Loi 25 · Guide

Loi 25 et site web : ce que votre entreprise doit vérifier

Cookies, formulaires, outils analytiques, politique de confidentialité, consentement : les principaux éléments à examiner sur votre site, expliqués en français courant.

Scanner mon site gratuitement Voir la checklist

Mis à jour le 26 août 2026 Lecture : 12 minutes

Sommaire
  1. La Loi 25, concrètement
  2. Les éléments à vérifier
  3. Cookies et traceurs
  4. Google Analytics
  5. Meta Pixel
  6. Formulaires
  7. Politique de confidentialité
  8. Responsable désigné
  9. Services externes
  10. Ce qu’une analyse vérifie
  11. WordPress et Shopify
  12. Questions fréquentes

La Loi 25,
concrètement

Elle modernise la protection des renseignements personnels au Québec et vise toute entreprise qui en recueille, y compris par un site web. Un site vitrine avec un simple formulaire de contact est concerné.

  1. Vous collectez

    Formulaires, comptes, commandes, infolettres : dès qu’un visiteur laisse son nom ou son courriel, le site recueille un renseignement personnel.

  2. Vous analysez

    Mesure d’audience, statistiques de fréquentation, cartes de chaleur : ces outils observent des comportements et déposent souvent des traceurs.

  3. Vous utilisez des tiers

    Pixels publicitaires, CRM, plateformes d’infolettre, passerelles de paiement : chacun reçoit une part de ce que fait le visiteur.

Les principaux
éléments à vérifier

Douze points qui reviennent sur presque tous les sites d’entreprise. Les dix premiers se lisent depuis l’extérieur, les deux derniers demandent un regard à l’intérieur.

  1. ConsentementDemandé pour une fin précise, en termes clairs, et aussi simple à refuser qu’à accepter.
  2. Cookies et traceursCe qui se dépose dans le navigateur, à quel moment, et ce qui se dépose avant tout accord.
  3. Google AnalyticsPrésence de GA4, configuration, et déclenchement avant ou après le consentement.
  4. Google Tag ManagerLes balises qu’il charge comptent autant que lui : un conteneur en déclenche souvent plusieurs.
  5. Meta PixelSuivi publicitaire, événements de conversion et audiences de remarketing.
  6. FormulairesChamps demandés, finalité annoncée au moment de la collecte, destination des réponses.
  7. Politique de confidentialitéPubliée, lisible, et surtout fidèle à ce que le site fait réellement.
  8. Responsable désignéLa fonction existe déjà dans l’entreprise ; ses coordonnées doivent être publiées.
  9. Gestion des préférencesPouvoir revenir sur son choix aussi simplement qu’on l’a donné.
  10. Services externesCe que le site charge depuis d’autres domaines, et ce qui part avec.
  11. Sécurité des renseignementsConnexion chiffrée, accès restreints, mesures proportionnées à la sensibilité des données.
  12. Conservation et pratiques internesDurée de conservation, registre des incidents, encadrement des communications hors Québec.

Les dix premiers points se lisent de l’extérieur.

Les deux derniers demandent un regard à l’intérieur.

Aucun ne dépend de la taille de l’entreprise.

Scanner mon site gratuitement

Sujet par sujet

Six éléments qui reviennent dans presque tous les rapports : ce que la loi demande, et ce qui se vérifie concrètement sur un site.

Cookies et traceurs

Comprendre les cookies et la Loi 25 →

Un témoin de connexion, un « cookie », est un petit fichier déposé dans le navigateur du visiteur. Certains sont indispensables au fonctionnement du site : garder une session ouverte, retenir le contenu d’un panier. D’autres servent à mesurer l’audience, à personnaliser l’affichage ou à suivre la personne d’un site à l’autre.

La Loi ne prescrit pas, à notre connaissance, un modèle graphique unique de bannière. Elle demande d’informer la personne du recours à une technologie comprenant des fonctions d’identification, de localisation ou de profilage, et de lui indiquer les moyens offerts pour les activer. La Commission d’accès à l’information précise que ces fonctions ne peuvent pas être activées par défaut.

