La Loi 25 (anciennement le projet de loi 64) modernise les règles de protection des renseignements personnels dans le secteur privé au Québec. Si vous exploitez un site d’entreprise avec formulaires de contact, analytique, témoins (cookies) ou intégrations CRM, une politique de confidentialité générique ne suffit plus.
Réponse courte : votre site doit expliquer clairement quels renseignements personnels vous collectez, obtenir un consentement significatif pour le suivi non essentiel, désigner un responsable de la protection des renseignements personnels (PRP) et documenter les flux de données entre votre site, vos fournisseurs et vos outils internes.
01À qui s’applique la Loi 25?
La Loi 25 s’applique aux organisations qui collectent, utilisent ou communiquent des renseignements personnels concernant des personnes au Québec, y compris via un site web, un portail client, une page carrières ou une stack d’automatisation marketing.
Si votre site recueille des noms, courriels, adresses IP, soumissions de formulaires ou données comportementales liées à des utilisateurs identifiables, la Loi 25 s’applique probablement à vous.
02Que doit inclure un site d’entreprise?
Au minimum, un site aligné sur la Loi 25 devrait comprendre :
- Une politique de confidentialité en langage clair (français requis pour le public québécois)
- Des mécanismes de consentement avant les témoins ou le suivi non essentiels (analytique, publicité, pixels)
- Un contact clair pour les demandes d’accès, de rectification ou de suppression
- Des flux de données documentés : ce qui est transmis à Google Analytics, Meta, HubSpot, etc.
- Des règles de conservation : combien de temps vous gardez les soumissions de formulaires et candidatures
03Témoins, analytique et pixels marketing
La Loi 25 exige un consentement avant de collecter des renseignements personnels via des outils non essentiels, notamment :
- Google Analytics et outils similaires
- Meta Pixel et traceurs publicitaires
- Widgets de clavardage qui identifient les utilisateurs
- Automatisation marketing qui profile les visiteurs
Les témoins essentiels (session, sécurité) sont généralement traités différemment des témoins analytiques et publicitaires. En cas de doute, demandez le consentement d’abord.
04Politique de confidentialité : à quoi ressemble une bonne version
Votre politique devrait préciser :
- Quels renseignements personnels vous collectez (formulaires, carrières, journaux serveur)
- Pourquoi vous les collectez (prestation de services, analytique, recrutement)
- Avec qui vous les partagez (hébergement, courriel, CRM)
- Combien de temps vous les conservez
- Comment les personnes exercent leurs droits
Un texte générique affirmant « nous n’utilisons pas de témoins de suivi » alors que vous utilisez de l’analytique ou des pixels publicitaires crée un risque juridique et de confiance.
05Responsabilité envers les fournisseurs
La plupart des sites s’appuient sur des tiers : hébergement, courriel, CRM, analytique. En vertu de la Loi 25, vous demeurez responsable des renseignements traités pour votre compte.
Étape pratique : tenez un registre des fournisseurs listant chaque outil, les données reçues, le lieu de stockage et l’existence d’une entente de traitement des renseignements personnels.
06Comment Nukleo accompagne les entreprises québécoises
Nukleo conçoit et intègre des sites et systèmes numériques selon une approche privacy-by-design : bannières de consentement, politiques de confidentialité exactes, minimisation des données et cartographie des intégrations.
Nous ne remplaçons pas un avis juridique, mais nous implémentons la couche technique et UX qui rend la conformité opérationnelle : consentement, pages légales, gestion des formulaires et documentation des fournisseurs.
07Liste de vérification : 10 actions ce mois-ci
- Auditez chaque script et intégration sur votre site
- Mettez à jour votre politique pour refléter la réalité
- Ajoutez le consentement avant le suivi non essentiel
- Désignez une personne responsable (PRP)
- Documentez les périodes de conservation des formulaires
- Revoyez la page carrières et les formulaires de contact
- Signez les ententes requises avec les fournisseurs clés
- Publiez un courriel de contact vie privée clair
- Formez le personnel qui traite des renseignements personnels
- Planifiez une revue annuelle. Lois et outils évoluent.
Besoin d’aide pour aligner votre site avec la Loi 25? Nukleo accompagne les entreprises québécoises sur des plateformes web et intégrations privacy-by-design. Contactez-nous →
Questions fréquentes
La Loi 25 s'applique-t-elle à mon site d'entreprise?
Oui, si votre site collecte des renseignements personnels de personnes au Québec, incluant noms, courriels, adresses IP liées à l'analytique ou soumissions de formulaires, la Loi 25 s'applique probablement, quelle que soit la taille de votre entreprise.
Faut-il un consentement pour Google Analytics en vertu de la Loi 25?
L'analytique non essentielle qui collecte des renseignements personnels exige généralement un consentement significatif. Les témoins de session essentiels sont traités différemment. Implémentez une bannière de consentement avant de charger l'analytique ou les pixels publicitaires.
Que doit contenir une politique de confidentialité québécoise?
Les finalités de collecte, les catégories de données, les durées de conservation, le partage avec des tiers, les droits des personnes, un contact pour les demandes et le nom du responsable de la protection des renseignements personnels (PRP).