Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
Ce billet présente des éléments qu’une politique de confidentialité mentionne d’après les passages cités de la LPRPSP et de la Commission d’accès à l’information (CAI) ; il ne prétend pas en faire la liste complète. Il ne fournit pas de modèle ni de texte à reprendre : une politique se rédige d’après les pratiques réelles d’une entreprise.
Ce que la loi prévoit : publier une politique (art. 8.2)
La loi prévoit que l’entreprise qui recueille des renseignements personnels par un moyen technologique publie sur son site Internet, le cas échéant, une politique de confidentialité rédigée en termes simples et clairs, ainsi que l’avis de toute modification à cette politique.
La loi prévoit8.2. La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l'entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l'avis dont toute modification à cette politique doit faire l'objet.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.2, LégisQuébec, à jour au 15 octobre 2026
L’article 8.2 ne dresse pas la liste du contenu de la politique. Il ne traite pas non plus de la langue de la politique.
Ce que la loi prévoit : informer lors de la collecte (art. 8)
L’article 8 énumère ce dont la personne concernée est informée lors de la collecte. Le deuxième alinéa s’applique « le cas échéant » ; le troisième, « sur demande » seulement : la durée de conservation, les catégories de personnes ayant accès et les coordonnées du responsable font partie de ce qui est dû sur demande.
La loi prévoit8. La personne qui recueille des renseignements personnels auprès de la personne concernée doit, lors de la collecte et par la suite sur demande, l'informer:
1° des fins auxquelles ces renseignements sont recueillis;
2° des moyens par lesquels les renseignements sont recueillis;
3° des droits d'accès et de rectification prévus par la loi;
4° de son droit de retirer son consentement à la communication ou à l'utilisation des renseignements recueillis.
Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec.
Sur demande, la personne concernée est également informée des renseignements personnels recueillis auprès d'elle, des catégories de personnes qui ont accès à ces renseignements au sein de l'entreprise, de la durée de conservation de ces renseignements, ainsi que des coordonnées du responsable de la protection des renseignements personnels.
L'information doit être transmise à la personne concernée en termes simples et clairs, quel que soit le moyen utilisé pour recueillir les renseignements.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8, LégisQuébec, à jour au 15 octobre 2026
Ce que la CAI y voit
La CAI décrit l’objet de la politique, puis une liste d’éléments. Cette liste est sa lecture, non contraignante ; la mention des témoins de connexion, par exemple, ne figure pas à l’article 8.2.
Selon la CAI (non contraignant)« Il s’agit d’une politique expliquant les pratiques d’une entreprise pour protéger les renseignements personnels recueillis au moyen de cette technologie. Son objectif est d’informer les personnes concernées des renseignements qui sont ainsi recueillis et de la façon dont votre organisation utilisera, conservera et protégera ceux-ci. »
Source : CAI, page « Collecte de renseignements personnels » (entreprises), politique de confidentialité
Selon la CAI (non contraignant)« Cette politique doit être adaptée au contexte dans lequel elle s’inscrit et informer les personnes : »
« Des renseignements personnels collectés par ce moyen technologique et des fins pour lesquelles ils sont recueillis; »
« Des tiers à qui ils pourraient être communiqués et dans quels contextes; »
« Des mesures de protection mises en place pour préserver leur confidentialité; »
« Du recours à l’utilisation de témoins de connexion (cookies), si tel est le cas; »
« Des droits et des recours des personnes concernées; »
« De toute modification apportée à la politique, si tel est le cas. »
Source : CAI, page « Collecte de renseignements personnels » (entreprises), éléments de la politique
Témoins de connexion et technologies de profilage
Lorsque la collecte se fait par une technologie qui permet d’identifier, de localiser ou de profiler, l’article 8.1 ajoute une information préalable. Le billet Loi 25 et cookies cite l’article et la lecture de la CAI.
Le guide de la CAI
La CAI publie un guide intitulé « Rédiger une politique de confidentialité ».
Source : CAI, guide « Rédiger une politique de confidentialité » (PDF)
Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
