Loi 25 · information générale
Loi 25 : ce que la loi prévoit pour l'entreprise et son site web
Les articles de la LPRPSP (RLRQ, c. P-39.1) cités ici sont reproduits mot pour mot, à jour au 15 octobre 2026. Les lectures de la Commission d'accès à l'information (CAI) sont présentées à part : elles ne sont pas le texte de loi.
Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
Comment lire cette page
Chaque section donne d'abord l'article de loi, en citation, avec son lien vers LégisQuébec. Une étiquette La loi prévoit marque le texte de loi ; une étiquette Selon la CAI (non contraignant) marque une lecture publiée par la CAI.
Cette page ne s'applique à aucun site ni à aucune entreprise en particulier.
Sur cette page
- Renseignement personnel (art. 2)
- Responsable de la protection des renseignements personnels (art. 3.1)
- Politiques et pratiques de gouvernance (art. 3.2)
- Information à la collecte (art. 8)
- Technologies d'identification, de localisation ou de profilage (art. 8.1)
- Politique de confidentialité (art. 8.2)
- Communication à l'extérieur du Québec (art. 17)
- Sanctions et amendes prévues (art. 90.1, 90.12, 91, 92.1)
Renseignement personnel (art. 2)
La définition que donne la loi :
La loi prévoitEst un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier.
Source : LPRPSP (RLRQ, c. P-39.1), art. 2, LégisQuébec, à jour au 15 octobre 2026
Responsable de la protection des renseignements personnels (art. 3.1)
La loi prévoit que la personne ayant la plus haute autorité dans l'entreprise exerce la fonction de responsable de la protection des renseignements personnels, qu'elle peut déléguer par écrit, et que le titre et les coordonnées de ce responsable sont publiés sur le site Internet de l'entreprise.
La loi prévoit3.1. Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient.
Au sein de l'entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi. Elle exerce la fonction de responsable de la protection des renseignements personnels; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne.
Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.1, LégisQuébec, à jour au 15 octobre 2026
Le troisième alinéa parle du « titre et [des] coordonnées » du responsable.
Politiques et pratiques de gouvernance (art. 3.2)
La loi prévoit que l'entreprise établit et met en oeuvre des politiques et des pratiques de gouvernance, qui prévoient notamment l'encadrement de la conservation et de la destruction des renseignements, les rôles et les responsabilités du personnel et un processus de traitement des plaintes. Elle prévoit aussi que des informations détaillées sur ces politiques et pratiques sont publiées, en termes simples et clairs, sur le site Internet de l'entreprise.
La loi prévoit3.2. Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l'égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l'encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements et un processus de traitement des plaintes relatives à la protection de ceux-ci. Elles doivent également être proportionnées à la nature et à l'importance des activités de l'entreprise et être approuvées par le responsable de la protection des renseignements personnels.
Des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont, en termes simples et clairs, publiées sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendues accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.2, LégisQuébec, à jour au 15 octobre 2026
Selon la CAI (non contraignant)« Vous pouvez la rendre publique et vous devez au minimum publier des informations détaillées sur vos pratiques. »
Information à la collecte (art. 8)
La loi prévoit que la personne qui recueille des renseignements personnels informe la personne concernée, lors de la collecte et par la suite sur demande, des fins, des moyens, des droits d'accès et de rectification et du droit de retirer son consentement. Le deuxième alinéa s'applique « le cas échéant » ; le troisième, « sur demande ».
La loi prévoit8. La personne qui recueille des renseignements personnels auprès de la personne concernée doit, lors de la collecte et par la suite sur demande, l'informer:
1° des fins auxquelles ces renseignements sont recueillis;
2° des moyens par lesquels les renseignements sont recueillis;
3° des droits d'accès et de rectification prévus par la loi;
4° de son droit de retirer son consentement à la communication ou à l'utilisation des renseignements recueillis.
Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec.
Sur demande, la personne concernée est également informée des renseignements personnels recueillis auprès d'elle, des catégories de personnes qui ont accès à ces renseignements au sein de l'entreprise, de la durée de conservation de ces renseignements, ainsi que des coordonnées du responsable de la protection des renseignements personnels.
L'information doit être transmise à la personne concernée en termes simples et clairs, quel que soit le moyen utilisé pour recueillir les renseignements.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8, LégisQuébec, à jour au 15 octobre 2026
Selon la CAI (non contraignant)« Recueilli (formulaire d'abonnement, sondage, outils analytiques Web, etc.); »
« Vos obligations en matière de collecte s'appliquent même si celle-ci est confiée à un tiers, comme un mandataire ou un prestataire de services. »
Source : CAI, page « Collecte de renseignements personnels » (entreprises)
Technologies d'identification, de localisation ou de profilage (art. 8.1)
La loi prévoit d'informer au préalable du recours à une technologie comprenant des fonctions permettant d'identifier, de localiser ou d'effectuer un profilage, et des moyens offerts pour activer ces fonctions.
