : les récolter n’enclenche pas le régime du consentement. Dès qu’il s’agit de renseignements personnels, la loi 25 s’applique au complet, avec des sanctions administratives jusqu’à 10 M$ CA ou 2 % du chiffre d’affaires mondial. Le texte et les photos restent protégés par la Loi sur le droit d’auteur, indépendamment de tout ça. Et contourner une protection technique d’accès tombe sous l’article 342.1 du Code criminel : dix ans d’emprisonnement au maximum.
Le critère mesurable de cette page : chaque affirmation juridique renvoie à l’article de loi, au règlement ou à la décision officielle qui la porte, avec l’URL et la date de consultation. Dix-neuf sources officielles ont été ouvertes le 20 septembre 2026. Rien n’est cité de mémoire ; quand un texte officiel ne répond pas, on écrit « à vérifier ». La question n’a pas de réponse unique : le moissonnage fait intervenir au moins quatre corps de règles — protection des renseignements personnels au Québec, loi fédérale équivalente, droit d’auteur, droit criminel — qui ne se déclenchent pas dans les mêmes situations.
Le tableau : quelle règle s’applique à quoi
| Ce que vous moissonnez | Texte applicable | Ce que le texte exige | Sanction prévue au texte |
|---|---|---|---|
| Renseignements personnels, entreprise du Québec | Loi P-39.1, art. 4, 5, 8, 12, 14 | Fins déterminées avant la collecte, collecte limitée au nécessaire, information de la personne, consentement « manifeste, libre, éclairé » | SAP jusqu’à 10 000 000 $ CA ou 2 % du chiffre d’affaires mondial (art. 90.12) ; amende de 15 000 $ CA à 25 000 000 $ CA ou 4 % (art. 91) |
| Renseignements personnels, activité commerciale fédérale | LPRPDE, art. 4(1), 5(3), 7 | Fins qu’une personne raisonnable estimerait acceptables ; consentement sauf exception réglementaire | à vérifier |
| Nom, fonction, adresse, courriel et téléphone du lieu de travail | P-39.1, art. 1, 3e alinéa | Les sections II et III ne s’appliquent pas à ces renseignements | sans objet |
| Renseignement personnel « à caractère public en vertu de la loi » | P-39.1, art. 1, 3e alinéa | Les sections II et III ne s’appliquent pas | sans objet |
| Renseignement figurant dans un annuaire, un répertoire professionnel, un registre public, un dossier judiciaire ou une publication | Règlement DORS/2001-7, art. 1 a) à e) | Consentement non requis si l’usage est directement lié à la raison pour laquelle le renseignement s’y trouve | sans objet dans ces limites |
| Texte, photos, descriptions de produits | Loi sur le droit d’auteur, art. 2, 3(1), 5(1) | Droit exclusif de reproduire « la totalité ou une partie importante de l’oeuvre » | à vérifier |
| Accès obtenu frauduleusement à un service d’ordinateur | Code criminel, art. 342.1(1) | Interdiction d’obtenir frauduleusement et sans apparence de droit des services d’ordinateur | dix ans d’emprisonnement au maximum |
Sources : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1 et https://laws-lois.justice.gc.ca/fra/lois/p-8.6/page-1.html, consultées le 20 septembre 2026. Les autres URL sont citées ci-dessous.
Donnée personnelle ou pas : la question qui commande le reste
L’article 2 de la loi P-39.1 : « Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier. » La LPRPDE, à son article 2(1) : « tout renseignement concernant un individu identifiable ».
Deux conséquences. D’abord « indirectement » : un identifiant qui ne dit pas le nom mais qui, recoupé, mène à une personne reste un renseignement personnel. Ensuite, les deux définitions visent une personne physique. Un prix, une fiche technique, un horaire d’ouverture ne concernent aucune personne physique identifiable ; moissonner ces données-là ne déclenche ni la loi 25 ni la LPRPDE. Le droit d’auteur et le droit des contrats, eux, restent en jeu.
La Commission d’accès à l’information décrit le champ d’application : la loi vise les renseignements que l’entreprise « collecte, détient, utilise ou communique à des tiers », et ne s’applique pas au matériel journalistique, historique ou généalogique « à une fin d’information légitime du public » (https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/champ-application-loi_entreprises, consultée le 20 septembre 2026).
