Publié le 28 juillet 2026
À retenir
- La Loi 25 s’applique à toute entreprise qui exploite une activité au Québec et recueille des renseignements personnels — sans seuil de taille ni de chiffre d’affaires. Votre site web y est soumis.
- Six obligations touchent directement un site : responsable de la protection nommé et affiché, politique de confidentialité claire, consentement explicite pour les témoins non essentiels, confidentialité par défaut, transparence sur les décisions automatisées, et gestion des incidents.
- Les sanctions atteignent 25 millions de dollars ou 4 % du chiffre d’affaires mondial. L’application s’est faite par étapes de 2022 à 2024 : tout est désormais en vigueur.
- Une bannière de témoins mal configurée nuit aussi à votre référencement : elle retarde l’affichage et dégrade vos signaux web essentiels.
Cet article explique les obligations en termes pratiques pour une PME. Il ne constitue pas un avis juridique : pour une situation particulière, consultez un conseiller juridique ou la Commission d’accès à l’information du Québec.
Qu’est-ce que la Loi 25 exactement ?
La Loi 25 est la réforme québécoise de la protection des renseignements personnels, adoptée en septembre 2021 sous le nom de Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Elle remplace un régime qui datait des années 1990 et rapproche le Québec des standards européens.
L’entrée en vigueur de la Loi 25 s’est étalée sur trois ans. En 2022 sont arrivées les obligations liées au responsable de la protection des renseignements personnels et à la déclaration des incidents de confidentialité. En 2023, celles sur le consentement, la transparence et la confidentialité par défaut. En 2024, le droit à la portabilité des données. L’ensemble du régime est donc pleinement applicable aujourd’hui — la période de grâce est terminée.
Votre PME est-elle visée par la Loi 25 ?
Presque certainement. La Loi 25 vise toute entreprise qui exploite une activité au Québec et qui recueille, détient, utilise ou communique des renseignements personnels, quelle que soit sa taille. La Loi 25 ne prévoit aucun seuil d’employés ou de revenus : PME, travailleur autonome et organisme sans but lucratif sont logés à la même enseigne.
Un renseignement personnel est toute information permettant d’identifier une personne, directement ou indirectement. Sur un site web, cela dépasse largement le formulaire de contact : adresses IP, identifiants de témoins, données de navigation recueillies par vos outils d’analyse, enregistrements de sessions, courriels d’infolettre. Si votre site utilise Google Analytics, un pixel publicitaire ou un formulaire, vous traitez des renseignements personnels.
Les six obligations de la Loi 25 qui touchent votre site web
Voici les exigences concrètes à mettre en place, dans l’ordre où elles apparaissent à un visiteur.
1. Nommer et afficher un responsable de la protection des renseignements personnels
Par défaut, cette fonction revient à la personne ayant la plus haute autorité dans l’entreprise — président ou propriétaire. Elle peut être déléguée par écrit. Le titre et les coordonnées de cette personne doivent être publiés sur votre site, généralement dans la politique de confidentialité ou la page contact.
2. Publier une politique de confidentialité réellement compréhensible
La Loi 25 exige des termes simples et clairs. Le document doit préciser quels renseignements vous recueillez, à quelles fins, avec qui vous les partagez, combien de temps vous les conservez et comment exercer ses droits. Une politique traduite d’un modèle américain, remplie de jargon et décrivant des pratiques qui ne sont pas les vôtres, ne remplit pas cette obligation.
3. Obtenir un consentement valable pour les témoins non essentiels
C’est l’obligation la plus visible et la plus souvent bâclée. Le consentement doit être libre, éclairé et donné à des fins spécifiques. Concrètement, sur votre bannière de témoins : refuser doit être aussi simple qu’accepter, aucun témoin non essentiel ne doit se déposer avant le choix du visiteur, et une case pré-cochée ne constitue pas un consentement. Les témoins strictement nécessaires au fonctionnement du site — session, panier d’achat, sécurité — échappent à cette exigence.
4. Appliquer la confidentialité par défaut
Lorsque votre site offre un produit ou un service technologique comportant des réglages de confidentialité, le niveau le plus protecteur doit s’appliquer d’emblée. L’utilisateur peut ensuite choisir de l’abaisser, jamais l’inverse.
5. Informer en cas de décision automatisée
Si une décision concernant une personne repose uniquement sur un traitement automatisé — pointage de crédit, tri automatique de candidatures —, elle doit en être informée et pouvoir présenter ses observations. Cette obligation gagne en importance à mesure que les PME intègrent des outils d’intelligence artificielle dans leurs processus.
6. Savoir gérer un incident de confidentialité
En cas de fuite présentant un risque de préjudice sérieux, vous devez aviser la Commission d’accès à l’information et les personnes concernées, puis consigner l’événement dans un registre des incidents. Cela suppose de savoir quelles données vous détenez et où elles se trouvent — un inventaire que peu de PME ont réalisé.
