Loi 25 : ce que votre site web doit respecter (guide PME 2026)

Publié le 11 août 2026 · Par l'équipe Boréo · Lecture : 8 minutes

Si votre entreprise a un site web au Québec, la Loi 25 s'applique à vous — peu importe votre taille. Un travailleur autonome avec un simple formulaire de contact est visé au même titre qu'une grande entreprise. La bonne nouvelle : pour un site de PME typique, se conformer est beaucoup moins compliqué qu'on le laisse croire. Voici ce que la loi exige concrètement, expliqué simplement.

Précision importante : nous sommes une agence web, pas un cabinet d'avocats. Ce guide vulgarise les obligations courantes pour un site de PME; pour une situation particulière, consultez un juriste.

C'est quoi, la Loi 25 ?

C'est la loi québécoise qui modernise la protection des renseignements personnels dans le secteur privé. Elle est entrée en vigueur par étapes entre 2022 et 2024, et elle est aujourd'hui pleinement applicable. Un « renseignement personnel », c'est toute information qui permet d'identifier une personne : un nom, un courriel, un numéro de téléphone, une adresse IP. Dès que votre site a un formulaire de contact, vous en collectez.

Les obligations concrètes pour votre site web

1. Désigner un responsable de la protection des renseignements personnels

Chaque entreprise doit avoir un responsable désigné. Par défaut, c'est la personne ayant la plus haute autorité — le propriétaire, dans une PME. Son titre et ses coordonnées doivent être publiés sur votre site web. C'est l'obligation la plus simple, et l'une des plus souvent oubliées.

2. Publier une politique de confidentialité claire

Votre site doit expliquer, en langage simple : quels renseignements vous collectez, pourquoi, comment ils sont conservés et protégés, s'ils sont communiqués à des tiers (votre hébergeur, vos outils de formulaires ou d'infolettre en font partie), et comment une personne peut y accéder ou les faire supprimer. Une politique copiée d'un site américain ne suffit pas : elle doit décrire vos pratiques réelles.

3. Obtenir un consentement valable pour les témoins (cookies)

Si votre site utilise des témoins de suivi ou de publicité (Google Analytics avec publicité, pixel Meta, etc.), ils doivent rester inactifs tant que le visiteur n'a pas donné son accord. Nuance utile : un site qui n'utilise aucun témoin de suivi — c'est possible, notamment avec des statistiques sans témoins — n'a pas besoin de bandeau de consentement. Le fameux bandeau n'est pas obligatoire en soi; c'est le suivi non consenti qui est interdit.

4. Réagir correctement en cas d'incident

Si des renseignements personnels sont perdus ou volés (piratage, courriel envoyé au mauvais destinataire), vous devez tenir un registre des incidents et, lorsqu'il y a un risque de préjudice sérieux, aviser la Commission d'accès à l'information et les personnes concernées.

5. Respecter les droits des personnes

Toute personne peut demander d'accéder aux renseignements que vous détenez sur elle, de les faire corriger ou supprimer, et depuis 2024, d'en obtenir une copie dans un format structuré (portabilité). Votre politique doit expliquer comment faire la demande, et vous devez répondre dans les 30 jours.

6. Évaluer les outils qui envoient des données hors Québec

La plupart des PME utilisent des outils américains (formulaires, infolettre, hébergement). C'est permis, à condition d'évaluer que les renseignements y sont adéquatement protégés et de le mentionner dans votre politique.

Les amendes sont-elles réelles ?

Oui, elles sont parmi les plus élevées au Canada. Mais pour une PME, le risque réaliste n'est pas l'amende maximale — c'est la plainte d'un client ou d'un concurrent qui déclenche une vérification, et l'effet sur votre réputation. La conformité de base coûte quelques heures; une plainte coûte beaucoup plus.

Par où commencer (dans l'ordre)

1. Désignez votre responsable et publiez ses coordonnées sur votre site.
2. Faites l'inventaire : quels formulaires, quels outils, quels témoins votre site utilise-t-il réellement ?
3. Publiez une politique de confidentialité qui décrit ces pratiques réelles.
4. Si vous utilisez des témoins de suivi, mettez en place un vrai mécanisme de consentement — ou passez à des outils sans témoins.
5. Créez un registre d'incidents (un simple document suffit pour commencer).

En résumé

La Loi 25 n'exige pas de votre PME un service juridique — elle exige de la transparence : dire ce que vous collectez, protéger ce que vous détenez, et répondre quand on vous le demande. Un site conforme, c'est aussi un argument de confiance auprès de vos clients : de plus en plus de gens vérifient.