Qui doit publier une politique de confidentialité au Québec ?
L’obligation ne dépend ni de la taille de l’entreprise ni d’un quelconque seuil de chiffre d’affaires. Dès qu’une organisation du secteur privé recueille des renseignements personnels par un moyen technologique — un formulaire en ligne, un compte client, un outil d’analyse d’audience, un bandeau de témoins —, elle doit publier une politique de confidentialité sur son site Web ou la rendre accessible par tout autre moyen approprié.
Cette obligation découle de l’article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25. Elle vise autant la PME qui exploite une boutique en ligne que la grande entreprise. Un simple site vitrine qui propose un formulaire de contact est concerné dès lors qu’il recueille un nom, une adresse courriel ou un numéro de téléphone.
La portée de la loi est également territoriale au sens large : une entreprise établie hors du Québec qui recueille les renseignements personnels de résidents québécois à des fins commerciales y est assujettie, peu importe où se trouve son siège social.
Ce que la Loi 25 exige : les éléments obligatoires
La politique de confidentialité doit être rédigée en termes simples et clairs, sans jargon juridique inaccessible. C’est une exigence explicite de la loi, pas une simple bonne pratique. Voici les éléments qu’elle doit couvrir.
Les renseignements recueillis et les moyens utilisés.
Décrivez les catégories de renseignements personnels que vous recueillez (coordonnées, données de navigation, historique d’achat, etc.) et par quels moyens (formulaires, témoins, outils tiers).
Les finalités
Pour chaque type de renseignement, indiquez pourquoi vous le recueillez. Les finalités doivent être déterminées avant la collecte et formulées de façon précise — « améliorer nos services » est trop vague pris isolément.
L'utilisation, la conservation et la communication
Expliquez comment les renseignements sont utilisés à l’interne, s’ils sont communiqués à des tiers, et lesquels.
La durée de conservation
Précisez combien de temps les renseignements sont conservés, ou les critères qui déterminent cette durée. Ils ne doivent pas être conservés au-delà de la finalité pour laquelle ils ont été recueillis.
Les tiers et les transferts hors Québec.
Nommez les catégories de tiers avec qui vous partagez des renseignements. Si des renseignements sont communiqués à l’extérieur du Québec, vous devez en tenir compte et évaluer les facteurs relatifs à la vie privée avant le transfert.
Les droits des personnes concernées et la façon de les exercer
Les personnes ont le droit d’accéder à leurs renseignements, de les faire rectifier, de retirer leur consentement et, dans certains cas, d’en demander la portabilité. Indiquez clairement comment exercer ces droits.
La prise de décision automatisée et le profilage
Si vous utilisez des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé, vous devez en informer la personne et lui permettre de présenter ses observations. Le recours à des technologies d’identification, de localisation ou de profilage doit aussi être signalé, avec les moyens de les activer ou de les désactiver.
Les coordonnées du responsable de la protection des renseignements personnels (RPRP)
Toute entreprise doit désigner un RPRP. Par défaut, cette fonction revient à la personne ayant la plus haute autorité dans l’organisation, mais elle peut être déléguée. Le titre et les coordonnées de cette personne doivent figurer sur votre site Web.
L'avis de modification
Indiquez comment les personnes seront informées des changements apportés à la politique.
La politique de confidentialité (art. 8.2) publiée à l’intention du public ne doit pas être confondue avec les politiques et pratiques encadrant la gouvernance des renseignements personnels (art. 3.2), un ensemble de règles internes que l’entreprise doit aussi établir et dont elle publie l’information détaillée. Une entreprise conforme a besoin des deux.
Politique de confidentialité, politique de témoins et conditions d’utilisation : quelles différences ?
Ces trois documents sont souvent confondus, mais ils ne remplissent pas la même fonction.
La politique de confidentialité est le document général qui explique comment vous recueillez, utilisez, conservez et communiquez les renseignements personnels, et quels sont les droits des personnes concernées. C’est celui qu’exige la Loi 25.
La politique relative aux témoins est plus précise : elle détaille les témoins et technologies de suivi utilisés sur votre site, leur finalité et leur durée de vie. Elle accompagne généralement le bandeau de consentement. Elle peut être intégrée à la politique de confidentialité ou constituer un document distinct lié depuis le bandeau.
Les conditions d’utilisation (ou modalités) encadrent la relation contractuelle entre vous et l’utilisateur — règles d’usage du service, responsabilités, propriété intellectuelle. Elles ne portent pas sur la protection des renseignements personnels et ne satisfont pas, à elles seules, l’obligation de la Loi 25.
Exemple commenté, section par section
Voici une structure type de politique de confidentialité conforme à la Loi 25, avec un exemple de formulation pour chaque section. Adaptez le texte modèle à votre réalité — il s’agit d’un point de départ, non d’un modèle à copier tel quel.
