{"id":13072,"date":"2026-07-23T18:43:31","date_gmt":"2026-07-23T18:43:31","guid":{"rendered":"https:\/\/wsisme.com\/blogue\/quebec-law-25-compliance-where-to-start\/"},"modified":"2026-07-23T19:12:57","modified_gmt":"2026-07-23T19:12:57","slug":"conformite-loi-25-quebec-par-ou-commence","status":"publish","type":"post","link":"https:\/\/wsisme.com\/fr\/blogue\/conformite-loi-25-quebec-par-ou-commence\/","title":{"rendered":"Quebec Law 25 Compliance: Where Businesses Should Start"},"content":{"rendered":"
[vc_row][vc_column][vc_column_text css=\u00a0\u00bb\u00a0\u00bb]\r\n

Conformit\u00e9 \u00e0 la Loi 25 du Qu\u00e9bec : Par o\u00f9 commencer pour les entreprises<\/h1>\r\nDepuis que le Qu\u00e9bec a modernis\u00e9 ses r\u00e8gles de confidentialit\u00e9, de nombreux propri\u00e9taires d’entreprise ont ressenti la m\u00eame chose : ils savent que la Loi 25 s’applique \u00e0 eux, mais ils ne savent pas par o\u00f9 commencer. Certains publient une politique de confidentialit\u00e9 ou ajoutent une banni\u00e8re de t\u00e9moins et supposent que le travail est termin\u00e9. En pratique, la conformit\u00e9 \u00e0 la Loi 25 du Qu\u00e9bec est plus vaste qu’une simple page ou une fen\u00eatre contextuelle. Elle touche \u00e0 la fa\u00e7on dont votre entreprise collecte, utilise, stocke, partage et d\u00e9truit les renseignements personnels, y compris les informations qui transitent chaque jour par votre site Web et vos outils de marketing.\r\n\r\nChez WSI Digital Marketing \u00e0 Montr\u00e9al, nous aidons les entreprises \u00e0 \u00e9valuer et \u00e0 am\u00e9liorer leurs programmes de protection de la vie priv\u00e9e concernant le num\u00e9rique et les sites web. Ce guide explique les exigences l\u00e9gales, par o\u00f9 commencer et comment ces obligations s’articulent avec les outils que vous utilisez d\u00e9j\u00e0.\r\n

Qu’est-ce que la Loi 25 du Qu\u00e9bec?<\/h2>\r\nLa \u00ab Loi 25 \u00bb est la Loi modernisant des dispositions l\u00e9gislatives en mati\u00e8re de protection des renseignements personnels<\/i> (anciennement le projet de loi 64). L’objectif de la loi est de donner aux individus plus de contr\u00f4le sur leurs renseignements personnels et d’imposer aux organisations des normes plus \u00e9lev\u00e9es lorsqu’elles les traitent.\r\n\r\nLes renseignements personnels signifient toute information relative \u00e0 une personne physique qui permet d’identifier cette personne, directement ou indirectement. Ses exigences ont \u00e9t\u00e9 introduites progressivement les 22 septembre 2022, 2023 et 2024; toutes les obligations principales sont donc maintenant en vigueur. Notre aper\u00e7u de la mise en \u0153uvre de la Loi 25<\/a> passe en revue chaque phase si vous souhaitez examiner de plus pr\u00e8s comment les r\u00e8gles ont \u00e9t\u00e9 introduites.\r\n

