Votre site web respecte-t-il la Loi 25 ? La vérification en 5 points

En bref : la Loi 25 s’applique à toute entreprise du Québec qui recueille des renseignements personnels, et un site web en recueille dès qu’il a un formulaire ou un outil de mesure d’audience. Cinq points font l’essentiel de la conformité d’un site de PME : une bannière de témoins qui refuse par défaut, une politique de confidentialité en français clair, un responsable désigné et joignable, des formulaires sobres, et un plan en cas d’incident. Voici comment vérifier chacun, sans juriste. Ce texte n’est pas un avis juridique : pour un cas particulier, consultez-en un.

Pourquoi votre site est-il concerné ?

Parce qu’un site collecte plus qu’on pense. Un formulaire de contact, c’est un nom et un courriel. Un outil de statistiques, c’est un profil de navigation. Un pixel Facebook, c’est un suivi d’une page à l’autre. Depuis septembre 2023, la Loi 25 exige que ces collectes soient expliquées, consenties quand il le faut, et sous la responsabilité d’une personne nommée. Les entreprises de toutes tailles sont visées, la nôtre comme la vôtre.

Point 1 : votre bannière de témoins refuse-t-elle par défaut ?

C’est le point le plus visible et le plus souvent raté. La loi demande que toute technologie qui permet d’identifier, de localiser ou de profiler un visiteur soit désactivée par défaut. Concrètement, Google Analytics, le pixel Meta ou un outil de carte de chaleur ne doivent démarrer qu’après un vrai « oui ». Une bannière qui dit « en poursuivant votre navigation, vous acceptez » ne vaut rien : continuer n’est pas consentir.

Le test, deux minutes : ouvrez votre site en navigation privée, ne cliquez sur rien dans la bannière, puis cliquez sur le cadenas à gauche de l’adresse et regardez les témoins en place. Si des témoins de google.com, doubleclick.net ou facebook.com sont déjà là, vos outils démarrent avant le consentement. Sur notre propre site, même la mesure d’audience attend le « oui ».

Point 2 : votre politique de confidentialité dit-elle vrai, en français clair ?

Elle doit exister, être accessible depuis chaque page, et décrire ce que vous recueillez, pourquoi, combien de temps vous le gardez et qui y a accès, y compris les outils tiers. Ce dernier mot compte : si vos formulaires passent par un service américain ou que vos statistiques sont chez Google, la politique doit le dire. Une politique copiée d’un autre site, qui parle d’une infolettre que vous n’avez pas ou oublie l’outil que vous utilisez vraiment, est pire qu’une politique courte et exacte.

Point 3 : qui est votre responsable de la protection des renseignements personnels ?

La loi oblige chaque entreprise à en désigner un. Par défaut, c’est la personne qui dirige, et elle peut déléguer par écrit. Son titre et ses coordonnées doivent être publiés sur le site, en pratique dans la politique de confidentialité. Pour une PME de cinq personnes, c’est souvent une ligne à ajouter : « Responsable de la protection des renseignements personnels : [nom], [courriel] ». L’absence de cette ligne est l’écart le plus facile à constater de l’extérieur.

Point 4 : vos formulaires demandent-ils seulement le nécessaire ?

Chaque champ doit avoir une raison. Une demande de soumission n’a pas besoin de la date de naissance. Le formulaire doit dire, en une phrase, à quoi serviront les renseignements. Et l’inscription à une infolettre se fait par une case que le visiteur coche lui-même, jamais pré-cochée, jamais glissée dans une demande de contact. Un formulaire sobre est aussi un formulaire qu’on remplit davantage : la conformité et la conversion vont dans le même sens ici.

Point 5 : que se passe-t-il si des données fuient ?

La loi exige un registre des incidents de confidentialité et, quand un incident présente un risque de préjudice sérieux, un avis à la Commission d’accès à l’information et aux personnes touchées. Pour un site de PME, le scénario le plus probable est un formulaire qui envoie les soumissions vers une boîte courriel piratée, ou une extension abandonnée qui expose une base de données. Sachez où vos données arrivent, qui a le mot de passe, et écrivez-le quelque part : c’est ça, le registre, au départ.

Que risque une PME qui ne fait rien ?

La Commission peut imposer des sanctions administratives allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les infractions pénales montent jusqu’à 25 millions ou 4 %. Ces montants visent les grandes entreprises. Pour une PME de la Côte-Nord, le risque concret est ailleurs : une plainte d’un client, ou un appel d’offres qui demande votre politique et le nom de votre responsable, et n’avoir rien à montrer.

Par où commencer ?

Dans l’ordre des points : le test de la bannière, puis la ligne du responsable, puis la relecture de la politique. Les deux premiers se règlent en une journée. Si votre site date d’avant 2023, il a probablement été construit sans ces exigences : c’est le moment de vérifier plutôt que de supposer.

Nos sites récents mesurent leur audience sans témoin, donc sans bandeau à négocier. Si le vôtre a besoin d’une mise à niveau, écrivez-nous : on regarde votre site et on vous dit ce qui manque, avant de parler de quoi que ce soit d’autre.