Loi 25 · Politique de confidentialité

Politique de confidentialité et Loi 25

Une politique n’est pas un document de protection : c’est une déclaration de pratiques. Ce guide explique ce qu’elle doit refléter, et comment repérer l’écart avec votre site.

Comparer ma politique à mon site Voir l’écart courant

Mis à jour le 26 août 2026 Lecture : 12 minutes

Sommaire
  1. À quoi elle sert
  2. Modèle générique et site réel
  3. Ce qu’elle devrait dire
  4. Le responsable
  5. Les droits des personnes
  6. Où la publier, quand la revoir
  7. Les points à vérifier
  8. Ce qui se compare
  9. Questions fréquentes

À quoi elle sert,
vraiment

Ce n’est pas un document de protection juridique. C’est une déclaration de pratiques : elle dit à la personne ce que vous faites de ses renseignements, pour qu’elle décide en connaissance de cause.

L’obligation

Une entreprise qui recueille des renseignements personnels en offrant un produit ou un service technologique doit établir et publier sur son site des politiques de confidentialité rédigées en termes simples et clairs.

Ce que dit la loi

Deux exigences, pas une : la politique doit être publiée, et rédigée en termes simples et clairs. Un document exact mais illisible ne remplit que la moitié de l’obligation.

« Termes simples et clairs » n’est pas une formule de style. Cela écarte les tournures qui obligent à relire, les renvois en chaîne et le vocabulaire de contrat. Si une personne ordinaire ne peut pas dire, après lecture, ce que vous faites de son courriel, la politique manque son objet.

Ce qu’elle n’est pas

Publier une politique ne rend pas conforme un traitement qui ne l’est pas. Annoncer qu’on dépose des traceurs publicitaires avant tout consentement ne régularise pas le fait de le faire : cela le documente.

Elle ne remplace pas non plus l’information due au moment de la collecte. Un formulaire doit dire sur place à quoi servira ce qu’on y écrit ; la politique complète cette information, elle ne s’y substitue pas.

Informer au moment de la collecte →

Le modèle générique
et le site réel

Voici l’écart que nous rencontrons le plus souvent. À gauche, ce que la politique affirme. À droite, ce que la page fait au chargement.

La politiqueModèle repris en ligne

Ce que le document affirme

  • Témoins« Aucun »« Notre site n’utilise pas de témoins de connexion. »
  • Mesure d’audience« Anonyme »« Nous recueillons des statistiques anonymes de fréquentation. »
  • Partage avec des tiers« Aucun »« Nous ne partageons vos données avec aucun tiers. »
  • Hébergement« Au Canada »Mention reprise du modèle d’origine.

Le siteAu chargement de la page

Ce que la page fait réellement

  • Témoins7 déposésDont _ga et _fbp, avant toute interaction.
  • Mesure d’audienceIdentifiant persistantGA4 attribue un identifiant conservé deux ans.
  • Partage avec des tiers6 domainesGoogle, Meta, une carte intégrée, un service de police.
  • HébergementHors QuébecPlusieurs destinataires situés à l’extérieur.

Illustration d’un écart courant. Aucun site client n’est représenté ici.

L’idée à retenir

Copier une politique générique trouvée en ligne ne permet pas de déterminer si elle reflète le fonctionnement réel du site. Le document ci-dessus est bien écrit, complet et rassurant, et il décrit un autre site que celui sur lequel il est publié.

L’écart est rarement volontaire. Une politique est rédigée à la mise en ligne, puis le site évolue : une agence ajoute une mesure d’audience, une campagne installe un pixel, un formulaire est branché sur un service d’infolettre. Personne ne pense à rouvrir le document.

C’est pourquoi une politique se vérifie contre la page, jamais contre un modèle. Le scan Repère fait exactement cette comparaison : ce que le document annonce, et ce que la page charge.

Ce qu’elle devrait dire

Le contenu suit ce que fait votre entreprise. Ces huit points couvrent la quasi-totalité des sites de PME.

Ce qui est recueilli, et pourquoi

La liste des renseignements recueillis, et pour chacun la fin poursuivie. C’est la partie que les modèles génériques traitent le plus mal, parce qu’elle est propre à chaque site.

  • Ce que les visiteurs vous transmettent : formulaires, comptes, commandes, infolettre.
  • Ce que le site recueille sans qu’on l’écrive : mesure d’audience, journaux techniques, témoins.
  • Ce que reçoivent les outils tiers présents sur vos pages.