À retenir

Afficher une bannière ne permet pas à lui seul de savoir comment les traceurs fonctionnent réellement. Ce qui compte, c’est ce qui se dépose, et à quel moment.

La vérification ne s’arrête donc pas à la présence d’un bandeau : il faut regarder la configuration technique derrière, parce qu’une bannière peut très bien s’afficher pendant que les traceurs sont déjà en place.

Comprendre les cookies et la Loi 25 →

Google Analytics

Google Analytics et Loi 25 →

GA4 est la version actuelle de Google Analytics. Elle mesure les visites, les pages consultées et les parcours. Elle est installée soit directement dans le code du site, soit par l’intermédiaire de Google Tag Manager.

Trois questions se posent : l’outil est-il présent, que dépose-t-il dans le navigateur, et à quel moment se déclenche-t-il ? Un conteneur Tag Manager peut charger plusieurs balises, dont certaines oubliées depuis longtemps.

Le mode consentement de Google, lorsqu’il est configuré, module ce que la balise envoie selon le choix du visiteur. Encore faut-il qu’il soit réellement branché sur la bannière affichée : c’est le décalage le plus fréquent entre l’intention et la configuration.

Google Analytics et Loi 25 →

Meta Pixel

Meta Pixel et Loi 25 →

Le Pixel de Meta sert à mesurer les campagnes publicitaires sur Facebook et Instagram, à suivre les conversions et à constituer des audiences de remarketing.

Il transmet des événements au moment où ils se produisent : page vue, ajout au panier, achat, formulaire envoyé. Comme GA4, il est fréquemment déclenché par Google Tag Manager, ce qui rend son déclenchement moins visible pour l’entreprise elle-même.

Une campagne arrêtée depuis deux ans laisse souvent son pixel en place. C’est l’un des écarts les plus simples à corriger, une fois qu’on sait qu’il est là.

Meta Pixel et Loi 25 →

Vos formulaires collectent-ils des renseignements personnels ?

Formulaires et Loi 25 →

Un formulaire de contact, une demande de devis, une réservation, une inscription à l’infolettre, la création d’un compte, un achat : tous recueillent des renseignements sur une personne identifiable.

  • La finalité devrait être annoncée au moment de la collecte, pas seulement dans la politique.
  • Les champs demandés se limitent à ce qui est nécessaire pour répondre.
  • La personne devrait savoir à qui ses renseignements sont transmis.
  • L’inscription à une infolettre est une finalité distincte de la demande de contact.

Le service qui reçoit les réponses compte autant que le formulaire lui-même : une extension WordPress, un service d’infolettre ou un CRM hébergé à l’extérieur du Québec change ce qu’il faut annoncer et encadrer.

Formulaires et Loi 25 →

Une politique adaptée à ce que votre site fait réellement

Politique de confidentialité et Loi 25 →

La politique de confidentialité doit être publiée sur le site, rédigée en termes simples et clairs, et refléter les pratiques réelles de l’entreprise.

À retenir

Un modèle générique ne garantit rien. Une politique qui ne mentionne pas les outils réellement installés, ou qui en annonce d’autres, décrit un site qui n’existe pas.

Elle devrait dire quels renseignements sont recueillis, pourquoi, avec qui ils sont partagés, combien de temps ils sont conservés, comment exercer ses droits et à qui s’adresser. C’est aussi l’endroit le plus naturel pour publier le responsable.

Politique de confidentialité et Loi 25 →

Responsable de la protection des renseignements personnels

Où le publier →

Chaque entreprise a un responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui exerce la plus haute autorité : le propriétaire, la présidence, la direction générale. La fonction peut être déléguée par écrit à quelqu’un d’autre.

Ce qui est attendu du site est simple : que le titre et les coordonnées de cette personne soient publiés et faciles à trouver, généralement dans la politique de confidentialité.

Dans une entreprise de trois personnes, cela ne veut pas dire embaucher. Cela veut dire nommer, écrire, et publier.

Où le publier →

Quels services communiquent avec votre site ?

Un site d’entreprise charge rarement moins de cinq services externes. Aucun n’est problématique en soi : ce qui compte, c’est de savoir lequel est là, pourquoi, quand il se déclenche et quelles données peuvent être concernées.

