Sites Web

Politique de confidentialité Loi 25: exemple commenté et ce qu'elle doit contenir

Un exemple de politique de confidentialité pour PME québécoise, commenté section par section, avec ce que la Loi 25 et la CAI exigent vraiment d'y retrouver.

21 octobre 20269 min de lecture

Si votre entreprise recueille des renseignements personnels par un moyen technologique (un formulaire de contact, un courriel, des témoins sur votre site, une application), vous devez publier une politique de confidentialité sur votre site, rédigée en termes simples et clairs. C'est l'article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, en vigueur depuis le 22 septembre 2023. Elle doit dire ce que vous recueillez, comment, pourquoi, qui y a accès, si les données sortent du Québec, quels droits ont les gens et qui joindre. Plus bas, un exemple complet pour une PME fictive, avec un commentaire sur chaque section.

Ce texte vous aide à comprendre et à préparer votre politique. Il ne remplace pas l'avis d'un avocat si vos activités touchent des renseignements sensibles (santé, finances, biométrie) ou des volumes importants.

Ce qu'une politique de confidentialité est, et ce qu'elle n'est pas

La Commission d'accès à l'information (CAI) a publié en décembre 2023 un guide explicatif pour les entreprises. Il distingue trois documents qu'on mélange souvent:

La politique de confidentialité informe les personnes dont vous recueillez les renseignements par un moyen technologique, par exemple les visiteurs de votre site. C'est le document de cet article.
La politique de gouvernance (article 3.2 de la loi) décrit comment votre organisation gère les renseignements à l'interne: rôles du personnel, conservation et destruction, traitement des plaintes. Vous devez au minimum publier des informations détaillées à son sujet sur votre site.
Les conditions d'utilisation encadrent l'usage de votre site ou de vos services. Selon la CAI, elles peuvent renvoyer à la politique de confidentialité, mais elles ne doivent pas être fusionnées avec elle.

Le consentement, lui, est un processus (une case, une demande verbale, une fenêtre de réglage des témoins), pas un document.

Faites l'inventaire avant d'écrire

La plupart des politiques ratées sont des modèles copiés qui décrivent un autre site. Avant de rédiger, notez sur une feuille:

Chaque endroit où une personne vous donne une information: formulaire de soumission, clavardage, prise de rendez-vous, infolettre, courriel, appel enregistré.
Chaque outil branché sur le site: Google Analytics, pixel Meta, balise Google Ads, enregistreur de sessions, outil de clavardage ou assistant IA.
Chaque fournisseur qui reçoit ces données: CRM, hébergeur, plateforme d'infolettre, système de réservation, comptable.
Où ces fournisseurs stockent les données. Si c'est hors du Québec, l'article 17 vous oblige à faire une évaluation des facteurs relatifs à la vie privée avant de communiquer les renseignements, et à encadrer le tout par une entente écrite.
Combien de temps vous gardez chaque type de donnée, et qui les supprime.

Avec cet inventaire, la politique s'écrit presque toute seule.

L'exemple commenté, section par section

L'exemple qui suit concerne une entreprise fictive, Plomberie Rive-Sud inc., qui a un site avec formulaire de soumission, Google Analytics, une campagne Google Ads et un CRM. Adaptez chaque phrase à vos pratiques réelles: une politique qui décrit ce que vous ne faites pas est aussi problématique qu'une politique absente.

En-tête

Politique de confidentialité de Plomberie Rive-Sud inc. En vigueur le 1er novembre 2026. Dernière mise à jour: 1er novembre 2026.

Commentaire. La CAI recommande d'indiquer le nom de l'entreprise, la date d'entrée en vigueur et la date de la dernière mise à jour. Ces dates servent aussi de preuve quand vous modifiez la politique, puisque l'article 8.2 exige de publier un avis pour toute modification.

Qui nous sommes et qui joindre

Nous sommes Plomberie Rive-Sud inc. Notre responsable de la protection des renseignements personnels est la présidente, Julie Tremblay. Pour toute question ou demande: vieprivee@exemple.ca, 450 555-0123.