L’exclusion B2B de l’article 1
L’article 1, troisième alinéa, de la loi P-39.1 contient une exclusion souvent ignorée : « Les sections II et III de la présente loi ne s’appliquent pas à un renseignement personnel qui a un caractère public en vertu de la Loi. Elles ne s’appliquent pas non plus aux renseignements personnels qui concernent l’exercice par la personne concernée d’une fonction au sein d’une entreprise, tels que son nom, et sa fonction, de même que l’adresse, l’adresse de courrier électronique et le numéro de téléphone de son lieu de travail. » (https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:1, consultée le 20 septembre 2026.)
Les sections II et III portent sur la collecte, la détention, l’utilisation et la communication. Ce que le texte ne dit pas : que le reste de la loi cesse de s’appliquer. L’exclusion vise deux sections nommées, pas la loi entière. La portée qui reste, pour un fichier de contacts d’affaires moissonné : à vérifier.
« Accessible au public » : le mot ne veut pas dire ce qu’on pense
« Accessible au public » n’est pas un fait technique — « c’était en ligne, sans mot de passe » — mais une catégorie juridique fermée.
Au fédéral, la LPRPDE permet la collecte sans consentement quand « il s’agit d’un renseignement réglementaire auquel le public a accès » (art. 7(1)d), repris à 7(2)c.1) et 7(3)h.1)). Le mot « réglementaire » renvoie au Règlement DORS/2001-7, dont l’article 1 énumère cinq catégories et cinq seulement : a) annuaire téléphonique public, si l’abonné pouvait refuser d’y figurer ; b) répertoire ou avis à caractère professionnel ou d’affaires accessible au public ; c) registre public constitué aux termes d’une autorisation législative ; d) dossier d’un organisme judiciaire ou quasi judiciaire accessible au public ; e) publication imprimée ou électronique accessible au public, « si l’intéressé a fourni les renseignements ». Les catégories b) à d) portent toutes la même condition : « si la collecte, l’utilisation et la communication de ces renseignements sont directement liées à la raison pour laquelle ils figurent » dans la source (https://laws-lois.justice.gc.ca/fra/reglements/DORS-2001-7/page-1.html, consultée le 20 septembre 2026).
Un profil de réseau social, une page d’avis clients, un forum, un site d’entreprise ne figurent dans aucune de ces cinq catégories. L’enquête conjointe sur Clearview AI, menée par le Commissariat fédéral avec la CAI du Québec et ses homologues de la Colombie-Britannique et de l’Alberta, publiée le 3 février 2021, retient que les renseignements recueillis sur des sites publics à des fins sans lien avec leur publication « ne relèvent pas de l’exception prévue par la LPRPDE […] concernant les renseignements « auxquels le public a accès » », et les pages de réseaux sociaux « diffèrent considérablement des sources désignées dans le règlement ».
Sur le volet québécois, la même décision retient qu’« aucune loi au Québec ne confère un caractère public aux renseignements personnels du seul fait qu’ils sont diffusés sur les réseaux sociaux » (https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/enquetes-visant-les-entreprises/2021/lprpde-2021-001/, consultée le 20 septembre 2026). « À caractère public en vertu de la loi » exige donc une loi qui donne ce caractère : la mise en ligne par un tiers ne suffit pas.
Deux énoncés conjoints internationaux répètent la position. Celui du 24 août 2023 : « les renseignements personnels qui sont « publics », « accessibles au public » ou « de nature publique » […] sont assujettis aux lois sur la protection des données ». Il note aussi qu’un moissonnage massif peut, dans plusieurs juridictions, constituer pour le site moissonné une atteinte à la sécurité à déclarer (https://www.priv.gc.ca/fr/nouvelles-du-commissariat/discours-et-declarations/2023/js-dc_20230824/). L’énoncé final du 28 octobre 2024, signé par seize autorités dont le Canada, ajoute qu’une autorisation contractuelle de moissonner « cannot in and of themselves, render such scraping lawful » (https://www.priv.gc.ca/en/opc-news/speeches-and-statements/2024/js-dc_20241028/). Les deux consultés le 20 septembre 2026.
Le consentement, tel qu’il est écrit
L’article 14 de la loi P-39.1 fixe la norme : « Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. » L’article 4 exige que les fins soient déterminées avant la collecte. L’article 5 la limite : « La personne qui recueille des renseignements personnels sur autrui ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte. » L’article 8 impose d’informer la personne des fins, des moyens et de ses droits d’accès et de rectification.
