Niveau de preuve : C — faits vérifiés aux sources officielles. Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1, Légis Québec, à jour au 15 octobre 2026), Lignes directrices 2023-1 de la Commission d’accès à l’information (CAI) et pages d’aide officielles des éditeurs, consultées le 2 novembre 2026. Cette page n’est pas un avis juridique ; aucun verdict personnel, seulement des faits avec leur source.
En bref. Au Québec, un formulaire qui demande un consentement doit le demander en termes simples et clairs, à des fins spécifiques et, par écrit, à part de toute autre information (art. 14 de la Loi sur la protection des renseignements personnels dans le secteur privé). La Commission d’accès à l’information en tire huit critères de validité : manifeste, libre, éclairé, spécifique, granulaire, compréhensible, temporaire et distinct. Une case déjà cochée relève du consentement implicite, pas exprès, et il faut un choix par finalité. Côté outils, la page compare quatre éditeurs de formulaires — Fillout, Tally, Jotform et Typeform — et aucun des quatre ne publie d’hébergement des réponses au Canada par défaut : Fillout héberge aux États-Unis, Tally en Europe (Belgique), Jotform aux États-Unis ou dans l’Union européenne, et la région par défaut de Typeform n’est pas publiée sur les pages consultées. Niveau de preuve C : faits vérifiés aux sources officielles, aucun de ces outils n’a été testé ici. Trois points restent marqués « à vérifier » par la page elle-même : la présence d’un centre de données Jotform au Canada, la région par défaut des comptes Typeform non Enterprise, et la liste des sous-traitants de chaque outil. Cette page n’est pas un avis juridique.
La réponse courte : au Québec, un formulaire qui demande un consentement doit le demander en termes simples et clairs, à des fins précises, et à part de toute autre information quand la demande est écrite (art. 14 de la Loi sur le privé). La CAI ajoute qu’une case déjà cochée relève du consentement implicite, pas exprès, et qu’il faut un choix distinct par finalité. Côté outils, l’hébergement par défaut des réponses n’est au Canada chez aucun des quatre éditeurs vérifiés : Fillout héberge aux États-Unis par défaut, Tally en Europe (Belgique).
Ce que dit la loi
La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Les articles qui touchent directement un formulaire :
- Art. 4 et 5 : l’entreprise détermine les fins de la collecte avant de recueillir, et ne recueille que les renseignements nécessaires à ces fins.
- Art. 8 : au moment de la collecte, elle informe la personne des fins, des moyens de collecte, de ses droits d’accès et de rectification et de son droit de retirer son consentement. Selon le cas, elle nomme aussi le tiers pour qui la collecte est faite, les tiers ou catégories de tiers qui auront accès aux renseignements, et la possibilité que les renseignements soient communiqués hors du Québec.
- Art. 12 : un renseignement ne sert qu’aux fins pour lesquelles il a été recueilli, sauf consentement ; un renseignement sensible exige un consentement exprès.
- Art. 14 : le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé en termes simples et clairs, et, quand la demande est faite par écrit, présenté distinctement de toute autre information. Un consentement qui ne respecte pas la loi est sans effet.
Source : Légis Québec, RLRQ c. P-39.1, à jour au 15 octobre 2026, consultée le 2 novembre 2026.
Les huit critères de la CAI
Les Lignes directrices 2023-1 sur les critères de validité du consentement (CAI, version 1.0 du 31 octobre 2023) énumèrent huit critères. Les quatre premiers viennent de la loi ; les quatre suivants les précisent.
| Critère | Ce que la CAI en dit (résumé) | Page du document |
|---|---|---|
| Manifeste | Évident, traduit la volonté réelle ; exprès ou implicite | p. 11-12 |
| Libre | Choix réel, sans pression ; refuser aussi facile qu’accepter | p. 13-14 |
| Éclairé | La personne sait à quoi elle consent et ce que ça implique | p. 15-17 |
| Spécifique | Objet précis et circonscrit | p. 18 |
| Granulaire | Demandé séparément pour chaque fin visée | p. 19 |
| Compréhensible | Termes simples et clairs, vocabulaire courant | p. 20-21 |
| Temporaire | Vaut pour la durée nécessaire seulement | p. 21-22 |
| Distinct | Par écrit, présenté à part des autres informations | p. 22-23 |
Source : CAI, Lignes directrices 2023-1, consultées le 2 novembre 2026.
Ce qu’un formulaire de consentement doit contenir
Cette liste découle des articles 8 et 14 de la loi et des lignes directrices de la CAI. Elle ne remplace pas une analyse propre à votre entreprise.
- La fin, en une phrase concrète. « Recevoir notre infolettre mensuelle », pas « améliorer nos services ». La CAI demande d’éviter le jargon juridique et les formulations hypothétiques (p. 20-21).
- Les renseignements visés. Seulement ceux qui sont nécessaires à cette fin (art. 5). La CAI rappelle que le critère de nécessité passe avant le consentement : on ne demande pas de consentir à une collecte qui n’est pas nécessaire.
- Les tiers qui y auront accès, et la possibilité d’une communication hors du Québec si l’outil de formulaire héberge les réponses ailleurs (art. 8). C’est ici que l’hébergement de l’outil, plus bas, devient une mention obligatoire.
- Une case par finalité, non cochée. La CAI décrit une case précochée qu’on peut décocher comme un consentement implicite, et non exprès (p. 11). Elle demande un choix distinct pour chaque fin et pour chaque tiers (p. 19).
