Loi 25 et boutique en ligne au Québec : 8 choses à vérifier

Vous ne connaissez pas la Loi 25?

Si vous exploitez une boutique en ligne au Québec et que vous ne savez pas vraiment ce qu’est la Loi 25, certaines vérifications s’imposent probablement. Ses principales dispositions sont maintenant en vigueur et concernent directement les entreprises qui recueillent des renseignements personnels.

→ Bref, si vous ne vous êtes jamais penché sur la question, c’est plus que le temps de le faire.

8 points à vérifier maintenant sur votre site

1. Identifier la personne responsable

Toute entreprise doit avoir une personne responsable de la protection des renseignements personnels.

Par défaut, cette fonction revient à la personne qui détient la plus haute autorité dans l’entreprise, par exemple sa propriétaire, son propriétaire ou son dirigeant. Elle peut toutefois être déléguée par écrit.

Le titre et les coordonnées de cette personne doivent être publiés sur le site Web de l’entreprise. Un client devrait donc pouvoir trouver facilement à qui adresser une question, une plainte ou une demande concernant ses renseignements personnels.

Dans une petite entreprise, il n’est pas nécessaire de créer un nouveau poste. Il faut toutefois que la responsabilité soit clairement attribuée et que la personne concernée comprenne son rôle.

2. Savoir ce que votre boutique recueille

Avant de rédiger une politique de confidentialité ou d’installer un bandeau de témoins, il faut dresser l’inventaire des renseignements réellement recueillis.

Ils peuvent provenir :

• des commandes et des comptes clients;
• des formulaires de contact;
• de l’inscription à une infolettre;
• des outils d’analyse ou de publicité;
• des modules de paiement, de livraison ou d’avis;
• des applications et extensions connectées à la boutique.

Pour chaque renseignement, il faut pouvoir répondre à trois questions :

1. Pourquoi est-il recueilli?
2. Est-il réellement nécessaire?
3. Où est-il conservé et qui peut y accéder?

Une entreprise doit déterminer ses objectifs avant la collecte et ne recueillir que les renseignements nécessaires pour les atteindre. Le consentement du client ne justifie pas automatiquement la collecte d’un renseignement inutile.

Par exemple, si une date de naissance complète n’est pas nécessaire pour vendre ou livrer un produit, il faut se demander pourquoi elle est demandée.

3. Publier une politique adaptée à votre boutique

Cette politique doit correspondre au fonctionnement réel de la boutique :

• renseignements recueillis;
• raisons et moyens de la collecte;
• outils d’analyse et de publicité;
• fournisseurs qui interviennent dans les commandes;
• conservation et communication des renseignements;
• possibilité de communiquer des renseignements à l’extérieur du Québec;
• mesures mises en place pour protéger leur confidentialité;
• droits et recours des personnes concernées;
• coordonnées de la personne responsable.

Depuis septembre 2023, les entreprises doivent notamment informer les personnes des fins et des moyens de la collecte, de leurs droits d’accès et de rectification ainsi que de leur droit de retirer leur consentement, lorsque celui-ci s’applique.

La politique doit également être tenue à jour, et les personnes concernées doivent être avisées des modifications qui lui sont apportées.

4. Vérifier les témoins et les outils de suivi

Les témoins, souvent appelés cookies, ne servent pas tous à la même chose.

Certains sont nécessaires au fonctionnement de la boutique, par exemple pour conserver le contenu du panier. D’autres servent à mesurer la fréquentation, à analyser le comportement des visiteurs, à personnaliser leur expérience ou à soutenir des campagnes publicitaires.

Lorsqu’une technologie comprend des fonctions permettant d’identifier une personne, de la localiser ou d’effectuer un profilage, l’entreprise doit informer cette personne de leur utilisation et lui fournir un moyen de les activer. Ces fonctions ne doivent pas être activées par défaut.

Un bandeau qui indique simplement « En poursuivant votre navigation, vous acceptez les témoins » ne règle donc pas nécessairement la question.

