Loi 25, votre site web est-il en règle ?

Beaucoup d’entrepreneurs croient que la Loi 25 ne vise que les grandes organisations. C’est faux, et cette erreur coûte cher en confiance. Elle s’applique à toute entreprise qui exploite au Québec, dès le premier renseignement personnel recueilli.

La bonne nouvelle, c’est que pour une PME, se conformer ne demande ni budget démesuré ni cabinet d’avocats. Ce sont quelques éléments concrets, et la plupart se règlent dans le site lui-même.

Ce que la Loi 25 demande vraiment

La Loi 25, de son vrai nom la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a été adoptée en 2021 et déployée par étapes jusqu’en septembre 2024. Toutes ses dispositions sont maintenant en vigueur.

Un travailleur autonome avec un simple formulaire de contact y est assujetti au même titre qu’une entreprise de deux cents employés. Et un renseignement personnel, c’est plus large qu’on pense. Un nom, un courriel, un numéro de téléphone, une adresse IP. Si votre site a un formulaire, une infolettre ou un outil de statistiques, vous en recueillez.

La politique de confidentialité, le point de départ

C’est l’obligation la plus visible et la plus souvent bâclée. Votre site doit publier une politique de confidentialité claire, accessible et rédigée en termes simples.

Elle doit expliquer quels renseignements vous recueillez, pourquoi vous les recueillez, combien de temps vous les conservez, avec qui vous les partagez, et comment une personne peut y accéder, les faire corriger ou les faire supprimer.

Ce qui coince le plus souvent, c’est le partage. Si votre site utilise un outil de statistiques, un formulaire hébergé ailleurs ou un service d’infolettre, vos données transitent par des tiers. Il faut le dire. Et si ces tiers sont à l’extérieur du Québec, ce qui est presque toujours le cas, la loi exige une évaluation des facteurs relatifs à la vie privée avant la communication.

Une politique copiée sur un autre site ne vous protège pas. Elle doit décrire vos pratiques réelles, pas celles de quelqu’un d’autre.

Les témoins, là où presque tout le monde se trompe

C’est le point où je vois le plus d’erreurs, et de loin.

La règle est simple à énoncer. Aucun témoin non essentiel ne doit être déposé sur l’appareil du visiteur avant qu’il ait donné son consentement. Les témoins essentiels, ceux qui font fonctionner le site, sont permis d’office. Les autres, statistiques et publicité, doivent attendre.

Or la majorité des sites québécois font l’inverse. La bannière s’affiche, mais les outils de suivi se sont déjà déclenchés au chargement de la page. Le visiteur n’a rien accepté et ses données circulent déjà. La bannière donne l’illusion de la conformité sans la produire.

Ce n’est pas un détail cosmétique, c’est le coeur du mécanisme. Une bannière conforme doit permettre de refuser aussi facilement que d’accepter, permettre de changer d’avis à tout moment, et surtout retenir réellement les outils tant que le consentement n’est pas donné.

Sur mon propre site, les témoins d’analyse démarrent en mode refusé et ne s’activent que si vous acceptez. C’est la seule façon d’être en règle, et ça se code.

Le responsable de la protection des renseignements personnels

Voici l’obligation la plus méconnue, et pourtant l’une des plus simples à remplir.

Chaque entreprise doit désigner une personne responsable de la protection des renseignements personnels. Par défaut, c’est celle qui détient la plus haute autorité, donc le propriétaire dans la plupart des PME. Vous êtes probablement déjà cette personne sans le savoir.

Ce qui manque presque toujours, c’est la publication. Son titre et ses coordonnées doivent apparaître sur votre site web. Un nom ou une fonction, et un moyen de la joindre.

C’est deux lignes à ajouter dans votre page de mentions légales. Ça prend cinq minutes et c’est une obligation légale que la majorité des sites que je consulte ne respecte pas.

Ce qui se passe quand ça tourne mal

La loi vous demande aussi de tenir un registre des incidents de confidentialité. Un incident, c’est tout accès, toute utilisation ou toute communication non autorisée d’un renseignement personnel, mais aussi une perte ou un vol.

Si l’incident présente un risque de préjudice sérieux, vous devez aviser la Commission d’accès à l’information et les personnes concernées avec diligence.

Pour une PME, ce registre n’a rien d’un système complexe. Un simple document où vous notez la date, la nature de l’incident, les personnes touchées et les mesures prises suffit. Ce qui compte, c’est qu’il existe avant l’incident, pas après.

Pourquoi ça se règle à la conception

Voici ce que je constate en pratique. Rendre conforme un site déjà en ligne coûte plus cher et donne un résultat plus fragile que de le concevoir conforme dès le départ.

Sur un site bâti avec un constructeur de pages et une dizaine d’extensions, personne ne sait exactement quels outils déposent quoi ni à quel moment. On ajoute alors une extension de bannière par-dessus, en espérant qu’elle intercepte tout. Elle n’y arrive presque jamais complètement.

Quand le site est codé à la main, la question ne se pose pas. On sait exactement ce qui se charge, dans quel ordre et sous quelle condition. Le consentement n’est pas une couche ajoutée par-dessus, il fait partie de la structure.

C’est un des avantages invisibles de cette approche, au même titre que la performance du code d’un site web.

Votre plan d’action

Si vous voulez savoir où vous en êtes, voici comment vérifier en une quinzaine de minutes.

Ouvrez votre site dans une fenêtre de navigation privée. Sans rien cliquer, ouvrez les outils de développement de votre navigateur et regardez les témoins déjà déposés. S’il y en a d’autres que ceux strictement nécessaires au fonctionnement, votre bannière ne fait pas son travail.

Cherchez ensuite votre politique de confidentialité. Est-elle accessible depuis toutes les pages ? Décrit-elle vos vraies pratiques ? Nomme-t-elle les services tiers que vous utilisez réellement ?

Vérifiez enfin si le nom et les coordonnées de votre responsable de la protection des renseignements personnels apparaissent quelque part.

Si l’un de ces trois points cloche, vous n’êtes pas en règle. Ce n’est pas dramatique et ça se corrige, mais mieux vaut le savoir maintenant que le jour où quelqu’un pose la question.

La conformité, au fond, c’est une question de confiance

Un visiteur qui arrive sur votre site et qui voit une bannière honnête, une politique claire et un responsable identifié comprend quelque chose sur vous avant même de lire votre offre. Il comprend que vous prenez ses données au sérieux, donc que vous le prenez au sérieux.

L’inverse est vrai aussi. Une bannière qui piège, une politique copiée ailleurs, aucun responsable nommé. Ce sont des signaux, et ils se remarquent.

Si vous vous demandez où en est votre site, je peux le vérifier avec vous. Et si vous préférez comprendre pour le gérer vous-même, c’est exactement ce que je transmets dans mon article sur comment gérer son site WordPress soi-même.