Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
Ce résumé reprend six articles de la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) choisis parce qu’ils touchent un site web. La loi prévoit d’autres obligations, par exemple l’évaluation de tout projet de système d’information ou de prestation électronique de services (art. 3.3), les incidents de confidentialité (art. 3.5 et 3.8), les mesures de sécurité (art. 10) et le consentement (art. 14). Chaque point renvoie au texte officiel ; les lectures de la Commission d’accès à l’information (CAI) sont présentées à part, comme non contraignantes. Le texte complet de chaque article se lit sur LégisQuébec ; la page Loi 25 : ce que la loi prévoit les reprend en détail.
1. Le titre et les coordonnées du responsable de la protection
La loi prévoit que la personne ayant la plus haute autorité dans l’entreprise exerce la fonction de responsable de la protection des renseignements personnels, qu’elle peut la déléguer par écrit, et que le titre et les coordonnées de ce responsable sont publiés sur le site Internet de l’entreprise. Le texte parle du titre, pas du nom.
La loi prévoit3.1. Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient.
Au sein de l'entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi. Elle exerce la fonction de responsable de la protection des renseignements personnels; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne.
Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.1, LégisQuébec, à jour au 15 octobre 2026
2. Des informations détaillées sur la gouvernance
La loi prévoit que des informations détaillées au sujet des politiques et des pratiques de gouvernance sont publiées, en termes simples et clairs, sur le site Internet de l’entreprise. Le texte vise des informations détaillées, pas forcément le document interne lui-même.
La loi prévoit3.2. Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l'égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l'encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements et un processus de traitement des plaintes relatives à la protection de ceux-ci. Elles doivent également être proportionnées à la nature et à l'importance des activités de l'entreprise et être approuvées par le responsable de la protection des renseignements personnels.
Des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont, en termes simples et clairs, publiées sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendues accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.2, LégisQuébec, à jour au 15 octobre 2026
3. L’information donnée lors de la collecte
L’article 8 énumère ce dont la personne concernée est informée lors de la collecte : les fins, les moyens, les droits d’accès et de rectification, le droit de retirer son consentement. Le cas échéant, elle est aussi informée du nom des tiers et de la possibilité que les renseignements soient communiqués à l’extérieur du Québec. D’autres éléments ne sont dus que sur demande.
La loi prévoit8. La personne qui recueille des renseignements personnels auprès de la personne concernée doit, lors de la collecte et par la suite sur demande, l'informer:
1° des fins auxquelles ces renseignements sont recueillis;
2° des moyens par lesquels les renseignements sont recueillis;
3° des droits d'accès et de rectification prévus par la loi;
4° de son droit de retirer son consentement à la communication ou à l'utilisation des renseignements recueillis.
Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec.
Sur demande, la personne concernée est également informée des renseignements personnels recueillis auprès d'elle, des catégories de personnes qui ont accès à ces renseignements au sein de l'entreprise, de la durée de conservation de ces renseignements, ainsi que des coordonnées du responsable de la protection des renseignements personnels.
L'information doit être transmise à la personne concernée en termes simples et clairs, quel que soit le moyen utilisé pour recueillir les renseignements.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8, LégisQuébec, à jour au 15 octobre 2026
4. Les technologies qui permettent d’identifier, de localiser ou de profiler
La loi prévoit d’informer au préalable du recours à une telle technologie et des moyens offerts pour activer ces fonctions. Le texte ne dit pas, en ces mots, que ces fonctions sont désactivées par défaut ; c’est la lecture qu’en fait la CAI.
La loi prévoit8.1. En plus des informations devant être fournies suivant l'article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage de celle-ci doit, au préalable, l'informer:
1° du recours à une telle technologie;
2° des moyens offerts pour activer les fonctions permettant d'identifier, de localiser ou d'effectuer un profilage.
Le profilage s'entend de la collecte et de l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne physique, notamment à des fins d'analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement de cette personne.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.1, LégisQuébec, à jour au 15 octobre 2026
Selon la CAI (non contraignant)« ces fonctions doivent être désactivées par défaut »
« La personne concernée doit donc poser un geste positif pour ce faire. »
5. La politique de confidentialité publiée
La loi prévoit que l’entreprise qui recueille des renseignements personnels par un moyen technologique publie sur son site, le cas échéant, une politique de confidentialité rédigée en termes simples et clairs, ainsi que l’avis de toute modification.
La loi prévoit8.2. La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l'entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l'avis dont toute modification à cette politique doit faire l'objet.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.2, LégisQuébec, à jour au 15 octobre 2026
6. La communication à l’extérieur du Québec
Avant de communiquer un renseignement personnel à l’extérieur du Québec, la loi prévoit une évaluation des facteurs relatifs à la vie privée et une entente écrite. Il en est de même lorsque l’entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement. Le détail est dans le billet Communication hors Québec.
Et les sanctions
Dans les cas autres qu’une personne physique, la loi prévoit une sanction administrative pécuniaire d’un montant maximal de 10 000 000 $ ou de 2 % du chiffre d’affaires mondial de l’exercice financier précédent si ce montant est plus élevé (art. 90.12), et une amende pénale de 15 000 $ à 25 000 000 $ ou de 4 % de ce chiffre d’affaires si ce montant est plus élevé (art. 91). Ce sont des montants prévus par la loi (maximum pour la sanction, fourchette pour l’amende) ; ils ne décrivent pas ce qui serait imposé dans un cas donné. Voir Sanction administrative pécuniaire ou amende pénale.
Ce que ce résumé ne couvre pas
Ce résumé s’en tient aux articles cités. Il ne dit pas si un site donné respecte la loi : l’autodiagnostic compte les réponses à six questions choisies parmi les éléments que la loi mentionne, sans couvrir toutes les obligations, et seule une analyse juridique peut conclure pour un cas précis.
Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