- Le droit de retirer son consentement, et comment. Le retrait se fait en tout temps ; la CAI recommande un mécanisme simple et note qu’un retrait qui demande beaucoup plus d’efforts que l’acceptation peut nuire au caractère libre (p. 14).
- La durée. Délimitée à l’avance par un délai ou un événement (p. 21). La durée du consentement ne se confond pas avec le délai de conservation des renseignements.
- La demande à part. Par écrit, elle est présentée séparément des conditions d’utilisation, de la politique de confidentialité et de la signature (p. 22).
- Le reste en deuxième couche. La CAI propose une approche par couches : la fin, les renseignements et les tiers au premier niveau ; le reste derrière un lien « En savoir plus » ou dans la politique de confidentialité (p. 16).
Renseignement sensible (santé, biométrie, finances, ou contexte qui suscite une forte attente de vie privée) : le consentement doit être exprès, donc un geste positif ou une déclaration (art. 12 ; CAI p. 12). Personne de moins de 14 ans : le consentement est donné par le titulaire de l’autorité parentale (CAI p. 15).
Modèle de formulation (exemple, à adapter)
Infolettre. Nous utilisons votre adresse courriel pour vous envoyer notre infolettre mensuelle. Les réponses à ce formulaire sont hébergées par [nom de l’outil], aux [pays]. Vous pouvez retirer votre consentement en tout temps par le lien de désabonnement de chaque envoi. ☐ J’accepte de recevoir l’infolettre.
Rappel de rendez-vous par texto. Nous utilisons votre numéro de cellulaire pour vous envoyer un rappel la veille de votre rendez-vous. ☐ J’accepte de recevoir ce rappel.
Deux fins, deux cases, aucune cochée d’avance. Pour une infolettre, la Loi canadienne anti-pourriel (LCAP) ajoute ses propres exigences de consentement et de désabonnement : voir ce que la LCAP exige d’une PME qui envoie une infolettre.
Où les outils de formulaires hébergent les réponses
L’article 8 oblige à dire si les renseignements peuvent sortir du Québec, et l’article 17 exige une évaluation des facteurs relatifs à la vie privée (EFVP) avant de les communiquer à l’extérieur du Québec. Le lieu d’hébergement de l’outil n’est donc pas un détail technique. Relevé sur les pages officielles des éditeurs le 2 novembre 2026 :
| Outil | Hébergement par défaut | Autre région offerte | Canada |
|---|---|---|---|
 Fillout | États-Unis | Union européenne, forfaits Team et Enterprise seulement | non mentionné |
 Tally | Europe (Google Cloud, Belgique) | aucune mentionnée | non mentionné |
| Jotform | États-Unis et/ou Union européenne (comptes standard) | résidence locale des données avec Jotform Enterprise | à vérifier auprès de l’éditeur |
 Typeform | non publié sur les pages consultées | centre de données de réponses UE pour les clients Enterprise | non mentionné |
Sources : Fillout, Deployment region (non datée) ; Tally, GDPR (non datée) ; Jotform, Data Hosting Location (réponse du 2 mars 2026, rédigée par l’assistant IA du soutien de Jotform) et FAQ Jotform Enterprise ; Typeform, EU Responses Data Center (non datée). Toutes consultées le 2 novembre 2026.
Précisions :
- Fillout : selon son centre d’aide, le passage à l’hébergement européen se fait en écrivant au soutien, et les réponses déjà reçues dans l’ancienne région ne suivent pas.
- Jotform : la FAQ Enterprise annonce « 19 centres de données dans 15 pays » sans les nommer ; la présence d’un centre au Canada est à vérifier auprès des ventes Enterprise.
- Typeform : la page de développeurs consultée ne s’applique qu’aux clients Enterprise ; la région par défaut des autres comptes est à vérifier.
Pour comparer ces mêmes outils sur le nombre de réponses gratuites par mois, voir Tally, Fillout ou Typeform : le plus de réponses gratuites.
Monter le formulaire dans Fillout
Fillout permet de placer une case à cocher obligatoire ou facultative distincte pour chaque fin, et de choisir la région d’hébergement européenne sur les forfaits Team et Enterprise (selon sa page d’aide citée plus haut). Avec l’hébergement par défaut aux États-Unis, la mention « hébergées aux États-Unis » doit figurer dans la demande, et l’EFVP de l’article 17 s’applique. Créer un formulaire dans Fillout
À vérifier
- La région d’hébergement par défaut des comptes Typeform non Enterprise.
- La présence d’un centre de données Jotform au Canada.
- La liste des sous-traitants de chaque outil (fichiers joints, courriels de notification) : l’hébergement des réponses n’est pas forcément celui des pièces jointes.
- Le contenu exact de l’EFVP pour votre cas : la CAI publie un guide, Réaliser une évaluation des facteurs relatifs à la vie privée.
À lire aussi
- Loi 25 : où sont hébergées les données de vos outils SaaS
- Formulaires en ligne : Tally, Fillout ou Typeform, le plus de réponses gratuites par mois
- Loi canadienne anti-pourriel : ce que la LCAP exige d’une PME qui envoie une infolettre
- Infolettre et Loi 25 : consentement exprès ou tacite, et ce que les outils d’infolettre gèrent — le consentement à l’infolettre, et ce que les outils gèrent
Divulgation. Cette page contient un lien d’affiliation vers Fillout. Si vous vous abonnez par ce lien, Productions IDO peut toucher une commission, sans frais pour vous. Ça ne change ni les faits rapportés, ni le contenu de cette page.