La plupart des formulaires de consentement qu'on croise sur les sites de PME québécoises ont un point commun : ils ont été copiés d'un modèle européen ou rédigés pour rassurer l'entreprise, pas pour informer le client. Résultat, ils échouent au test de l'article 14 de la Loi sur la protection des renseignements personnels dans le secteur privé, celle que tout le monde appelle la Loi 25. Si vous partez de zéro, commencez par notre résumé des obligations de la Loi 25 pour les PME; ici, on se concentre sur une seule pièce du dossier : la demande de consentement.
Le cœur du texte tient en une phrase : un consentement doit être « manifeste, libre, éclairé et être donné à des fins spécifiques ». Quatre conditions, et une sanction discrète à la fin du même article : un consentement non conforme est « sans effet ». Pas amendable, pas négociable : nul. L'entreprise qui s'appuie dessus utilise des renseignements personnels sans base valide.
Cet article décortique ce que ces quatre mots exigent, les deux défauts qui invalident la majorité des formulaires, le cas où demander un consentement est carrément une erreur, puis livre ce que la plupart des guides promettent sans le donner : un modèle de formulaire complet, ligne par ligne, à copier et à adapter, suivi de formulations prêtes à l'emploi pour cinq situations courantes.
La réponse courte, pour les pressés
Un consentement valide au sens de la Loi 25 doit être manifeste, libre, éclairé et donné à des fins spécifiques : c'est l'article 14 de la Loi sur la protection des renseignements personnels dans le secteur privé. Il doit être demandé pour chaque finalité, en termes simples et clairs, et, s'il est écrit, présenté distinctement de toute autre information. La Commission d'accès à l'information en tire huit critères dans ses Lignes directrices 2023-1 : manifeste, libre, éclairé, spécifique, granulaire, compréhensible, temporaire et distinct. Concrètement, une case précochée n'est pas un consentement exprès, une acceptation en bloc n'est pas granulaire, et exiger un consentement marketing pour livrer le service rend le consentement non libre. Les renseignements sensibles, de nature médicale, biométrique ou autrement intime, exigent un consentement exprès. Un consentement non conforme est « sans effet », et les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Aucun formulaire officiel n'existe : le modèle plus bas en tient lieu.
Ce que l'article 14 exige, mot par mot
L'article 14 pose quatre conditions de fond. Manifeste : le consentement doit être évident, donné d'une façon qui ne laisse aucun doute sur la volonté de la personne. Libre : donné avec un choix réel, sans pression, ce qui interdit d'en faire une condition d'accès au service quand la finalité n'est pas nécessaire. Éclairé : la personne sait quels renseignements sont visés, pour quoi faire, et qui les recevra. Spécifique : pas de consentement général « à l'utilisation de mes renseignements », mais un accord pour une finalité nommée.
Le même article ajoute des exigences de forme. Le consentement est demandé pour chacune des finalités, en termes simples et clairs. Lorsqu'elle est faite par écrit, la demande doit être présentée distinctement de toute autre information communiquée à la personne : une phrase noyée dans les conditions d'utilisation ne compte pas. C'est aussi pourquoi votre politique de confidentialité ne remplace pas une demande de consentement : elle informe, elle ne demande rien. Enfin, le consentement ne vaut que pour la durée nécessaire à la réalisation des fins visées.
La Commission d'accès à l'information (CAI) a traduit tout cela en huit critères dans ses Lignes directrices 2023-1 sur la validité du consentement, publiées en octobre 2023 : manifeste, libre, éclairé, spécifique, granulaire, compréhensible, temporaire et distinct. C'est le document de référence quand la CAI évalue un formulaire, et l'enjeu n'a rien de théorique : les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales montent plus haut encore.
Les deux défauts qui invalident la plupart des formulaires
Le premier défaut est le regroupement. Une seule case du type « J'accepte la politique de confidentialité et je consens à recevoir des communications » mélange trois choses : la prise de connaissance d'un document, l'exécution du service et le marketing. La CAI est explicite : le consentement doit être granulaire, c'est-à-dire demandé pour chacune des fins visées, et si la personne ne peut qu'accepter ou refuser en bloc, il n'est pas libre non plus. La règle pratique : une case par finalité, et aucune finalité de marketing accrochée à l'achat ou à la demande de soumission.
Le second est la case précochée. Dans les lignes directrices de la CAI, la case déjà cochée qu'on peut décocher relève du consentement implicite, jamais du consentement exprès. Or l'exprès est obligatoire pour les renseignements sensibles et recommandé partout ailleurs, parce qu'il est plus facile à documenter et ne laisse aucun doute sur la volonté réelle de la personne. La CAI ajoute une règle d'équité qui condamne la plupart des interfaces importées du web anglophone : il doit être aussi facile de refuser que d'accepter. Un bouton « Accepter » bien en évidence et un lien « Refuser » gris pâle en petits caractères, c'est un consentement contestable, peu importe ce que dit le texte.