L’article 12 prévoit cinq usages sans consentement à l’intérieur de l’entreprise. Le cinquième est le plus souvent invoqué en recherche : l’usage est permis « lorsque son utilisation est nécessaire à des fins d’étude, de recherche ou de production de statistiques et qu’il est dépersonnalisé » — soit « lorsque ce renseignement ne permet plus d’identifier directement la personne concernée ». Le texte impose aussi des mesures raisonnables contre la réidentification (https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:12, consultée le 20 septembre 2026). Noter la mécanique : l’article 12 encadre l’utilisation, pas la collecte initiale.
L’article 8.1 ajoute une information préalable obligatoire quand la collecte se fait « en ayant recours à une technologie comprenant des fonctions permettant de l’identifier, de la localiser ou d’effectuer un profilage ». Il définit le profilage comme « la collecte et l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques d’une personne physique, notamment à des fins d’analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement » (https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:8_1, consultée le 20 septembre 2026).
Au fédéral, l’article 5(3) de la LPRPDE pose un plafond indépendant du consentement : « L’organisation ne peut recueillir, utiliser ou communiquer des renseignements personnels qu’à des fins qu’une personne raisonnable estimerait acceptables dans les circonstances. » Le Commissariat en tire, le 24 mai 2018, six pratiques inacceptables, dont la collecte par ailleurs illégale et le profilage menant à un traitement injuste ou discriminatoire (https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/collecte-de-renseignements-personnels/consentement/gd_53_201805/, consultée le 20 septembre 2026).
Les conditions d’utilisation : un contrat, pas une loi
Les conditions d’utilisation d’un site relèvent du droit des contrats, pas des lois sur la vie privée. Aucun des textes ouverts pendant cette session ne traite de leur force exécutoire contre un moissonneur. Seul l’inverse est vérifié : l’énoncé conjoint du 28 octobre 2024 dit qu’une permission contractuelle de moissonner ne rend pas à elle seule le moissonnage licite. La réciproque — une interdiction contractuelle rend-elle le moissonnage illicite, et avec quelles conséquences au Québec — est à vérifier.
Le contournement d’une mesure technique sort du contrat. L’article 342.1(1) du Code criminel vise quiconque, « frauduleusement et sans apparence de droit », obtient des services d’ordinateur ; l’infraction est passible d’un emprisonnement maximal de dix ans (https://laws-lois.justice.gc.ca/fra/lois/c-46/section-342.1.html, consultée le 20 septembre 2026). Son application au moissonnage : à vérifier, aucune décision officielle n’a été ouverte.
Droit d’auteur : le contenu, oui ; les faits bruts, c’est plus flou
La Loi sur le droit d’auteur définit la compilation à son article 2 : « les oeuvres résultant du choix ou de l’arrangement de tout ou partie d’oeuvres littéraires, dramatiques, musicales ou artistiques ou de données ». Une base de données peut donc, comme compilation, être une oeuvre. L’article 5(1) pose la condition : le droit d’auteur existe « sur toute oeuvre littéraire, dramatique, musicale ou artistique originale ». L’article 3(1) en définit l’étendue : « le droit exclusif de produire ou reproduire la totalité ou une partie importante de l’oeuvre » (https://laws-lois.justice.gc.ca/fra/lois/c-42/page-1.html et https://laws-lois.justice.gc.ca/fra/lois/c-42/page-2.html, consultées le 20 septembre 2026).
Trois choses en découlent, une quatrième manque. Copier des descriptions rédigées, des photos ou des textes met en jeu l’article 3(1). Le seuil n’est pas « une ligne » mais « une partie importante ». La protection suppose l’originalité au sens de l’article 5(1). Ce qui manque : le sens judiciaire du mot « originale » appliqué à une base de faits bruts — prix, adresses, codes de produits. C’est à vérifier ; la décision de référence n’a pas pu être ouverte sur un site officiel, et on ne cite pas une décision qu’on n’a pas lue. L’existence au Canada d’un droit sui generis sur les bases de données, comparable au régime européen, est aussi à vérifier : rien de tel n’a été lu, mais une absence constatée dans deux pages n’est pas une confirmation officielle.
Les sanctions de la loi 25, lues dans le texte
La loi 25 est la « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », selon l’intitulé donné par la CAI le 22 septembre 2023 (https://www.cai.gouv.qc.ca/actualites/dispositions-loi-25-entrent-en-vigueur-aujourdhui, consultée le 20 septembre 2026). Elle modifie la loi P-39.1 ; les sanctions se lisent dans P-39.1.