Qui reçoit, et où

Les catégories de destinataires : fournisseur d’hébergement, service d’infolettre, plateforme publicitaire, outil de mesure. Et l’indication d’une communication hors Québec lorsque c’est le cas.

Nommer les outils plutôt que d’écrire « nos partenaires » a un avantage pratique : la politique devient vérifiable, et vous savez quand la mettre à jour.

Recommandation Repère

Nommer les principaux services : Google Analytics, Meta, votre service d’infolettre, votre hébergeur. Une catégorie abstraite n’informe personne et ne se vérifie pas.

Combien de temps

Les durées de conservation, par catégorie de renseignement, et ce qu’il advient ensuite : destruction ou anonymisation. Un renseignement se conserve le temps nécessaire à la fin poursuivie, puis se détruit.

Une durée annoncée engage : elle doit correspondre à une purge réellement effectuée. Le guide sur les formulaires détaille ce point pour les envois reçus.

Le responsable

Chaque entreprise a un responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui exerce la plus haute autorité ; la fonction peut être déléguée par écrit.

Ce que dit la loi

Le titre et les coordonnées du responsable doivent être publiés sur le site de l’entreprise. C’est l’un des points les plus simples à corriger, et l’un des plus souvent manquants.

Dans une entreprise de trois personnes, cela ne veut pas dire embaucher : cela veut dire nommer quelqu’un, l’écrire, et publier une adresse où le joindre.

Les droits des personnes

La politique doit indiquer comment exercer ses droits. Le Québec en reconnaît plusieurs, dont certains sont récents et souvent absents des modèles trouvés en ligne :

  • Accès : obtenir les renseignements détenus à son sujet.
  • Rectification : faire corriger un renseignement inexact ou incomplet.
  • Retrait du consentement : revenir sur un accord donné.
  • Portabilité : depuis septembre 2024, recevoir dans un format technologique structuré et couramment utilisé les renseignements informatisés recueillis auprès de soi.
  • Cessation de diffusion : faire cesser la diffusion d’un renseignement ou en faire retirer l’indexation, dans les cas prévus.
  • Décision automatisée : être informé lorsqu’une décision est fondée exclusivement sur un traitement automatisé, et pouvoir présenter ses observations.

Un modèle rédigé avant 2024 mentionne rarement la portabilité. C’est un bon indice de l’âge du document que vous avez repris.

Où la publier, et quand la revoir

La politique doit être diffusée sur le site et facile à trouver : un lien au pied de page, présent sur toutes les pages, à côté du formulaire, et dans le bandeau de témoins. Elle ne devrait jamais se trouver derrière un compte ou une caisse.

Elle porte une date de dernière mise à jour, et se révise à chaque changement réel : nouvel outil de mesure, nouveau service d’infolettre, nouvelle campagne publicitaire, changement d’hébergeur.

Recommandation Repère

Rattacher la révision à un événement plutôt qu’à une date : toute installation d’un outil qui touche aux visiteurs déclenche une relecture. Une révision annuelle programmée arrive presque toujours après le changement.

Les points
à vérifier

Dix contrôles sur la politique. Les sept premiers se lisent en comparant le document aux pages du site.

  1. Existence et accessibilitéUn lien présent sur toutes les pages, pas seulement à l’accueil.
  2. LisibilitéDes termes simples et clairs, sans renvois en chaîne.
  3. Cohérence avec les témoinsCe que la politique annonce, et ce que la page dépose.
  4. Cohérence avec les outilsLes services nommés, et les domaines réellement contactés.
  5. Responsable publiéTitre et coordonnées d’une personne à joindre.
  6. Droits énumérésAccès, rectification, retrait, portabilité, cessation de diffusion.
  7. Date de mise à jourUne date présente, et postérieure au dernier changement du site.
  8. Durées de conservationDes durées par catégorie, et une purge réellement appliquée.
  9. Communication hors QuébecMention, et évaluation des facteurs relatifs à la vie privée.
  10. Incidents de confidentialitéUn registre tenu, et une procédure connue à l’interne.

Sept de ces dix points se lisent de l’extérieur.

Le cinquième manque sur la majorité des sites de PME.

Les troisième et quatrième sont les plus révélateurs.

Votre politique décrit-elle votre site ?

