Guide · Loi 25
Loi 25 et site web : la checklist complète
Ce qu'il faut réellement vérifier sur un site pour être en règle avec la Loi 25 du Québec, et comment le corriger sans se tromper.
Mis à jour le 27 octobre 2026 · lecture 7 min
1. Une politique de confidentialité accessible
La politique doit être atteignable depuis chaque page (pied de page), écrite en termes clairs, et couvrir : les renseignements collectés, les finalités, les destinataires, la durée de conservation et les droits des personnes.
Erreur fréquente : une politique présente uniquement dans les conditions d'utilisation, ou rédigée en copier-coller du français de France, sans référence à la Loi 25.
2. Un responsable des données identifié
La loi exige la désignation d'une personne responsable de la protection des renseignements personnels, avec des coordonnées publiées. Sur un site, cela apparaît dans la politique et souvent sur la page contact.
3. Des droits d'accès et de rectification décrits
Le site doit expliquer comment exercer un droit d'accès, de rectification ou de suppression, et sous quel délai l'entreprise répond. Un simple formulaire de contact ne suffit pas.
4. Un consentement réellement géré
Cookies de mesure, pixels publicitaires, widgets de chat : tous doivent être bloqués avant consentement. Le refus doit être aussi simple que l'acceptation. Il faut pouvoir démontrer le consentement (preuve, horodatage).
5. Les formulaires doivent informer avant de collecter
Avant l'envoi, l'utilisateur doit savoir pourquoi ses données sont collectées, à qui elles servent et combien de temps elles sont conservées. Une mention en petits caractères sous le bouton « Envoyer » est insuffisante si elle est illisible.
6. La conservation doit être limitée et indiquée
La politique doit indiquer les durées : demandes commerciales, contrats, facturation, journaux techniques. Écrire « aussi longtemps que nécessaire » n'est pas une durée.
7. Les tiers sous-traitants doivent être mentionnés
Infogérance, hébergeur, outil d'analyse, fournisseur d'infolettre : ce sont des sous-traitants. Leur présence et les transferts hors Québec doivent être documentés.
8. Les transferts hors Québec doivent être encadrés
Hébergeur aux États-Unis, courriels en Europe : il faut une évaluation des facteurs relatifs à la vie privée et des clauses contractuelles.
9. Les en-têtes de sécurité comptent
HTTPS partout, HSTS, CSP, X-Frame-Options, X-Content-Type-Options. Une faille de sécurité devient une atteinte à la confidentialité qui doit être déclarée à la CAI.
10. Une procédure d'incident doit exister
Qui prévient la CAI, qui prévient les personnes, sous quel délai, avec quel modèle d'avis. Cette procédure doit figurer dans la politique ou dans un document lié.
11. Les communications de masse ont une base légale
Infolettre, prospection par courriel : il faut une base légale (consentement ou relation d'affaires), une identification claire et un désabonnement fonctionnel dès le premier envoi.
12. Les journaux doivent permettre la traçabilité
Conserver les traces d'accès et de modification des données sensibles, avec une durée cohérente et un accès limité.
13. Le site doit être en mesure de prouver ses pratiques
Politique datée, registre des consentements, registre des incidents, inventaire des sous-traitants. Une entreprise qui ne peut rien produire n'est pas « en démarche de conformité ».
Concrètement, par où commencer
- Auditer le site contre ces 13 points.
- Corriger d'abord les manquements visibles : politique, responsable, droits.
- Installer un gestionnaire de consentement et retester.
- Documenter les durées, les tiers et la procédure d'incident.
Vous voulez savoir où en est votre site ?
Nous auditons votre site contre ces 13 contrôles et vous envoyons le score avec les points à corriger, en 48 h. L'audit technique ne remplace pas un avis juridique, mais il montre exactement ce qui manque.