La loi prévoit8.1. En plus des informations devant être fournies suivant l'article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage de celle-ci doit, au préalable, l'informer:
1° du recours à une telle technologie;
2° des moyens offerts pour activer les fonctions permettant d'identifier, de localiser ou d'effectuer un profilage.
Le profilage s'entend de la collecte et de l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne physique, notamment à des fins d'analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement de cette personne.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.1, LégisQuébec, à jour au 15 octobre 2026
Le texte de l'article 8.1 ne contient pas les mots « désactivées par défaut ». La CAI en déduit que ces fonctions doivent être désactivées par défaut :
Selon la CAI (non contraignant)Selon la CAI (non contraignant)« ces fonctions doivent être désactivées par défaut »
« La personne concernée doit donc poser un geste positif pour ce faire. »
« Par conséquent, vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement. »
Source : CAI, page « Collecte de renseignements personnels » (entreprises)
Les lignes directrices 2023-1 de la CAI portent sur le consentement et ses critères de validité ; le passage cité ci-dessus est leur paragraphe B.4.
Article 9.1 : les témoins de connexion en sont exclus
L'article 9.1 prévoit des paramètres de confidentialité par défaut pour les produits ou services technologiques offerts au public. Son deuxième alinéa exclut les paramètres de confidentialité d'un témoin de connexion.
La loi prévoit9.1. Une personne qui exploite une entreprise et qui recueille des renseignements personnels en offrant au public un produit ou un service technologique disposant de paramètres de confidentialité doit s'assurer que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée.
Ne sont pas visés au premier alinéa les paramètres de confidentialité d'un témoin de connexion.
Source : LPRPSP (RLRQ, c. P-39.1), art. 9.1, LégisQuébec, à jour au 15 octobre 2026
Politique de confidentialité (art. 8.2)
La loi prévoit que l'entreprise qui recueille des renseignements personnels par un moyen technologique publie sur son site, le cas échéant, une politique de confidentialité rédigée en termes simples et clairs, ainsi que l'avis de toute modification.
La loi prévoit8.2. La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l'entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l'avis dont toute modification à cette politique doit faire l'objet.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.2, LégisQuébec, à jour au 15 octobre 2026
La mention des témoins de connexion dans la politique ne figure pas à l'article 8.2 ; elle figure parmi les éléments que la CAI énumère :
Selon la CAI (non contraignant)« Du recours à l'utilisation de témoins de connexion (cookies), si tel est le cas; »
« De toute modification apportée à la politique, si tel est le cas. »
Communication à l'extérieur du Québec (art. 17)
La loi prévoit une évaluation des facteurs relatifs à la vie privée avant de communiquer un renseignement personnel à l'extérieur du Québec. Il en est de même lorsque l'entreprise confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un tel renseignement.
La loi prévoit17. Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants:
1° la sensibilité du renseignement;
2° la finalité de son utilisation;
3° les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait;
4° le régime juridique applicable dans l'État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.
La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l'objet d'une entente écrite qui tient compte notamment des résultats de l'évaluation et, le cas échéant, des modalités convenues dans le but d'atténuer les risques identifiés dans le cadre de cette évaluation.
Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un tel renseignement.
Le présent article ne s'applique pas à une communication prévue au paragraphe 7° du premier alinéa de l'article 18.
Source : LPRPSP (RLRQ, c. P-39.1), art. 17, LégisQuébec, à jour au 15 octobre 2026
Du côté de l'information à la personne concernée, l'article 8 (deuxième alinéa) mentionne, le cas échéant, « la possibilité que les renseignements soient communiqués à l'extérieur du Québec ».
Aller plus loin
- Les plafonds des sanctions et des amendes prévus par la loi
- Autodiagnostic : six éléments choisis parmi ceux que la loi mentionne
- Ce que notre analyseur mesure sur un site
Sources officielles
- LPRPSP, RLRQ c. P-39.1 (LégisQuébec)
- CAI, Collecte de renseignements personnels (entreprises)
- CAI, Lignes directrices 2023-1, Consentement : critères de validité (PDF)
- CAI, Rédiger une politique de confidentialité (PDF)
Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
Pour aller plus loin
OutilAutodiagnostic Loi 25
Six questions choisies, chacune avec son article.
Information généraleSanctions et amendes
Les plafonds prévus aux art. 90.12, 91 et 92.1.
Information généraleCe que nous mesurons
Les constats techniques de l'analyseur, un par un.
OutilRépertoire des témoins
Finalité et durée publiées par chaque fournisseur.
BlogueBlogue
Un sujet par billet, article de loi cité.