Votre site Web est-il conforme à la Loi 25? La liste de vérification
Par Danny Malouin. Mis à jour le 22 octobre 2026. Révisé chaque trimestre.
Toutes les parties de la Loi 25 sont maintenant en vigueur. La plupart des sites de PME ratent les mêmes quatre choses : une politique de confidentialité claire, un responsable nommé, un suivi désactivé tant que le visiteur ne dit pas oui, et une vérification avant que les données sortent du Québec.
Ceci est une liste de vérification pratique, pas un avis juridique. Pour votre situation précise, consultez un avocat.
En un coup d’œil
Maximum, ou 2 % du chiffre d’affaires mondial si c’est plus élevé. Imposée par la CAI.[2]
Maximum, ou 4 % du chiffre d’affaires mondial si c’est plus élevé. Doublée en cas de récidive.[2]
On n’a trouvé aucune trace publique d’une grosse amende contre une petite entreprise jusqu’ici. Le risque aujourd’hui, ce sont surtout les plaintes, les enquêtes et la perte de confiance. Ça change à mesure que la CAI publie ses décisions.
La liste de vérification
Publiez-la en mots simples
Tout site qui recueille des renseignements personnels doit publier une politique en termes simples et clairs, mise à jour au besoin. Article 8.2.[4]
Nommez-le et publiez-le
Par défaut, c’est la personne la plus haut placée. Publiez son titre et ses coordonnées sur le site. Article 3.1.[1]
Dites pourquoi à chaque formulaire
Les fins, les moyens, les droits des personnes, qui reçoit les données et si elles sortent du Québec. Article 8.[6]
Demandez-le à part, fin par fin
Le consentement doit être manifeste, libre et éclairé, et demandé séparément de toute autre information. Article 14.[3]
Désactivé tant qu’on ne dit pas oui
Les outils qui identifient, localisent ou profilent doivent être désactivés par défaut. Article 8.1.[3]
Évaluez avant que ça sorte du Québec
Une évaluation des facteurs relatifs à la vie privée et une entente écrite d’abord. Article 17.[5]
Tenez un registre
Notez chaque incident de confidentialité. Déclarez les incidents graves à la CAI et aux personnes touchées. Articles 3.5 et 3.8.[1]
Supprimez ce qui ne sert plus
Détruisez ou anonymisez les données une fois leur fin atteinte. Article 23.[6]
Remettez les données sur demande
Dans un format structuré et courant. En vigueur depuis septembre 2024. Article 27.[1]
Témoins et outils d’analyse
Les lignes directrices de la CAI sur le consentement disent que les fonctions de suivi doivent être désactivées par défaut et exiger un geste positif du visiteur pour s’activer.[3] En pratique, Google Analytics, le pixel Meta, les balises LinkedIn et les témoins publicitaires ne devraient se charger qu’après un oui du visiteur.
Les témoins strictement nécessaires, comme un panier d’achat ou une session de connexion, échappent sans doute à cette règle.[7] La CAI n’a pas publié de guide propre aux témoins, donc les lignes directrices sur le consentement font référence.
Une bannière avec seulement un bouton OK, ce n’est pas un consentement. Refuser doit être aussi facile qu’accepter.
La CAI a écrit en octobre 2026 que les interfaces trompeuses affaiblissent le consentement.[9] Les bannières manipulatrices sont un risque qui grandit.
Formulaires, CRM et données hors Québec
Chaque formulaire de contact envoie des renseignements personnels quelque part : votre boîte courriel, un CRM, un outil d’infolettre, une application de réservation. Si cet outil conserve les données hors Québec, l’article 17 exige une évaluation des facteurs relatifs à la vie privée et une entente écrite avant le transfert.[5]
Choisir des outils hébergés au Canada simplifie cette évaluation. Ça ne l’élimine pas, parce que des équipes de soutien et des sous-traitants à l’étranger peuvent quand même accéder aux données.
Est-ce que ça s’applique à vous?
Oui, si vous exploitez une entreprise au Québec. Il n’y a aucun seuil de taille ou de revenus. Une entreprise d’une personne avec un formulaire de contact est visée.
Les entreprises hors Québec qui recueillent des renseignements sur des résidents du Québec sont probablement visées aussi, selon des juristes. La loi n’a pas de disposition explicite là-dessus, donc c’est une interprétation, pas une règle établie.[8]
Ce qui a changé en 2026
Décisions publiques
La CAI a commencé à publier en ligne les décisions de sa section de surveillance.
Rapport quinquennal
74 recommandations au gouvernement, dont l’interdiction des interfaces trompeuses.[10]
Le consentement repensé
La CAI a évoqué un consentement géré par le navigateur et a ciblé les interfaces trompeuses.[9]
Par où commencer
Nommez votre responsable
Cinq minutes. Mettez le titre et un courriel sur votre page de confidentialité.
Listez ce que votre site recueille
Chaque formulaire, témoin, pixel et extension. Notez où chacun envoie les données.
Réglez le consentement au suivi
Bloquez l’analyse et les pixels tant que le visiteur ne dit pas oui, avec un vrai bouton Refuser.
Réécrivez la politique
En mots simples, qui reflètent ce que votre site fait vraiment.
Beep Digital conçoit et héberge des sites Web à Montréal. On peut passer votre site au crible de cette liste et régler la partie technique. Pour un avis juridique, travaillez avec un avocat.
Sources
- CAI : principaux changements de la Loi 25
- CAI : sanctions et poursuites pour les entreprises
- CAI : Lignes directrices 2023-1 sur les critères de validité du consentement
- CAI : guide de rédaction d’une politique de confidentialité
- CAI : guide d’évaluation des facteurs relatifs à la vie privée
- LegisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (version anglaise)
- McCarthy Tétrault : la Loi 25 et les témoins (anglais)
- BCLP : la portée de la Loi 25 hors Québec (anglais)
- CAI : réfléchir au rôle du consentement, 1er octobre 2026
- CAI : communiqué du rapport quinquennal, juin 2026
Cette liste résume la loi et les orientations de la CAI en date d’octobre 2026. Ce n’est pas un avis juridique. Quand je donne une opinion, je le dis.