Une vidéo intégrée ou une carte affichée dans une page de contact chargent du contenu depuis un autre domaine, parfois avant toute interaction du visiteur. Ce sont les cas les plus souvent oubliés, parce qu’ils ressemblent à du contenu et non à un outil.

L’inventaire se fait une fois. Ensuite, chaque application ou extension ajoutée pose la même question : qu’est-ce que ce service reçoit, et l’avons-nous annoncé ?

  1. 01Google AnalyticsMesure
  2. 02Google Tag ManagerConteneur
  3. 03MetaPublicité
  4. 04Google AdsPublicité
  5. 05HotjarComportement
  6. 06HubSpotCRM
  7. 07MailchimpInfolettre
  8. 08KlaviyoInfolettre
  9. 09StripePaiement
  10. 10reCAPTCHAProtection
  11. 11YouTubeVidéo intégrée
  12. 12Google MapsCarte intégrée

Ce qu’une analyse publique peut réellement vérifier

Un scan lit ce qui est accessible depuis l’extérieur. C’est beaucoup, et ce n’est pas tout. Le dire fait partie du travail.

Ce qui se lit de l’extérieur

  • Les scripts chargés par la page
  • Les témoins déposés, et à quel moment
  • Les outils de mesure et les balises publicitaires
  • La présence et le contenu des politiques publiées
  • La connexion chiffrée du site
  • Les champs des formulaires visibles
  • La mention d’un responsable
  • La version française des pages

Ce qui demande une vérification supplémentaire

  • Les politiques et procédures internes
  • Les contrats avec les fournisseurs
  • La durée réelle de conservation
  • Les accès des employés aux dossiers
  • La gouvernance et le registre des incidents
  • Certains flux de données côté serveur
  • Les communications hors Québec
  • Les situations juridiques particulières

Le scan Repère constitue un premier diagnostic technique et documentaire, pas une certification juridique complète. Il indique ce qui mérite votre attention et ce qui semble en règle au moment de la lecture. Repère n’est pas un cabinet d’avocats et ne fournit pas d’avis juridique.

Vous voulez savoir ce que votre site laisse voir ?

Lancez le scan Repère et identifiez les principaux éléments qui méritent votre attention. Le rapport arrive par courriel en dix minutes.

Scanner mon site gratuitement

Vous utilisez WordPress ou Shopify ?

Les deux plateformes posent les mêmes questions, mais pas aux mêmes endroits.

WordPress

Voir le guide WordPress →

Sur WordPress, presque tout passe par des extensions. Un formulaire installé avec Contact Form 7, Elementor Forms ou Gravity Forms enregistre souvent les réponses dans la base du site en plus de les envoyer par courriel. Une extension de statistiques ajoute ses propres traceurs. WooCommerce ouvre les comptes clients, les commandes et les adresses de livraison.

S’ajoutent les contenus intégrés, comme une vidéo YouTube ou une carte Google Maps, qui chargent du contenu externe sans qu’on l’ait décidé, et les extensions de consentement, dont l’effet dépend entièrement de leur configuration.

Voir le guide WordPress →

Shopify

Voir le guide Shopify →

Sur Shopify, la boutique elle-même collecte : compte client, adresse de livraison, historique de commandes, passage en caisse. Le suivi analytique et les pixels publicitaires se configurent à plusieurs endroits : préférences de la boutique, applications installées, code du thème.

Chaque application ajoutée reçoit une part des données clients. L’outil d’infolettre, celui des avis, celui des recommandations de produits : tous méritent d’être inventoriés une fois, puis annoncés dans la politique.

Voir le guide Shopify →

Les guides détaillés

Chaque sujet repris en profondeur, avec ce qui se vérifie et comment.

Cookies et traceurs Consentement, bannière, refus et retrait Google Analytics GA4, Tag Manager et déclenchement Meta Pixel Événements, conversion et remarketing Formulaires Contact, devis, infolettre et comptes Politique de confidentialité Ce qu’elle doit refléter, et où l’afficher WordPress Extensions, formulaires et WooCommerce Shopify Boutique, caisse, applications et pixels

Questions fréquentes

Les questions que les entreprises québécoises posent le plus souvent avant de lancer un scan.