Quand demander un consentement est une erreur
Voici le point que même les entreprises de bonne foi ratent : le consentement n'est pas la base de tout. Les renseignements nécessaires pour fournir le produit ou le service demandé n'ont pas besoin d'une case à cocher. Si un client vous donne son adresse pour être livré, vous n'avez pas à lui demander la permission de l'utiliser pour le livrer. La CAI le formule clairement : en fournissant ses renseignements pour une finalité primaire annoncée, la personne consent à l'utilisation nécessaire à cette fin. Votre obligation ici est la transparence au moment de la collecte, pas un formulaire.
Demander un consentement quand il n'en faut pas n'est pas de la prudence, c'est une erreur de conception. D'abord parce qu'un consentement se retire : que répondez-vous au client qui « retire son consentement » à une utilisation indispensable à l'exécution du contrat? Vous venez de lui laisser croire à un choix qui n'existe pas. Ensuite parce que chaque case inutile dilue les cases qui comptent : la CAI parle de lassitude de consentement, et recommande justement de ne pas solliciter la personne pour rien.
Attention toutefois à la tentation inverse. L'article 12 de la loi énumère les cas où un renseignement peut être utilisé sans nouveau consentement, notamment à des « fins compatibles » avec la collecte initiale. Et il précise noir sur blanc que la prospection commerciale ou philanthropique ne peut jamais être une fin compatible. Le marketing exige donc toujours son propre consentement. Le client qui a acheté chez vous ne vous a pas donné le droit de lui écrire chaque semaine.
Pourquoi il n'existe pas de formulaire officiel
Beaucoup de gens cherchent « le » formulaire de consentement de la Loi 25, comme s'il y avait un document gouvernemental à télécharger. Il n'y en a pas. La page des formulaires et lettres types de la CAI ne propose qu'un seul modèle de consentement, celui destiné aux renseignements biométriques (septembre 2022), parce que la biométrie fait l'objet d'un régime particulier. Certains ordres professionnels fournissent un modèle à leurs membres, l'OACIQ pour les courtiers immobiliers par exemple. Pour une entreprise ordinaire, il n'y a rien d'officiel, et c'est logique : la loi exige que le consentement soit spécifique à vos finalités, donc un formulaire universel serait par construction non conforme.
Ce vide a été comblé par des modèles qui circulent d'un site à l'autre : formulaires de fondations, de syndicats de copropriété, d'organismes de santé publique. La plupart datent de la rentrée 2023 et se ressemblent : un paragraphe d'introduction, une clause où la personne « autorise l'organisation à collecter, utiliser et conserver ses renseignements personnels conformément aux modalités décrites », une signature. Le problème est structurel. Une signature unique qui couvre à la fois la gestion du dossier, la sollicitation, l'infolettre et la communication à des tiers n'est ni spécifique ni granulaire, et la personne qui refuserait un seul de ces usages n'a aucun moyen de le faire. Ces modèles ont été rédigés pour prouver qu'on a demandé quelque chose, pas pour donner un choix. C'est exactement ce que l'article 14 sanctionne.
Un modèle complet de formulaire de consentement, à copier et adapter
Le modèle qui suit est bâti pour une PME qui rend un service à des clients (une clinique, un studio, un cabinet, une boutique) et qui poursuit deux finalités secondaires courantes : l'infolettre et la publication de témoignages. Il rassemble les éléments que la loi exige à la collecte (article 8), ceux que l'article 14 impose à la demande elle-même, et la liste d'informations que la CAI recommande de fournir pour qu'un consentement soit éclairé. Remplacez les crochets, supprimez les finalités que vous ne poursuivez pas, n'en ajoutez aucune « au cas où ».
Consentement à l'utilisation de vos renseignements personnels
[Nom de l'entreprise], [adresse]. Responsable de la protection des renseignements personnels : [nom], [courriel], [téléphone].
Ce dont nous n'avons pas besoin de votre permission
Pour [décrire le service : vous soigner, réaliser votre projet, livrer votre commande], nous recueillons votre nom, vos coordonnées et [les renseignements strictement nécessaires au service]. Ces renseignements servent uniquement à vous fournir ce service, à vous facturer et à tenir votre dossier. Ils sont accessibles à [catégories d'employés : l'équipe clinique, l'administration] et conservés [durée ou événement : pendant la durée du contrat, puis cinq ans]. Ils sont hébergés chez [fournisseur], [au Québec / à l'extérieur du Québec].
Ce pour quoi nous vous demandons votre accord
Chaque choix est indépendant. Refuser n'a aucun effet sur le service que vous nous demandez.