Il faut vérifier ce qui se produit techniquement derrière le bandeau :

• les outils publicitaires sont-ils activés avant le choix du visiteur?
• le visiteur peut-il refuser aussi facilement qu’il peut accepter?
• peut-il modifier son choix plus tard?
• les scripts activés correspondent-ils réellement à son choix?

Installer une extension de consentement ne garantit pas qu’elle est correctement configurée.

5. Connaître les fournisseurs qui utilisent les données

Une boutique en ligne dépend généralement de plusieurs services externes :

• plateforme de commerce électronique;
• hébergeur;
• fournisseur de paiement;
• transporteur;
• service d’infolettre;
• logiciel comptable;
• plateforme d’analyse ou de publicité.

L’entreprise demeure responsable de ses obligations même lorsqu’un tiers conserve des renseignements pour son compte.

Il faut donc savoir quels renseignements chaque fournisseur reçoit, pourquoi il en a besoin, où ils sont conservés et ce qu’ils deviennent à la fin du contrat.

Lorsque des renseignements personnels sont communiqués à un prestataire pour l’exécution d’un mandat ou d’un contrat de service, la loi prévoit certaines conditions. Dans les situations visées, une entente écrite doit notamment préciser les mesures de confidentialité ainsi que les limites d’utilisation et de conservation des renseignements.

Une autre obligation mérite d’être connue : l’évaluation des facteurs relatifs à la vie privée (EFVP). Cette démarche doit notamment être réalisée dans le cadre d’un projet d’acquisition, de développement ou de refonte d’un système d’information ou d’un service électronique impliquant des renseignements personnels. La création ou la refonte d’une boutique en ligne peut donc être concernée. L’évaluation doit être proportionnée aux risques et aux renseignements en cause.

Une attention particulière doit également être accordée aux renseignements communiqués ou conservés à l’extérieur du Québec. Avant une telle communication, l’entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée. Si l’évaluation démontre que les renseignements bénéficieront d’une protection adéquate, la communication peut être effectuée et doit être encadrée par une entente écrite tenant compte des résultats de cette évaluation.

Cela ne signifie pas qu’il est automatiquement interdit d’utiliser un fournisseur situé ailleurs au Canada ou à l’étranger. L’entreprise doit cependant connaître la circulation de ses données et encadrer cette utilisation convenablement.

6. Prévoir la conservation et la destruction

Une politique de confidentialité publique ne constitue qu’une partie du travail.

L’entreprise doit aussi établir des politiques et des pratiques internes concernant notamment :

• la conservation et la destruction des renseignements;
• les responsabilités des membres du personnel;
• le traitement des plaintes.

Ces pratiques doivent être adaptées à la nature et à l’importance des activités de l’entreprise. Des renseignements à leur sujet doivent également être publiés sur son site dans des termes simples et clairs.

Lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, celui-ci doit être détruit de manière sécuritaire ou, pour une utilisation à des fins sérieuses et légitimes, être anonymisé conformément aux exigences légales. Cette obligation demeure sous réserve des délais de conservation prévus par la loi.

Il ne faut pas seulement penser aux données présentes dans la boutique. Des copies peuvent aussi se trouver dans les sauvegardes, les courriels, les fichiers exportés, les logiciels comptables ou les comptes de certains fournisseurs.

Supprimer un compte client dans la boutique ne signifie donc pas nécessairement que toutes les copies ont disparu.

7. Préparer une procédure en cas d’incident

Une attaque informatique n’est pas le seul incident de confidentialité possible.

Il peut aussi s’agir :

• d’un courriel envoyé au mauvais client;
• d’un compte administrateur compromis;
• d’une sauvegarde accessible publiquement;
• de la perte d’un appareil contenant des renseignements;
• d’un accès non autorisé par un employé ou un fournisseur.

Lorsqu’un incident survient, l’entreprise doit agir rapidement pour limiter les risques, évaluer les préjudices possibles et éviter qu’un incident semblable se reproduise.