Qu’est-ce que la Loi 25 ?

C’est le nom courant de la loi québécoise qui modernise la protection des renseignements personnels. Elle est entrée en vigueur par étapes à partir de septembre 2022 et renforce les obligations des entreprises privées : consentement clair, transparence sur les outils utilisés, responsable désigné, gestion des incidents de confidentialité.

La Loi 25 concerne-t-elle les petites entreprises ?

Oui. La loi ne fixe pas de seuil de taille ou de chiffre d’affaires. Une entreprise de deux personnes qui recueille des noms et des courriels est visée au même titre qu’une grande. Ce qui varie, c’est l’effort attendu : les mesures doivent être proportionnées à la sensibilité des renseignements et au volume traité.

Mon site vitrine est-il concerné ?

Si le site comporte un formulaire de contact, une inscription à une infolettre ou un outil de mesure d’audience, il l’est. Un site strictement statique, sans formulaire ni traceur, soulève beaucoup moins de questions, mais c’est devenu rare.

Une bannière de cookies est-elle toujours nécessaire ?

Non, pas systématiquement. Un site qui ne dépose que des témoins strictement nécessaires à son fonctionnement n’a pas les mêmes obligations qu’un site qui charge de la mesure d’audience et des pixels publicitaires.

À l’inverse, afficher une bannière ne règle pas la question à soi seul : encore faut-il qu’elle corresponde à ce qui se dépose réellement. Repère recommande par ailleurs de rendre le refus aussi accessible que l’acceptation, à titre de bonne pratique. Le guide sur les cookies détaille les cas.

Google Analytics est-il concerné ?

Oui, il fait partie des outils à examiner. GA4 mesure des comportements et dépose des identifiants dans le navigateur. Les questions à se poser portent sur l’information donnée au visiteur, le moment du déclenchement et la configuration retenue. Le guide Google Analytics reprend chaque point.

Meta Pixel est-il concerné ?

Oui. Le Pixel transmet des événements à Meta et sert à constituer des audiences publicitaires : c’est précisément le type de technologie sur lequel la personne doit être informée et pouvoir se prononcer. Le guide Meta Pixel explique son fonctionnement.

Un simple formulaire de contact suffit-il à me rendre concerné ?

Oui. Dès qu’un champ demande un nom, un courriel ou un téléphone, l’entreprise recueille des renseignements personnels, et le contenu libre du message en fait partie. C’est le point le plus fréquent d’entrée dans le champ de la loi, avant même toute question de mesure d’audience ou de publicité.

Le guide sur les formulaires détaille ce qui est recueilli, ce qu’il faut annoncer et où finissent les réponses.

Ai-je besoin d’une politique de confidentialité ?

Une entreprise qui recueille des renseignements personnels par son site doit publier une politique rédigée en termes simples et clairs, facile à trouver. Le point délicat n’est pas de l’avoir : c’est qu’elle décrive ce que le site fait vraiment. Le guide dédié précise ce qu’elle devrait contenir.

Repère fournit-il un avis juridique ?

Non. Repère Québec réalise une vérification technique et documentaire, explique les écarts constatés en français courant et peut les corriger. Nous ne sommes pas un cabinet d’avocats. Pour une question juridique particulière, un conseiller juridique reste l’interlocuteur approprié.

Puis-je scanner gratuitement mon site ?

Oui. Le scan est gratuit et sans engagement : vous entrez l’adresse du site et le courriel où recevoir le rapport, et le résultat arrive en dix minutes. Le rapport vous appartient, que vous corrigiez vous-même ou non. Lancer le scan.

Sources officielles

Nos vérifications suivent les informations publiées par les organismes québécois responsables. Le texte de loi est consultable en ligne.

Ce guide décrit des pratiques courantes de vérification web. Il ne remplace pas la lecture des textes officiels ni l’accompagnement d’un conseiller juridique pour une situation particulière.

Vous ne savez pas
où en est votre site ?

Le scan Repère vous aide à identifier les principaux éléments à vérifier.

Scanner mon site gratuitement