Loi 25 : les manquements les plus fréquents sur les sites de PME
Cinq erreurs reviennent constamment lors des audits de conformité. Elles sont toutes corrigeables en quelques heures.
- La bannière décorative : elle annonce « en poursuivant votre navigation, vous acceptez les témoins » alors que les scripts de suivi se sont déjà exécutés. Ce n’est pas un consentement.
- Le refus enterré : un bouton « Accepter » bien en évidence et un refus caché dans un sous-menu contreviennent à l’exigence d’un consentement libre.
- La politique fantôme : un document générique qui décrit des pratiques inexistantes ou passe sous silence les outils réellement employés.
- Les formulaires bavards : exiger une date de naissance ou un numéro de cellulaire pour une simple infolettre. La Loi 25 impose de ne recueillir que le nécessaire.
- Les transferts hors Québec ignorés : héberger ses données ou utiliser un service infonuagique à l’étranger exige une évaluation des facteurs relatifs à la vie privée.
Le lien méconnu entre conformité et référencement
Une bannière de consentement mal configurée dégrade directement vos performances d’affichage : elle bloque le chargement des scripts jusqu’au choix du visiteur, ce qui retarde l’affichage du contenu principal et détériore vos signaux web essentiels — des facteurs qui influencent le classement.
À l’inverse, une politique de confidentialité claire et un responsable identifié renforcent les signaux de fiabilité que Google évalue au titre de l’E-E-A-T, et que les moteurs génératifs utilisent pour décider s’ils peuvent citer une source. Une entreprise transparente sur ses pratiques inspire confiance aux algorithmes comme aux humains. La conformité bien exécutée sert donc votre visibilité — c’est un point que nous vérifions systématiquement lors d’un audit SEO et GEO et d’une création de site web.
Se conformer à la Loi 25 : par où commencer
La mise en conformité d’un site de PME à la Loi 25 demande généralement une à deux journées de travail. L’ordre suivant permet de traiter d’abord ce qui est visible et sanctionnable.
- Inventoriez les données que votre site recueille réellement — formulaires, outils d’analyse, pixels publicitaires, widgets externes.
- Désignez par écrit votre responsable de la protection et affichez ses coordonnées.
- Réécrivez votre politique de confidentialité pour qu’elle décrive vos pratiques réelles, en français clair.
- Configurez une bannière de témoins conforme : blocage préalable des scripts, refus aussi accessible que l’acceptation.
- Documentez vos transferts hors Québec et préparez votre registre d’incidents.
Conclusion
La Loi 25 n’est pas une formalité administrative réservée aux grandes entreprises : elle s’applique à votre PME dès que votre site recueille la moindre donnée. Les six obligations décrites ici sont toutes réalisables sans budget important, et leur mise en œuvre améliore au passage la confiance de vos visiteurs et vos signaux de qualité aux yeux des moteurs de recherche comme des IA.
Si vous ignorez où en est votre site, commencez par un état des lieux : un audit SEO et GEO vérifie la conformité de vos bannières, la clarté de vos pages légales et leur impact sur vos performances. Vous avez des visiteurs européens ? Consultez notre article sur le RGPD et les PME québécoises. Le vocabulaire technique employé ici est défini dans le glossaire du SEO, du GEO et du marketing numérique.
Questions fréquentes sur la Loi 25
La Loi 25 s’applique-t-elle aux très petites entreprises ?
Oui. La loi ne prévoit aucun seuil d’exemption lié au nombre d’employés ou au chiffre d’affaires. Un travailleur autonome dont le site comporte un formulaire de contact et un outil d’analyse est soumis aux mêmes principes qu’une grande entreprise. Certaines obligations, comme l’évaluation des facteurs relatifs à la vie privée, s’appliquent toutefois de façon proportionnée à la sensibilité des données traitées.
Quelle est la différence entre la Loi 25 et le RGPD ?
Les deux régimes partagent la même philosophie — consentement éclairé, minimisation des données, droits des personnes — mais diffèrent par leur territoire d’application. La Loi 25 vise les entreprises exploitant une activité au Québec ; le RGPD vise le traitement des données de résidents de l’Union européenne, y compris par des entreprises situées à l’étranger. Une PME québécoise qui vend en Europe peut être soumise aux deux simultanément.
Une bannière de témoins est-elle obligatoire sur tous les sites ?
Elle devient nécessaire dès que votre site dépose des témoins non essentiels : outils d’analyse d’audience, pixels publicitaires, vidéos intégrées avec suivi, boutons de partage social. Un site strictement vitrine, sans aucun outil de mesure ni contenu externe, peut s’en passer — ce cas est devenu rare. Les témoins purement techniques n’exigent pas de consentement, mais doivent être mentionnés dans votre politique.
Quelles sont les sanctions prévues en cas de non-conformité ?
Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 millions ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. S’y ajoute un droit d’action privé permettant à une personne lésée de réclamer des dommages. Au-delà du montant, le risque réputationnel d’un incident public reste souvent le plus coûteux pour une PME.