Commentaire. Par défaut, la personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels. Elle peut déléguer ce rôle par écrit. L'article 3.1 exige de publier le titre et les coordonnées de cette personne sur votre site. Une adresse courriel dédiée évite que les demandes se perdent dans la boîte générale.

Ce que nous recueillons, et comment

Nous recueillons des renseignements de trois façons: - Le formulaire de soumission: votre nom, votre téléphone, votre courriel, l'adresse des travaux et la description du problème. - Les appels et courriels que vous nous envoyez. - Des témoins (cookies) et outils de mesure sur notre site: votre adresse IP, les pages visitées, la date et l'heure de la visite, le type d'appareil.

Commentaire. La CAI demande d'indiquer les moyens technologiques utilisés et les renseignements recueillis. Une liste par source est plus claire qu'un paragraphe générique sur « les données que vous nous fournissez ». Si un fournisseur recueille des renseignements pour vous (plateforme de réservation, outil de clavardage), nommez-le.

Pourquoi nous les recueillons

Nous utilisons ces renseignements pour: - vous rappeler et préparer votre soumission; - planifier et facturer les travaux; - répondre à une plainte ou à une demande de garantie; - mesurer quelles pages et quelles publicités amènent des demandes, afin d'améliorer notre site. Vous pouvez demander une soumission par téléphone plutôt que par le formulaire. Vous pouvez refuser les témoins de mesure: le site fonctionnera normalement.

Commentaire. L'article 8 exige d'informer les gens des fins de la collecte. La CAI ajoute qu'il faut indiquer les moyens de refuser certaines collectes et leurs conséquences. L'article 12 interdit ensuite d'utiliser ces renseignements à d'autres fins sans consentement, sauf exceptions. Si vous comptez envoyer une infolettre à vos clients, dites-le ici et obtenez le consentement prévu par la loi anti-pourriel fédérale.

Témoins et outils de mesure

Certains outils de notre site peuvent servir à vous reconnaître d'une visite à l'autre ou à mesurer l'efficacité de nos publicités (Google Analytics, balise Google Ads). Ces fonctions sont désactivées par défaut. Elles ne s'activent que si vous les acceptez dans le bandeau de témoins, et vous pouvez changer d'avis en tout temps avec le lien « Paramètres des témoins » au bas de chaque page.

Commentaire. C'est la section la plus souvent bâclée. L'article 8.1 vise les technologies qui permettent d'identifier une personne, de la localiser ou d'effectuer un profilage. Vous devez informer la personne au préalable du recours à cette technologie et des moyens d'activer ces fonctions. Le guide de la CAI précise qu'elles doivent être désactivées par défaut. Votre bandeau de témoins et votre politique doivent donc dire la même chose, et la configuration technique doit suivre. Une politique qui annonce « désactivé par défaut » pendant que le pixel se charge à l'ouverture de la page ne vous protège pas.

Qui a accès à vos renseignements

À l'interne: l'équipe du service à la clientèle, les techniciens assignés à vos travaux et la comptabilité. À l'externe, nous confions certains renseignements à des fournisseurs: - notre logiciel de gestion de la relation client (nom, coordonnées, historique des demandes), hébergé aux États-Unis; - Google, pour la mesure d'audience et la publicité, si vous avez accepté ces témoins; - notre hébergeur Web, au Canada. Certains de ces renseignements peuvent donc être communiqués à l'extérieur du Québec. Nous avons évalué la protection offerte et nos fournisseurs sont liés par contrat.

Commentaire. La CAI demande les catégories de personnes qui ont accès aux renseignements à l'interne, et pour les tiers: quels renseignements, dans quel but, à qui (nom ou catégorie) et si les données peuvent sortir du Québec. Ne promettez pas « vos données restent au Québec » sans l'avoir vérifié: la plupart des CRM, des plateformes d'infolettre et des outils publicitaires stockent ailleurs.

