Loi 25 · Protection des renseignements personnels
Conformité à la Loi 25 pour les PME du Québec
La Loi 25 s'applique à toutes les entreprises privées du Québec, sans seuil de taille. Pour une PME, l'essentiel du travail se joue sur le site web : une politique de confidentialité publiée, un consentement demandé correctement, une personne responsable identifiée. C'est cette partie-là que nous prenons en charge.
À qui la Loi 25 s'applique-t-elle ?
La Loi 25 — de son nom complet, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — vise toute entreprise privée qui exerce ses activités au Québec et qui recueille des renseignements personnels. Il n'y a aucun seuil : cinq employés ou cinq cents, les obligations sont les mêmes.
Et « recueillir des renseignements personnels » va bien au-delà d'une base de données clients. Un formulaire de contact, une infolettre, un outil de statistiques qui suit vos visiteurs : tout cela compte.
Ses dispositions sont entrées en vigueur par étapes, en septembre 2022, 2023 et 2024. Elles sont toutes en application aujourd'hui.
Ce que la loi demande concrètement à un site web
- Un responsable de la protection des renseignements personnels. Par défaut, c'est la personne qui exerce la plus haute autorité dans l'entreprise. Son titre et ses coordonnées doivent être publiés sur votre site.
- Une politique de confidentialité en termes simples et clairs, facile à trouver : ce que vous recueillez, pourquoi, avec qui c'est partagé, combien de temps c'est conservé.
- Un consentement valable : manifeste, libre, éclairé, demandé pour une fin précise et présenté distinctement du reste. Une case déjà cochée n'est pas un consentement.
- Le contrôle des témoins de connexion. Ceux qui ne sont pas strictement nécessaires au fonctionnement du site exigent un consentement préalable, et refuser doit être aussi simple qu'accepter.
- Un registre des incidents de confidentialité, avec déclaration à la Commission d'accès à l'information et aux personnes touchées lorsque le risque de préjudice sérieux existe.
- Une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l'extérieur du Québec.
- Le respect des droits des personnes : accès, rectification, retrait du consentement, cessation de diffusion, et portabilité des données depuis septembre 2024.
Les quatre manques qu'on rencontre le plus souvent
Nous avons passé en revue les sites web d'une trentaine de PME de Vaudreuil-Soulanges et des environs. Quatre situations reviennent presque chaque fois :
- Aucune politique de confidentialité, ou une politique copiée d'un autre site, qui décrit des pratiques que l'entreprise n'a pas.
- Une bannière de témoins décorative. Elle informe, mais les témoins de suivi sont déposés avant même le premier clic, et aucun bouton ne permet de refuser.
- Des formulaires sans consentement. Un formulaire de contact ou d'infolettre qui ne dit pas à quoi serviront les renseignements, ni où lire la politique.
- Aucun responsable identifié. L'obligation existe depuis 2022, mais le nom n'apparaît nulle part sur le site.
Aucun de ces manques n'est difficile à corriger. C'est de savoir qu'ils sont là qui coince.
Ce que nous faisons, et ce que nous ne faisons pas
Nous nous occupons de la mise en œuvre technique sur votre site, qu'il soit sous Odoo ou sous WordPress :
- l'audit de l'existant, avec un rapport écrit des écarts constatés ;
- la rédaction et l'intégration de votre politique de confidentialité, que vous approuvez par écrit avant sa mise en ligne ;
- la bannière de consentement aux témoins, avec un refus aussi accessible que l'acceptation et aucun témoin déposé avant le choix du visiteur ;
- la case de consentement sur vos formulaires, non précochée, avec lien vers la politique.
Nous ne sommes pas juristes et nous ne donnons pas d'avis juridique. Pour une lecture de votre situation particulière — un registre d'incidents, une évaluation des facteurs relatifs à la vie privée, une entente avec un fournisseur étranger —, consultez un conseiller juridique. Nous nous occupons de ce qui se code et se voit sur votre site.
Si vos données sont hébergées hors du Québec, la question mérite d'être posée avant tout le reste : ce que la Loi 25 dit vraiment de l'hébergement.
Nos forfaits Loi 25
Loi 25 — Forfait complet
Tout ce qu'il faut pour rendre votre site conforme, à prix fixe. Regroupe l'audit interne, la politique de confidentialité, la bannière de témoins et les formulaires.
Demander une soumission- Audit interne complet
- Politique de confidentialité rédigée et intégrée
- Bannière de consentement conforme, refus aussi visible que l'acceptation
- Case de consentement sur vos formulaires
- Économie de 75 $ par rapport aux services à l'unité
Loi 25 — Audit interne
Ce que le scan gratuit ne peut pas voir : le contenu réel de votre politique, la désignation écrite du responsable, votre registre des incidents, vos ententes de sous-traitance et vos durées de conservation.
Demander une soumission- Politique confrontée aux exigences de l'article 8
- Registre des incidents et ses huit éléments obligatoires
- Ententes avec les sous-traitants et durées de conservation
- Nécessité d'une évaluation des facteurs relatifs à la vie privée
- Rapport écrit, correctifs classés par priorité
Loi 25 — Politique de confidentialité
Rédaction d'un gabarit de politique de confidentialité personnalisé à votre entreprise, puis intégration à votre site.
Demander une soumission- Politique adaptée à vos activités
- Page publiée sur votre site
- Contenu approuvé par écrit avant publication
- Compatible Odoo et WordPress
Loi 25 — Bannière de consentement cookies
Implémentation technique d'une bannière de gestion du consentement aux cookies, conforme aux exigences de la Loi 25.
Demander une soumission- Refuser aussi simple qu'accepter
- Aucun témoin déposé avant le consentement
- Choix du visiteur mémorisé
- Compatible Odoo et WordPress
Loi 25 — Formulaire de consentement
Ajout d'une case à cocher de consentement, non précochée, sur les formulaires de votre site, avec lien vers votre politique de confidentialité.
Demander une soumission- Case non précochée sur chaque formulaire
- Lien direct vers la politique de confidentialité
- Preuve du consentement conservée
Loi 25 — Surveillance mensuelle
Chaque mois, nous repassons votre site au scanner et vous remettons un rapport horodaté. C'est ce qui documente une démarche de conformité continue.
Demander une soumission- Re-scan mensuel : traceurs, cookies tiers, équité du bandeau
- Vérification que votre bouton « Refuser » fonctionne toujours
- Rapport horodaté, conservé comme preuve de bonne foi
- Alerte si une mise à jour réintroduit un traceur
Par où commencer ?
Par le scan, et il est gratuit. Nous ouvrons votre site dans un vrai navigateur et nous mesurons ce qui se charge avant que votre visiteur ait consenti : traceurs, cookies tiers, et si votre bouton « Refuser » fonctionne réellement. Vous recevez un tableau avec l'article de loi qui s'applique à chaque constat, en moins de 24 heures ouvrables.
Aucun engagement, aucune carte de crédit. Ce qui se facture ensuite, c'est l'audit interne — registre des incidents, contenu de la politique, ententes de sous-traitance — parce que rien de cela ne se voit de l'extérieur.