Introduction et champ d'application «
La présente politique explique comment [Nom de l’entreprise] recueille, utilise, communique et protège vos renseignements personnels lorsque vous utilisez notre site Web et nos services. » Cette section situe le document et confirme que vous vous adressez, entre autres, aux résidents du Québec.
Renseignements recueillis «
Nous recueillons les renseignements que vous nous fournissez directement (nom, adresse courriel, numéro de téléphone) ainsi que des renseignements recueillis automatiquement au moyen de témoins (adresse IP, pages consultées, durée de visite). » Soyez concret : une liste de catégories vaut mieux qu’une formule générale.
Finalités
« Ces renseignements servent à traiter vos commandes, à répondre à vos demandes, à améliorer notre site et, avec votre consentement, à vous envoyer des communications promotionnelles. » Rattachez chaque finalité à une catégorie de renseignements.
Consentement
« Nous recueillons vos renseignements avec votre consentement. Les témoins non essentiels ne sont activés qu’après votre consentement, que vous pouvez retirer en tout temps. » La Loi 25 exige un consentement manifeste, libre et éclairé, donné à des fins précises.
Communication à des tiers et transferts hors Québec
« Certains prestataires (hébergement, traitement des paiements, analyse d’audience) peuvent traiter vos renseignements en dehors du Québec. Nous procédons alors à une évaluation des facteurs relatifs à la vie privée afin d’assurer une protection adéquate. »
Conservation
« Nous conservons vos renseignements aussi longtemps que nécessaire aux finalités décrites, puis nous les détruisons ou les anonymisons. »
Vos droits
« Vous avez le droit d’accéder à vos renseignements, de les faire rectifier, de retirer votre consentement et d’en demander la portabilité. Pour exercer ces droits, communiquez avec notre responsable de la protection des renseignements personnels. »
Décision automatisée
« Lorsque nous rendons une décision fondée exclusivement sur un traitement automatisé de vos renseignements, nous vous en informons et vous pouvez présenter vos observations. »
Responsable de la protection des renseignements personnels
« [Titre], [adresse courriel] est responsable de la protection des renseignements personnels chez [Nom de l’entreprise]. »
Modifications
« Toute modification de la présente politique sera publiée sur cette page, avec sa date de mise à jour. »
Erreurs fréquentes à éviter
Reprendre telle quelle une politique conçue pour le RGPD. Le RGPD et la Loi 25 partagent une philosophie, mais leurs exigences diffèrent : vocabulaire (« renseignements personnels » plutôt que « données à caractère personnel »), désignation obligatoire d’un RPRP nommément identifié, règles propres sur les transferts hors Québec. Une traduction d’une politique européenne laisse presque toujours des lacunes.
Omettre le responsable de la protection des renseignements personnels. C’est l’une des exigences les plus visibles et les plus faciles à vérifier : le titre et les coordonnées du RPRP doivent figurer sur le site. Leur absence est un manquement courant.
Ne rien dire des transferts hors Québec. Beaucoup d’entreprises utilisent des outils hébergés à l’étranger sans le mentionner ni évaluer les facteurs relatifs à la vie privée. La politique doit refléter cette réalité.
Où l’afficher, comment la mettre à jour, comment gérer les visiteurs hors Québec
Où l’afficher. La politique doit être facilement accessible depuis l’ensemble du site, généralement par un lien en pied de page présent sur toutes les pages, et depuis le bandeau de consentement aux témoins.
Comment la mettre à jour. Révisez la politique chaque fois que vos pratiques changent : nouvelle finalité, nouvel outil tiers, nouveau type de renseignement recueilli. Datez chaque version et informez les personnes concernées des changements importants. Lorsque les finalités changent de façon substantielle, un nouveau consentement peut être requis.
Comment gérer les utilisateurs hors Québec. Si votre site s’adresse aussi à des publics ailleurs au Canada ou dans le monde, une solution de gestion du consentement peut détecter la localisation de l’utilisateur et présenter l’expérience adaptée à son territoire — Loi 25 pour le Québec, LPRPDE pour le reste du Canada, RGPD pour l’Europe, et ainsi de suite.
Générer votre politique en quelques minutes
Rédiger une politique conforme à partir d’une page blanche prend du temps et laisse place à l’erreur. Un générateur de politique de confidentialité vous guide à travers les éléments obligatoires et produit un document adapté à votre situation, que vous n’avez plus qu’à réviser et à publier.
Combiné à une plateforme de gestion du consentement qui analyse vos témoins et recueille les consentements, il vous donne une base solide pour respecter la Loi 25 — puis pour la maintenir à mesure que votre site évolue.