Le scan Repère compare ce que votre politique annonce avec ce que vos pages chargent réellement.

Lancer le scan gratuit

Ce qui se compare, et ce qui se discute

Une politique se confronte au site : c’est mesurable. Ce qu’elle promet à l’interne l’est beaucoup moins.

Vérifiable de l’extérieur

  • La présence et l’accessibilité de la politique
  • La date de dernière mise à jour
  • La mention d’un responsable et de ses coordonnées
  • Les droits énumérés dans le document
  • L’écart entre les outils annoncés et ceux chargés
  • L’écart entre les témoins annoncés et ceux déposés
  • La mention d’une communication hors Québec
  • La version française du document

Ne se vérifie qu’à l’interne

  • L’application réelle des durées annoncées
  • La procédure suivie en cas de demande d’accès
  • Le registre des incidents de confidentialité
  • Les évaluations des facteurs relatifs à la vie privée
  • Les ententes signées avec les fournisseurs
  • Les accès réels des employés aux dossiers
  • La désignation écrite du responsable
  • Les traitements qui ne passent pas par le site

Le scan Repère compare un document public à des pages publiques. C’est la partie la plus révélatrice, et ce n’est pas la totalité : une politique engage aussi des pratiques internes qu’aucune analyse extérieure ne peut constater. Les obligations citées viennent des textes québécois, les recommandations sont signalées comme telles.

Guides connexes

Une politique décrit ce que font les témoins, les formulaires et les outils de mesure du site.

Cookies et traceurs Ce que la politique doit annoncer Formulaires Informer au moment de la collecte Google Analytics Nommer la mesure d’audience

Questions fréquentes

Ce qu’on nous demande avant de rédiger ou de réviser une politique.

Puis-je reprendre un modèle trouvé en ligne ?

Comme point de départ pour la structure, oui. Comme document final, non : un modèle décrit un site générique, pas le vôtre. Il annonce souvent l’absence de témoins alors que la page en dépose sept, ou omet des droits reconnus au Québec depuis 2024.

Le travail utile n’est pas la rédaction : c’est l’inventaire de ce que votre site fait réellement. La rédaction en découle.

Une politique de confidentialité rend-elle mon site conforme ?

Non. Elle documente vos pratiques ; elle ne les corrige pas. Annoncer qu’on dépose des traceurs publicitaires avant tout consentement ne régularise pas le fait de le faire.

Une politique fidèle est nécessaire, et elle est le plus souvent la conséquence d’une mise en ordre, pas son point de départ.

Où doit-elle être accessible ?

Sur le site, facile à trouver : un lien au pied de page présent sur toutes les pages, à proximité des formulaires, et dans le bandeau de témoins lorsqu’il y en a un.

Elle ne devrait jamais se trouver derrière une connexion ou après une caisse : les personnes qui doivent la lire n’ont pas encore de compte.

Faut-il nommer les outils utilisés ?

La loi demande d’indiquer les catégories de personnes qui ont accès aux renseignements et de signaler une communication hors Québec, sans imposer de nommer chaque fournisseur.

Recommandation Repère : les nommer quand même. Cela rend la politique vérifiable, et vous donne un déclencheur clair de mise à jour lorsque l’outil change.

À quelle fréquence faut-il la mettre à jour ?

Il n’y a pas de fréquence imposée. Le bon repère n’est pas le calendrier mais l’événement : un nouvel outil de mesure, un nouveau service d’infolettre, une campagne publicitaire, un changement d’hébergeur.

Une date de dernière mise à jour antérieure à la refonte du site est un signal simple à repérer, y compris de l’extérieur.

Dois-je publier le nom du responsable ?

Le titre et les coordonnées du responsable de la protection des renseignements personnels doivent être publiés sur le site. Publier la fonction et une adresse de contact, par exemple confidentialite@, répond à l’exigence.

Cette adresse doit être relevée : une demande d’accès arrive avec un délai de réponse à respecter.

Sources officielles

Les obligations décrites dans ce guide viennent des organismes québécois responsables. Les recommandations techniques sont celles de Repère et sont signalées comme telles.

Ce guide décrit des pratiques de vérification web. Il ne remplace pas la lecture des textes officiels ni l’accompagnement d’un conseiller juridique pour une situation particulière.

Votre politique
décrit-elle votre site ?

Le scan Repère compare ce que votre politique annonce avec ce que vos pages chargent.

Scanner mon site gratuitement