Loi 25 : 5 erreurs qui exposent votre site à une sanction
La Loi 25 s'applique à toute entreprise québécoise qui collecte des renseignements personnels. Voici les 5 manquements les plus courants sur les sites web — et comment les régler avant que la Commission d'accès à l'information ne s'en mêle.
La Loi 25 en bref
Depuis septembre 2023, la Loi 25 impose à toute entreprise privée du Québec qui collecte des renseignements personnels — un nom, un courriel, une adresse IP, un témoin (cookie) — une série d'obligations concrètes. Un simple formulaire de contact ou un outil d'analyse suffit à déclencher la loi.
La Commission d'accès à l'information (CAI) peut imposer des sanctions administratives jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, et des amendes pénales jusqu'à 25 M$ ou 4 %. Bonne nouvelle : la CAI privilégie la pédagogie avant la sanction, et la proactivité est un facteur atténuant.
- S'applique dès qu'un renseignement personnel est collecté
- Aucune taille minimale d'entreprise
- La preuve de conformité vous incombe
Erreur 1 — Déposer des cookies et traceurs avant le consentement
C'est le manquement le plus répandu. Beaucoup de sites chargent Google Analytics, le pixel Meta ou des cartes tierces dès l'arrivée du visiteur, avant tout consentement. Or la Loi 25 exige un consentement libre et éclairé AVANT le dépôt de témoins non essentiels.
Techniquement, cela veut dire bloquer les scripts de suivi tant que la personne n'a pas accepté.
- Vérifiez ce qui se charge au premier affichage
- Différez les traceurs jusqu'au consentement
Erreur 2 — Une bannière de consentement décorative
Une bannière « Ce site utilise des cookies — OK » ne suffit pas. Le consentement doit être granulaire (accepter/refuser par finalité), aussi facile à refuser qu'à accepter, et révocable en tout temps.
Un bandeau qui ne propose que « Accepter » n'est pas un consentement valide au sens de la Loi 25.
- Bouton « Refuser » aussi visible que « Accepter »
- Choix par catégorie (analytics, marketing…)
- Possibilité de retirer son consentement
Erreur 3 — Une politique de confidentialité absente ou vague
La loi exige une politique claire, accessible et rédigée en termes simples : quels renseignements sont collectés, pourquoi, avec qui ils sont partagés, combien de temps ils sont conservés, et comment exercer ses droits.
Une page « Politique » générique copiée d'un modèle étranger ne couvre pas les exigences québécoises.
- Finalités précises de chaque collecte
- Durées de conservation
- Coordonnées pour exercer ses droits
Erreur 4 — Aucun responsable de la protection des renseignements
La Loi 25 impose de désigner un responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité) et de publier ses coordonnées.
Beaucoup de PME l'ignorent : c'est pourtant une obligation simple à remplir et vérifiable publiquement.
- Nommer un responsable
- Publier son courriel de contact
Erreur 5 — Des formulaires sans finalité ni consentement clairs
Chaque champ demandé doit avoir une raison. Un formulaire qui exige des informations non nécessaires, ou qui inscrit d'office à une infolettre sans case à cocher distincte, contrevient au principe de minimisation et au consentement spécifique.
La règle : ne collecter que le strict nécessaire, et obtenir un consentement séparé pour chaque usage secondaire.
- Un champ = une finalité justifiée
- Consentement infolettre non pré-coché
Passez à l'action en 30 secondes
Vous ne savez pas où en est votre site ? Lancez le scan de conformité gratuit : en 30 secondes, il analyse vos cookies, votre bannière, votre politique et vos formulaires, puis vous donne un score et les points à corriger — articles de loi cités.
Ensuite, je vous accompagne pour tout mettre en ordre, sans jargon juridique. On règle l'essentiel d'abord, le reste par étapes.
— Melissa Manuelita Joseph, conseillère conformité et SEO chez SEOparAI.