Si l’incident présente un risque de préjudice sérieux, elle doit en aviser la Commission d’accès à l’information et les personnes concernées.

L’entreprise doit également tenir un registre de tous les incidents, même ceux qui ne présentent pas de risque de préjudice sérieux. Les renseignements contenus dans ce registre doivent être conservés pendant au moins cinq ans.

Le meilleur moment pour déterminer quoi faire en cas d’incident est avant que celui-ci survienne.

Une procédure de base devrait préciser qui contacter, comment sécuriser les comptes concernés, comment documenter l’incident et qui déterminera si un avis officiel est nécessaire.

8. Être prêt à répondre aux clients

Une personne peut demander à une entreprise de confirmer qu’elle détient des renseignements personnels à son sujet, d’y avoir accès ou de faire corriger certains renseignements.

Dans certaines circonstances, elle peut aussi demander que les renseignements informatisés recueillis auprès d’elle lui soient transmis dans un format technologique structuré et couramment utilisé. Il s’agit du droit à la portabilité.

Pour exercer formellement ses droits d’accès ou de rectification, une personne doit présenter une demande écrite et justifier de son identité. Cette demande doit être adressée à la personne responsable de la protection des renseignements personnels, qui doit y répondre par écrit, avec diligence et au plus tard dans les 30 jours suivant sa réception.

Une petite entreprise devrait donc savoir comment vérifier l’identité du demandeur, retrouver les renseignements concernés, effectuer les corrections nécessaires et documenter sa réponse.

Une politique de confidentialité ne suffit pas

La protection des renseignements personnels ne se limite pas à ajouter une page dans le pied de page d’une boutique.

Il faut également que :

• les formulaires correspondent à ce qui est annoncé;
• les témoins respectent les choix du visiteur;
• les accès administratifs soient protégés;
• les fournisseurs soient connus;
• les renseignements inutiles ne soient pas recueillis;
• les anciennes données soient gérées convenablement;
• une procédure existe en cas d’incident.

Autrement dit, les textes publiés et le fonctionnement technique du site doivent raconter la même histoire.

Ce qu’un développeur Web peut vérifier

Un développeur peut notamment vous aider à :

• inventorier les formulaires et les outils installés;
• repérer les services externes connectés à la boutique;
• vérifier le déclenchement des outils d’analyse et de publicité;
• configurer un mécanisme de gestion des témoins;
• sécuriser les accès administratifs;
• ajouter les pages et les coordonnées nécessaires;
• repérer les écarts entre la politique publiée et la configuration du site.

→ Il ne lui appartient toutefois pas de rendre une opinion juridique ou de garantir que votre entreprise respecte toutes ses obligations.

La partie technique et la partie juridique sont complémentaires, mais elles ne sont pas interchangeables.

Par où commencer?

Commencez par dresser la liste des endroits où votre boutique recueille ou conserve des renseignements personnels.

Vérifiez ensuite :

• qui en est responsable;
• quels renseignements sont recueillis;
• pourquoi ils sont nécessaires;
• quels fournisseurs y ont accès;
• quels outils de suivi sont actifs;
• combien de temps les données sont conservées;
• comment elles seront détruites;
• ce qui arrivera en cas d’incident ou de demande d’un client.

Cette démarche ne remplace pas une validation juridique, mais elle permet de mieux comprendre le fonctionnement de votre boutique et de repérer plusieurs éléments qui méritent votre attention.

 

---

Consultations des sources : 10 juillet 2026.

Sources officielles

• Commission d’accès à l’information du Québec — Entreprises et organisations privées
• Commission d’accès à l’information du Québec — Responsabilité des entreprises
• Commission d’accès à l’information du Québec — Collecte de renseignements personnels
• Commission d’accès à l’information du Québec — Incidents de confidentialité et mesures de sécurité
• Commission d’accès à l’information du Québec — Conservation et destruction des renseignements personnels
• Commission d’accès à l’information du Québec — Principaux changements apportés par la Loi 25
• Légis Québec — Loi sur la protection des renseignements personnels dans le secteur privé