Loi 25 · résumé
La Loi 25 en une page : ce qui touche un site web
Six dispositions de la loi qui touchent un site web, résumées plus bas avec le texte cité. D'abord, voyez ce qu'une page de votre site dépose et transmet dès le chargement.
0requêtes avant tout clic
0domaines tiers
0témoins déposés
Navigateur neuf, aucun clic
Ou consultez la liste de vérification Loi 25 pour un site web, en accès libre.
Le résumé, article par article
La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP). Voici les dispositions qui touchent un site web, chacune avec un extrait du texte. Le texte complet de chaque article est sur la page Loi 25.
1. Le responsable de la protection des renseignements personnels
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise ; la fonction peut être déléguée par écrit. Son titre et ses coordonnées se publient sur le site.
La loi prévoitLe titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.1, 3e alinéa, LégisQuébec, à jour au 15 octobre 2026
2. La gouvernance, publiée en termes simples
L'entreprise établit des politiques et des pratiques de gouvernance ; des informations détaillées à leur sujet se publient sur le site.
La loi prévoitDes informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont, en termes simples et clairs, publiées sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendues accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.2, 2e alinéa, LégisQuébec, à jour au 15 octobre 2026
3. L'information lors de la collecte
Un formulaire de contact, d'inscription ou de commande recueille des renseignements personnels. La loi prévoit ce qui est dit à la personne au moment de la collecte :
La loi prévoit8. La personne qui recueille des renseignements personnels auprès de la personne concernée doit, lors de la collecte et par la suite sur demande, l'informer:
1° des fins auxquelles ces renseignements sont recueillis;
2° des moyens par lesquels les renseignements sont recueillis;
3° des droits d'accès et de rectification prévus par la loi;
4° de son droit de retirer son consentement à la communication ou à l'utilisation des renseignements recueillis.
Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8, 1er et 2e alinéas, LégisQuébec, à jour au 15 octobre 2026
4. Les technologies qui identifient, localisent ou profilent
Témoins et scripts de mesure ou de publicité peuvent en faire partie, selon leurs fonctions. La loi prévoit une information préalable :
La loi prévoit8.1. En plus des informations devant être fournies suivant l'article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage de celle-ci doit, au préalable, l'informer:
1° du recours à une telle technologie;
2° des moyens offerts pour activer les fonctions permettant d'identifier, de localiser ou d'effectuer un profilage.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.1, 1er alinéa, LégisQuébec, à jour au 15 octobre 2026
La loi ne dit pas textuellement « désactivées par défaut » ; c'est la lecture de la CAI :
Selon la CAI (non contraignant)« ces fonctions doivent être désactivées par défaut »
« La personne concernée doit donc poser un geste positif pour ce faire. »
5. La politique de confidentialité
La loi prévoit8.2. La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l'entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l'avis dont toute modification à cette politique doit faire l'objet.
Source : LPRPSP (RLRQ, c. P-39.1), art. 8.2, LégisQuébec, à jour au 15 octobre 2026
6. La communication à l'extérieur du Québec
Communiquer des renseignements personnels à l'extérieur du Québec, y compris ailleurs au Canada, ou confier à un fournisseur situé à l'extérieur du Québec (hébergeur, outil infonuagique, mesure d'audience) la tâche de les recueillir, de les utiliser, de les communiquer ou de les conserver pour son compte peut être visé.
La loi prévoit17. Avant de communiquer à l'extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants: […]
Source : LPRPSP (RLRQ, c. P-39.1), art. 17, 1er alinéa (extrait), LégisQuébec, à jour au 15 octobre 2026
La loi prévoitIl en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver pour son compte un tel renseignement.
Source : LPRPSP (RLRQ, c. P-39.1), art. 17, 3e alinéa, LégisQuébec, à jour au 15 octobre 2026
Ce résumé ne couvre pas toutes les obligations de la loi (par exemple art. 3.5 à 3.8 sur les incidents de confidentialité, art. 10 sur les mesures de sécurité).
Liste de vérification Loi 25 pour un site web
Dix éléments à vérifier pour un site web : neuf renvoient à un article de la loi ou à la lecture de la CAI, un à une mesure technique. Certains se voient sur le site, d'autres se vérifient à l'interne. Une liste d'éléments à vérifier, pas un modèle juridique.
- Le titre et les coordonnées du responsable de la protection des renseignements personnels sont-ils publiés sur le site? art. 3.1, 3e alinéa
- Des informations détaillées sur les politiques et pratiques de gouvernance (conservation et destruction, rôles du personnel, traitement des plaintes) sont-elles publiées sur le site, en termes simples et clairs? art. 3.2, 2e alinéa
- Lors de la collecte de renseignements personnels par un formulaire, la personne est-elle informée des fins, des moyens, des droits d'accès et de rectification et de son droit de retirer son consentement? art. 8, 1er alinéa
- Le cas échéant, la personne est-elle informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements, et de la possibilité qu'ils soient communiqués à l'extérieur du Québec? art. 8, 2e alinéa
- Si le site a recours à une technologie qui permet d'identifier, de localiser ou d'effectuer un profilage, le visiteur en est-il informé au préalable, ainsi que des moyens offerts pour activer ces fonctions? art. 8.1
- Ces fonctions sont-elles désactivées tant que le visiteur n'a pas posé de geste positif? (lecture de la CAI, non contraignante) CAI, Lignes directrices 2023-1, par. B.4
- Quels témoins et quelles requêtes vers des tiers partent avant le premier clic? (mesure : l'analyseur ci-dessus) mesure technique
- Une politique de confidentialité en termes simples et clairs est-elle publiée sur le site, et toute modification fait-elle l'objet d'un avis? art. 8.2
- La politique mentionne-t-elle le recours aux témoins de connexion, si tel est le cas? (lecture de la CAI, non contraignante) CAI, page « Collecte de renseignements personnels »
- Si des renseignements personnels sont communiqués à l'extérieur du Québec, ou confiés à un fournisseur situé à l'extérieur du Québec (hébergement, outil infonuagique, sous-traitant) pour qu'il les recueille, les utilise, les communique ou les conserve : une évaluation des facteurs relatifs à la vie privée a-t-elle été faite avant, a-t-elle démontré une protection adéquate, et une entente écrite encadre-t-elle la communication? art. 17, 1er à 3e alinéas
La liste ne couvre pas toutes les obligations de la loi (par exemple art. 3.5 à 3.8 sur les incidents de confidentialité, art. 10 sur les mesures de sécurité). Les lectures de la CAI ne sont pas contraignantes.
Inscription enregistrée. Aucun courriel ne vous est envoyé pour la confirmer.