Loi 25 et site web : ce que la petite entreprise doit savoir

La Loi 25 en bref : qui est visé

La Loi 25 a modernisé les règles québécoises sur les renseignements personnels. Elle vise toutes les entreprises privées, peu importe leur taille : un travailleur autonome qui reçoit des demandes de soumission par son site est concerné au même titre qu'une grande entreprise. Un renseignement personnel, c'est toute information qui permet d'identifier une personne : nom, courriel, téléphone, adresse, mais aussi l'historique de rendez-vous ou la fiche d'un animal liée à son propriétaire.

Les dates d'entrée en vigueur

Les obligations de la Loi 25 pour une petite entreprise

Un responsable de la protection des renseignements personnels

Par défaut, le responsable est la personne qui a la plus haute autorité dans l'entreprise : dans un petit commerce, c'est souvent le propriétaire. Cette personne peut déléguer la fonction par écrit, mais elle reste responsable de l'application de la loi. Le titre et les coordonnées du responsable doivent être publiés sur le site web de l'entreprise. Il n'est pas nécessaire d'aviser la CAI.

Une politique de confidentialité en termes simples

Une entreprise qui recueille des renseignements personnels par un moyen technologique, comme un site web, doit publier une politique de confidentialité rédigée en termes simples et clairs, et informer les gens quand elle change. En pratique, elle explique quels renseignements vous recueillez, pourquoi, comment, avec quels fournisseurs ils sont partagés, combien de temps vous les gardez, quels sont les droits des personnes et comment joindre le responsable. Un texte copié d'un autre site, plein de jargon et qui ne décrit pas vos vrais outils, ne remplit pas ce rôle.

Un consentement clair, pour des fins précises

Le consentement doit être manifeste, libre et éclairé, et donné à des fins précises. Chaque fin doit être expliquée séparément, en termes simples. Concrètement : vous utilisez les renseignements d'un formulaire de contact pour répondre à la demande, pas pour inscrire la personne à votre infolettre sans le lui demander. Un consentement exprès est exigé pour les renseignements sensibles.

Témoins et technologies de profilage désactivés par défaut

Si votre site utilise une technologie qui permet d'identifier, de localiser ou de profiler un visiteur, vous devez l'en informer et lui expliquer comment activer ces fonctions. Elles doivent être désactivées par défaut. Les témoins (cookies) publicitaires et de profilage, comme un pixel Facebook, entrent dans cette catégorie. Les témoins strictement nécessaires au fonctionnement du site, comme celui qui garde une session ouverte, ne posent pas le même problème. Un bandeau qui informe sans donner de vrai choix ne suffit pas.

Un registre des incidents de confidentialité

Un incident, c'est par exemple un ordinateur volé avec des fiches clients, un courriel envoyé au mauvais destinataire ou un compte piraté. Toute entreprise doit tenir un registre de ses incidents, même mineurs, et le remettre à la CAI sur demande. Si l'incident présente un risque de préjudice sérieux, il faut aviser la CAI et les personnes touchées, et prendre des mesures pour limiter les dégâts. La CAI propose des modèles sur son site.

Les droits des personnes

• Accéder aux renseignements que vous détenez sur elles et les faire corriger.
• Retirer leur consentement.
• Demander la désindexation ou la fin de la diffusion de renseignements, dans certaines conditions.
• Recevoir leurs renseignements informatisés dans un format structuré (portabilité, depuis 2024).
• Être informées quand une décision est prise uniquement par un traitement automatisé, et pouvoir présenter leurs observations à une personne.

Prévoyez simplement comment vous répondrez à ces demandes : une adresse courriel connue, une personne qui s'en occupe et un moyen de retrouver les renseignements d'un client dans vos outils. La CAI peut imposer des sanctions administratives pécuniaires importantes, mais pour un petit commerce, la meilleure protection reste de recueillir peu et de bien l'expliquer.

Liste de vérification Loi 25 pour le site d'un petit commerce

1. 1Responsable : publiez son titre et ses coordonnées sur le site, souvent dans la politique de confidentialité et le pied de page.
2. 2Politique de confidentialité : rédigez-la en termes simples, décrivez vos vrais outils et mettez un lien visible dans le pied de page et près de chaque formulaire.
3. 3Formulaire de contact : ne demandez que le nécessaire (nom, moyen de joindre, message), indiquez à quoi servent les renseignements et ne les réutilisez pas à d'autres fins.
4. 4Réservation en ligne : limitez l'accès aux fiches clients aux employés qui en ont besoin, fixez une durée de conservation et sachez où sont hébergées les données. Une communication de renseignements à l'extérieur du Québec demande une évaluation préalable des facteurs relatifs à la vie privée.
5. 5Infolettre : demandez un consentement distinct, avec une case non cochée par défaut, et offrez un lien de désabonnement dans chaque envoi (la loi fédérale anti-pourriel, la LCAP, s'applique aussi).
6. 6Google Analytics et autres outils de mesure : vérifiez quels témoins ils déposent. Par prudence, activez-les seulement après consentement, ou choisissez une mesure d'audience sans témoins.
7. 7Pixel Facebook et témoins publicitaires : désactivés par défaut, activés seulement si le visiteur l'accepte, avec un moyen simple de changer d'idée.
8. 8Incidents : créez dès maintenant votre registre, même vide, et notez qui fait quoi en cas de problème.

Ces points valent aussi hors du site : la page Facebook, la fiche Google et les messages automatiques recueillent eux aussi des renseignements. Pour les messages et les rappels, voyez notre guide sur les rendez-vous manqués, et pour comparer vos canaux, notre guide site web ou page Facebook.

Ce que JobeLabs fait sur les sites qu'il livre

Les sites web JobeLabs sont livrés avec une politique de confidentialité rédigée en termes simples, adaptée aux outils réellement présents sur votre site, et sans témoins publicitaires par défaut. Les formulaires ne demandent que le nécessaire. Si vous voulez ajouter un pixel publicitaire, nous l'installons derrière un consentement. Ça vous donne une base solide, mais ça ne remplace pas une vérification juridique complète de vos pratiques : la loi touche aussi vos dossiers papier, vos employés et vos fournisseurs. Pour un exemple de site avec fiches clients, ouvrez la démo toilettage.