Combien de temps nous les gardons

Nous conservons les demandes de soumission non retenues pendant 12 mois, puis nous les supprimons. Les dossiers clients et les factures sont conservés le temps exigé par les lois fiscales.

Commentaire. La durée de conservation fait partie de ce qu'une personne peut demander (article 8) et votre politique de gouvernance doit encadrer la conservation et la destruction (article 3.2). L'écrire dans la politique de confidentialité évite des demandes et vous force à fixer une règle réelle.

Comment nous les protégeons

Nos accès sont protégés par mot de passe et par authentification à deux facteurs. Seules les personnes qui en ont besoin pour leur travail y ont accès.

Commentaire. Cette section est facultative selon la CAI, mais utile. Restez factuel. N'écrivez pas « vos données sont 100 % sécurisées »: personne ne peut promettre ça, et la phrase se retournera contre vous en cas d'incident.

Vos droits

Vous pouvez: - demander une copie des renseignements que nous détenons sur vous; - les faire corriger; - retirer votre consentement à une utilisation; - porter plainte auprès de nous, puis auprès de la Commission d'accès à l'information si notre réponse ne vous satisfait pas. Écrivez à vieprivee@exemple.ca. Nous répondons dans les 30 jours.

Commentaire. La CAI demande d'indiquer les droits d'accès, de rectification et de plainte. L'article 8 ajoute le droit de retirer son consentement. Le délai de 30 jours vient de l'article 32: sans réponse dans ce délai, la demande est réputée refusée. L'article 27 prévoit aussi qu'un renseignement informatisé recueilli auprès de la personne lui soit communiqué, à sa demande, dans un format technologique structuré et couramment utilisé, sauf difficultés pratiques sérieuses.

Modifications

Si nous modifions cette politique, nous publierons un avis sur cette page et, si le changement est important, nous en informerons nos clients par courriel.

Commentaire. L'article 8.2 exige de publier et de diffuser un avis pour toute modification.

Les erreurs qu'on voit le plus souvent

Un texte RGPD copié d'un site européen. Il cite un règlement qui ne s'applique pas à vous et oublie le responsable désigné et les communications hors Québec.
Un seul lien perdu dans le pied de page. La loi exige de diffuser la politique « par tout moyen propre à atteindre les personnes concernées ». La CAI donne l'exemple d'un lien à consulter avant de passer une commande. Ajoutez le lien sous chaque formulaire.
Une liste de témoins figée. Chaque nouvel outil (pixel, clavardage, carte de chaleur) doit être ajouté à la politique et au bandeau.
Un jargon juridique illisible. La CAI recommande d'écrire au « vous » et au « nous », de mettre l'idée principale en début de paragraphe et de tester le texte auprès de quelques lecteurs.

Ce qui arrive si vous ne faites rien

La Commission peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial (le plus élevé des deux) pour une entreprise. Les amendes pénales prévues à l'article 91 vont de 15 000 $ à 25 000 000 $, ou 4 % du chiffre d'affaires mondial. Ce sont des plafonds, pas des tarifs. Pour une PME, le risque concret est plutôt une plainte d'un client, une demande d'accès à laquelle vous ne savez pas répondre, ou un incident de confidentialité qui révèle que rien n'était documenté.

Une démarche réaliste en une demi-journée

Faites l'inventaire ci-dessus avec la personne qui gère votre site.
Rédigez la politique à partir de l'exemple, en supprimant tout ce qui ne vous concerne pas.
Vérifiez que votre bandeau de témoins bloque réellement les outils de mesure et de publicité avant le consentement.
Publiez la page, liez-la sous chaque formulaire et dans le pied de page.
Notez une date de révision dans votre agenda, par exemple chaque fois que vous ajoutez un outil au site.

Chez PNE Solutions, la page de confidentialité, le bandeau de témoins et le branchement des formulaires font partie de chaque site que nous concevons. Nous ne rédigeons pas d'avis juridique, mais nous faisons en sorte que ce que la politique annonce corresponde à ce que le site fait réellement.