Quelles entreprises doivent se conformer \u00e0 la Loi 25?<\/h2>\r\nLa loi s’applique \u00e0 toute personne ou organisation exploitant une entreprise au Qu\u00e9bec qui collecte, d\u00e9tient, utilise ou communique des renseignements personnels sur autrui. Il n’y a pas d’exemption pour les petites entreprises. Un commerce de deux personnes, une PME en croissance et une grande entreprise sont tous vis\u00e9s d\u00e8s lors qu’ils traitent des renseignements personnels.\r\n\r\nL’emplacement n’est pas non plus le facteur d\u00e9cisif, puisque c’est l’exercice d’une activit\u00e9 commerciale qui d\u00e9clenche l’application de la loi, et non l’emplacement de vos bureaux. Une entreprise \u00e9tablie hors du Qu\u00e9bec peut tout de m\u00eame \u00eatre vis\u00e9e lorsqu’elle traite les donn\u00e9es de personnes r\u00e9sidant au Qu\u00e9bec, par exemple en vendant des biens ou des services \u00e0 des clients qu\u00e9b\u00e9cois ; toutefois, l’application de la loi \u00e0 une entreprise hors province donn\u00e9e d\u00e9pend de ses activit\u00e9s.\r\n\r\nLa taille de l’entreprise influe sur ce qui est consid\u00e9r\u00e9 comme un \u00ab effort raisonnable \u00bb. La loi lie les obligations \u00e0 la nature et \u00e0 l’ampleur de vos activit\u00e9s ainsi qu’au caract\u00e8re sensible des informations, mais elle ne les supprime pas pour autant. Si vous disposez d’une liste de clients, d’un formulaire de contact ou d’un fichier de paie, cette loi vous concerne. Pour un point de vue juridique, le cabinet d’avocats montr\u00e9alais Paquette Avocats explique ce que la Loi 25 implique pour les PME qu\u00e9b\u00e9coises<\/a> et pourquoi il est judicieux de solliciter les conseils d’un professionnel du droit.\r\n

Quelles sont les principales exigences de la Loi 25?<\/h2>\r\nLes obligations suivantes sont \u00e9nonc\u00e9es dans la l\u00e9gislation. La mani\u00e8re dont chacune s’applique en d\u00e9tail d\u00e9pend de votre organisation, ce qui explique pourquoi l’avis juridique est pr\u00e9cieux.\r\n

Attribuer la responsabilit\u00e9 des renseignements personnels<\/h3>\r\nChaque organisation doit avoir une personne responsable de la protection des renseignements personnels. Par d\u00e9faut, il s’agit de la personne ayant la plus haute autorit\u00e9, mais le r\u00f4le peut \u00eatre d\u00e9l\u00e9gu\u00e9 par \u00e9crit. Son titre et ses coordonn\u00e9es doivent \u00eatre publi\u00e9s sur votre site Web.\r\n

\u00c9tablir des politiques de gouvernance de la confidentialit\u00e9<\/h3>\r\nLes entreprises doivent adopter des politiques et des pratiques de gouvernance couvrant la conservation et la destruction des renseignements, les r\u00f4les du personnel tout au long du cycle de vie de l’information et un processus pour traiter les plaintes. Des informations d\u00e9taill\u00e9es \u00e0 leur sujet doivent \u00eatre publi\u00e9es dans un langage clair et simple.\r\n

Obtenir un consentement valide<\/h3>\r\nLe consentement doit \u00eatre clair, libre, \u00e9clair\u00e9 et demand\u00e9 pour chaque objectif sp\u00e9cifique dans un langage simple. Pour les renseignements sensibles, le consentement doit \u00eatre explicite. Les individus conservent \u00e9galement le droit de retirer leur consentement.\r\n

R\u00e9aliser des \u00e9valuations des facteurs relatifs \u00e0 la vie priv\u00e9e (\u00c9FVP)<\/h3>\r\nUne \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e (\u00c9FVP) est requise pour tout projet d’acquisition, de d\u00e9veloppement ou de refonte d’un syst\u00e8me d’information ou d’un syst\u00e8me de prestation de services \u00e9lectroniques impliquant des renseignements personnels, et avant de communiquer des renseignements personnels \u00e0 l’ext\u00e9rieur du Qu\u00e9bec.\r\n

G\u00e9rer les incidents de confidentialit\u00e9<\/h3>\r\nSi vous avez des raisons de croire qu’un incident de confidentialit\u00e9 (acc\u00e8s, utilisation, communication ou perte non autoris\u00e9s de renseignements personnels) s’est produit, vous devez prendre des mesures raisonnables pour limiter le risque. Lorsqu’il pr\u00e9sente un risque de pr\u00e9judice grave, vous devez en aviser la Commission d’acc\u00e8s \u00e0 l’information (CAI) et les personnes concern\u00e9es. Vous devez \u00e9galement tenir un registre des incidents de confidentialit\u00e9. La CAI publie des conseils aux entreprises sur les incidents de confidentialit\u00e9<\/a> qui pr\u00e9cisent ce que les avis et le registre doivent contenir.\r\n