- Sanctions administratives pécuniaires, art. 90.12 : maximum de 50 000 $ CA pour une personne physique et, dans les autres cas, de 10 000 000 $ CA ou 2 % du chiffre d’affaires mondial de l’exercice précédent, le plus élevé des deux s’appliquant.
- Dispositions pénales, art. 91 : amende de 5 000 $ CA à 100 000 $ CA pour une personne physique et, dans les autres cas, de 15 000 $ CA à 25 000 000 $ CA ou 4 % du chiffre d’affaires mondial de l’exercice précédent, si ce montant est plus élevé.
- Dommages-intérêts punitifs, art. 93.1 : lorsqu’une atteinte illicite à un droit conféré par la loi ou par les articles 35 à 40 du Code civil cause un préjudice et qu’elle est intentionnelle ou résulte d’une faute lourde, « le tribunal accorde des dommages-intérêts punitifs d’au moins 1 000 $ ».
Sources : https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:90_12, https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:91, https://www.legisquebec.gouv.qc.ca/fr/version/lc/P-39.1?code=se:93_1. La CAI décrit l’entrée en vigueur en trois temps : septembre 2022, septembre 2023, puis 22 septembre 2024 pour la portabilité (https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25). Toutes consultées le 20 septembre 2026.
Ce qui reste à vérifier
- Le montant maximal des sanctions prévues par la LPRPDE : non lu à la source.
- Le sens judiciaire du mot « originale » (art. 5(1), Loi sur le droit d’auteur) appliqué aux compilations de faits bruts : le site officiel des décisions de la Cour suprême a renvoyé une erreur 403.
- L’existence d’un droit sui generis sur les bases de données au Canada.
- La force exécutoire, au Québec, des conditions d’utilisation d’un site contre un moissonneur.
- L’application de l’article 342.1 du Code criminel au moissonnage.
- Une orientation de la CAI portant sur le moissonnage par une entreprise privée, hors dossier Clearview AI : non trouvée.
- La portée du reste de la loi P-39.1 sur les coordonnées professionnelles, une fois retirées les sections II et III par l’article 1.
- Le seuil à partir duquel un moissonnage subi constitue, pour le site moissonné au Québec, un incident de confidentialité à déclarer.
- Le nombre et le montant des sanctions administratives pécuniaires imposées par la CAI depuis 2023.
Méthode
Les textes ont été lus le 20 septembre 2026 : sur Légis Québec pour la loi P-39.1 ; sur le site des Lois du Canada pour la LPRPDE, le règlement DORS/2001-7, la Loi sur le droit d’auteur et le Code criminel ; sur priv.gc.ca pour les conclusions d’enquête et les énoncés conjoints ; sur cai.gouv.qc.ca pour le champ d’application et le calendrier de la loi 25. Chaque URL figure au fil du texte avec sa date de consultation.
Ce que cette page ne fait pas. Elle ne dit pas si votre projet de moissonnage est légal : elle expose ce que les textes disent et nomme ce qu’ils ne disent pas. Aucun outil n’a été testé, aucun verdict ni aucune recommandation n’y figure. Ce qui n’a pas pu être appuyé sur une source officielle ouverte pendant cette session est marqué « à vérifier ». Cette page n’est pas un avis juridique et ne remplace pas un avocat. Pour une situation réelle, consultez un avocat membre du Barreau du Québec.
Une source à corriger : info@outilspme.ca.
À lire aussi
- Loi 25 et IA générative : ce que la Commission d’accès à l’information attend d’une PME — ce que la Commission d’accès à l’information attend d’une PME qui utilise l’IA
- Loi 25 : où sont hébergées les données de vos outils SaaS — où sont hébergées les données de vos outils, tableau à l’appui
- Extraire des données d’un site web sans coder : Excel, Google Sheets ou Browse AI, ce que chacun fait — et en pratique : extraire des données d’un site sans coder
- Browse AI ou Firecrawl : ce que coûte l’extraction de données web, crédit par crédit — Browse AI ou Firecrawl : les deux outils d’extraction comparés
Ce site peut toucher une commission si vous vous abonnez à un outil par un de nos liens. Ça ne change ni les prix affichés, ni le contenu de cette page, qui ne contient aucune recommandation.