Conformité à la Loi 25 pour les PME du Québec
La Loi 25 s’applique à toutes les entreprises privées du Québec, sans seuil de taille. Pour une PME, l’essentiel du travail se joue sur le site web : une politique de confidentialité publiée, un consentement demandé correctement, une personne responsable identifiée. C’est cette partie-là que nous prenons en charge.
À qui la Loi 25 s’applique-t-elle ?
La Loi 25 — de son nom complet, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — vise toute entreprise privée qui exerce ses activités au Québec et qui recueille des renseignements personnels. Il n’y a aucun seuil : cinq employés ou cinq cents, les obligations sont les mêmes.
Et « recueillir des renseignements personnels » va bien au-delà d’une base de données clients. Un formulaire de contact, une infolettre, un outil de statistiques qui suit vos visiteurs : tout cela compte.
Ses dispositions sont entrées en vigueur par étapes, en septembre 2022, 2023 et 2024. Elles sont toutes en application aujourd’hui.
Ce que la loi demande concrètement à un site web
- Un responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui exerce la plus haute autorité dans l’entreprise. Son titre et ses coordonnées doivent être publiés sur votre site.
- Une politique de confidentialité en termes simples et clairs, facile à trouver : ce que vous recueillez, pourquoi, avec qui c’est partagé, combien de temps c’est conservé.
- Un consentement valable : manifeste, libre, éclairé, demandé pour une fin précise et présenté distinctement du reste. Une case déjà cochée n’est pas un consentement.
- Le contrôle des témoins de connexion. Ceux qui ne sont pas strictement nécessaires au fonctionnement du site exigent un consentement préalable, et refuser doit être aussi simple qu’accepter.
- Un registre des incidents de confidentialité, avec déclaration à la Commission d’accès à l’information et aux personnes touchées lorsque le risque de préjudice sérieux existe.
- Une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur du Québec.
- Le respect des droits des personnes : accès, rectification, retrait du consentement, cessation de diffusion, et portabilité des données depuis septembre 2024.
Les quatre manques qu’on rencontre le plus souvent
Nous avons passé en revue les sites web d’une trentaine de PME de Vaudreuil-Soulanges et des environs. Quatre situations reviennent presque chaque fois :
- Aucune politique de confidentialité, ou une politique copiée d’un autre site, qui décrit des pratiques que l’entreprise n’a pas.
- Une bannière de témoins décorative. Elle informe, mais les témoins de suivi sont déposés avant même le premier clic, et aucun bouton ne permet de refuser.
- Des formulaires sans consentement. Un formulaire de contact ou d’infolettre qui ne dit pas à quoi serviront les renseignements, ni où lire la politique.
- Aucun responsable identifié. L’obligation existe depuis 2022, mais le nom n’apparaît nulle part sur le site.
Aucun de ces manques n’est difficile à corriger. C’est de savoir qu’ils sont là qui coince.
Ce que nous faisons, et ce que nous ne faisons pas
Nous nous occupons de la mise en œuvre technique sur votre site, qu’il soit sous Odoo ou sous WordPress :
- l’audit de l’existant, avec un rapport écrit des écarts constatés ;
- la rédaction et l’intégration de votre politique de confidentialité, que vous approuvez par écrit avant sa mise en ligne ;
- la bannière de consentement aux témoins, avec un refus aussi accessible que l’acceptation et aucun témoin déposé avant le choix du visiteur ;
- la case de consentement sur vos formulaires, non précochée, avec lien vers la politique.
Nous ne sommes pas juristes et nous ne donnons pas d’avis juridique. Pour une lecture de votre situation particulière — un registre d’incidents, une évaluation des facteurs relatifs à la vie privée, une entente avec un fournisseur étranger —, consultez un conseiller juridique. Nous nous occupons de ce qui se code et se voit sur votre site.
Si vos données sont hébergées hors du Québec, la question mérite d’être posée avant tout le reste : ce que la Loi 25 dit vraiment de l’hébergement.
Nos forfaits Loi 25
Loi 25 — Forfait complet
Tout ce qu'il faut pour rendre votre site conforme, à prix fixe. Regroupe l'audit, la politique de confidentialité, la bannière de cookies et les formulaires.
Demander une soumission- Audit de conformité de votre site
- Politique de confidentialité rédigée et intégrée
- Bannière de consentement aux cookies
- Case de consentement sur vos formulaires
- Économie de 30 $ par rapport aux services à l'unité
Loi 25 — Audit de conformité
Analyse de votre site web : politique de confidentialité, bannière de consentement, formulaires et mention du responsable de la protection des renseignements personnels.
Demander une soumission- Rapport écrit des lacunes identifiées
- Recommandations priorisées
- Aucun engagement pour la suite
Loi 25 — Politique de confidentialité
Rédaction d'un gabarit de politique de confidentialité personnalisé à votre entreprise, puis intégration à votre site.
Demander une soumission- Politique adaptée à vos activités
- Page publiée sur votre site
- Contenu approuvé par écrit avant publication
- Compatible Odoo et WordPress
Loi 25 — Bannière de consentement cookies
Implémentation technique d'une bannière de gestion du consentement aux cookies, conforme aux exigences de la Loi 25.
Demander une soumission- Refuser aussi simple qu'accepter
- Aucun témoin déposé avant le consentement
- Choix du visiteur mémorisé
- Compatible Odoo et WordPress
Loi 25 — Formulaire de consentement
Ajout d'une case à cocher de consentement, non précochée, sur les formulaires de votre site, avec lien vers votre politique de confidentialité.
Demander une soumission- Case non précochée sur chaque formulaire
- Lien direct vers la politique de confidentialité
- Preuve du consentement conservée
Loi 25 — Révision annuelle
Une fois par année, nous revalidons votre conformité et ajustons ce qui doit l'être.
Demander une soumission- Mise à jour du calendrier de conservation des données
- Vérification des mentions légales
- Ajustements si la loi évolue
Par où commencer ?
Par l’audit. En une heure, nous regardons votre site et nous vous remettons un rapport écrit de ce qui manque, avec les correctifs classés par priorité. Vous décidez ensuite de la suite — il n’y a aucun engagement.