R\u00e9pondre aux demandes individuelles de confidentialit\u00e9<\/h3>\r\nLes individus peuvent acc\u00e9der \u00e0 leurs renseignements et les corriger, les recevoir dans un format portable et, dans des circonstances d\u00e9finies, demander la d\u00e9sindexation ou la cessation de la diffusion d’informations les concernant. Les demandes \u00e9crites doivent g\u00e9n\u00e9ralement recevoir une r\u00e9ponse dans les 30 jours.\r\n

\u00c9tablir des proc\u00e9dures de conservation et de destruction<\/h3>\r\nUne fois que l’objectif de la collecte d’informations est atteint, vous devez les d\u00e9truire ou les anonymiser \u00e0 des fins s\u00e9rieuses et l\u00e9gitimes, sous r\u00e9serve de toute p\u00e9riode de conservation l\u00e9gale. L’anonymisation doit suivre les crit\u00e8res \u00e9nonc\u00e9s dans les r\u00e8glements du Qu\u00e9bec.\r\n

Examiner les transferts et les fournisseurs \u00e0 l’ext\u00e9rieur du Qu\u00e9bec<\/h3>\r\nAvant d’envoyer des renseignements personnels \u00e0 l’ext\u00e9rieur du Qu\u00e9bec, y compris \u00e0 un fournisseur de services ou \u00e0 un h\u00e9bergeur infonuagique, vous devez effectuer une \u00c9FVP et mettre en place une entente \u00e9crite.\r\n

Comment la Loi 25 affecte les sites Web et le marketing num\u00e9rique<\/h2>\r\nC’est ici que la loi rencontre les outils que nos clients utilisent chaque jour. Les renseignements personnels sont r\u00e9guli\u00e8rement collect\u00e9s par le biais d’activit\u00e9s de marketing ordinaires, souvent sans que personne ne pense \u00e0 cela comme \u00e0 une \u00ab collecte de donn\u00e9es \u00bb.\r\n\r\nConsid\u00e9rez un site Web d’entreprise typique.\r\n\r\nLes formulaires de contact, les demandes de devis et les formulaires de candidature collectent des noms, des courriels et parfois des d\u00e9tails sensibles. Les abonnements aux infolettres capturent des adresses courriel pour de futurs prospects. Google Analytics, le suivi des conversions Google Ads, le pixel Meta et la balise Insight de LinkedIn collectent des donn\u00e9es comportementales, souvent \u00e0 des fins de remarketing et de reciblage. Les agents conversationnels (chatbots), les vid\u00e9os int\u00e9gr\u00e9es, les int\u00e9grations aux m\u00e9dias sociaux, les extensions tierces et les syst\u00e8mes de prise de rendez-vous en ligne peuvent chacun d\u00e9finir des t\u00e9moins ou envoyer des donn\u00e9es \u00e0 des tiers. En coulisses, votre CRM, votre plateforme de marketing par courriel, vos bases de donn\u00e9es clients, votre h\u00e9bergement de site Web et votre stockage en nuage d\u00e9tiennent tous des renseignements personnels, et certains fonctionnent sur des serveurs situ\u00e9s \u00e0 l’ext\u00e9rieur du Qu\u00e9bec.\r\n\r\nConcr\u00e8tement, il s’agit de cerner, pour chaque syst\u00e8me, une liste concise d’\u00e9l\u00e9ments : quelles donn\u00e9es \u00e0 caract\u00e8re personnel sont collect\u00e9es, pourquoi, comment elles sont utilis\u00e9es, o\u00f9 elles sont stock\u00e9es, qui peut y acc\u00e9der et si elles sont partag\u00e9es avec des tiers. Sur un site de commerce \u00e9lectronique, cette liste est plus longue et comprend souvent des informations relatives au paiement et \u00e0 la livraison. Ce recueil d’informations sous-tend presque toutes les autres obligations, du consentement \u00e0 la gestion des incidents.\r\n

Pourquoi la gestion du consentement aux t\u00e9moins est-elle importante?<\/h2>\r\nOn croit souvent \u00e0 tort que le simple fait d’installer une banni\u00e8re relative aux cookies rend un site web conforme. Ce n’est pas le cas. Une banni\u00e8re n’est utile que si elle refl\u00e8te ce que votre site fait r\u00e9ellement.\r\n\r\nEn vertu de la Loi 25, une entreprise devrait \u00eatre en mesure de r\u00e9pondre \u00e0 plusieurs questions concernant son propre site Web :\r\n