1. Recevoir notre infolettre. J'accepte que [entreprise] utilise mon adresse courriel pour m'envoyer son infolettre [mensuelle] : conseils, nouveautés et offres. Je peux me désabonner en un clic dans chaque envoi. ☐ Oui ☐ Non
2. Publier mon témoignage. J'autorise [entreprise] à publier mon prénom, [ma photo] et le témoignage ci-joint sur son site web et ses réseaux sociaux, à des fins promotionnelles, pendant [deux ans] à compter d'aujourd'hui. ☐ Oui ☐ Non
Vos droits
Vous pouvez retirer un consentement en tout temps, consulter les renseignements que nous détenons sur vous et les faire corriger, en écrivant à [courriel du responsable]. Le retrait vaut pour l'avenir et n'affecte pas ce qui a été fait avant. Le détail de nos pratiques est dans notre politique de confidentialité : [adresse de la page].
Nom : ____________________ Signature : ____________________ Date : ____________
Chaque bloc a une raison d'être. L'en-tête nomme l'organisation et le responsable, les deux premières choses que la CAI recommande de fournir (« Qui? » et « Qui contacter en cas de besoin? »). Le premier bloc n'est pas une demande de consentement, et il le dit : c'est l'information à la collecte prévue à l'article 8, finalités, moyens, droits, tiers, hébergement hors Québec, plus ce que la loi n'oblige à donner que sur demande (qui a accès, combien de temps), parce que le donner d'emblée coûte une ligne et évite une question. La séparer visuellement des consentements empêche le mélange que la CAI condamne, où le même geste sert à confirmer une lecture et à consentir. Le deuxième bloc contient les seules vraies demandes. Chaque finalité a sa ligne, sa case Oui et sa case Non de même taille, un verbe d'autorisation (« J'accepte », « J'autorise ») plutôt qu'un verbe de connaissance (« Je suis conscient que »), et sa durée ou son événement de fin : la CAI recommande exactement ces trois choix dans ses exemples. La phrase « Refuser n'a aucun effet sur le service » rend le caractère libre explicite. Le bloc des droits couvre le retrait, l'accès et la rectification, avec le moyen concret de les exercer. La politique de confidentialité, enfin, n'est qu'un renvoi : la CAI suggère de hiérarchiser l'information en deux niveaux, l'essentiel dans la demande, le reste dans la politique.
La version web du même formulaire
Sur un site, le même contenu se répartit autrement. Le bloc d'information à la collecte devient une phrase sous le formulaire de contact ou de commande, avec un lien vers la politique : « Nous utilisons ces renseignements uniquement pour répondre à votre demande. Détails dans notre politique de confidentialité. » Aucune case ici, puisque aucun consentement n'est requis. Les finalités secondaires deviennent des cases décochées, placées avant le bouton d'envoi et visuellement séparées de lui :
☐ Je veux recevoir l'infolettre [mensuelle] de [entreprise] : conseils et nouveautés. Désabonnement en un clic, en tout temps.
☐ J'autorise [entreprise] à utiliser mon prénom et mon témoignage sur son site et ses réseaux sociaux pendant deux ans. Je peux retirer cette autorisation en écrivant à [courriel].
Le bouton d'envoi s'appelle « Envoyer ma demande », jamais « J'accepte » : cliquer pour obtenir le service ne doit pas pouvoir être interprété comme un consentement à autre chose. Et gardez une trace : la date, l'heure, le texte exact affiché et l'état de chaque case au moment de l'envoi. La CAI recommande de documenter ce qui permet d'établir la validité du consentement obtenu, libellé compris, et un formulaire web qui n'enregistre que « infolettre : oui » sans le texte qui allait avec ne le permet pas.
Cinq cas concrets, avec des formulations qui passent le test
L'infolettre
Une case décochée, à côté du formulaire mais séparée du bouton d'envoi, avec un texte comme : « Je veux recevoir l'infolettre mensuelle de [entreprise] : conseils et nouveautés. Désabonnement en un clic, en tout temps. » Une seule finalité, un langage courant, une fréquence annoncée et une porte de sortie visible. Bonus non négociable : la loi fédérale anti-pourriel (LCAP) exige de toute façon un consentement d'adhésion pour les messages électroniques commerciaux, avec identification de l'expéditeur et mécanisme de désabonnement. Un formulaire conçu pour la Loi 25 vous met aussi en règle de ce côté.
Les témoins marketing
Les témoins nécessaires au fonctionnement du site ne demandent pas de consentement. Tout le reste, mesure d'audience nominative, publicité, reciblage, doit être désactivé par défaut et proposé par finalité, avec « Tout refuser » aussi accessible que « Tout accepter ». Une formulation qui tient la route : « Nous utilisons des témoins nécessaires au fonctionnement du site. Avec votre accord, nous en utilisons aussi pour mesurer l'audience et pour la publicité. Vous pouvez accepter ou refuser chaque usage, et changer d'avis en tout temps. »
Photos et témoignages de clients
Une photographie est un renseignement personnel, la CAI le cite d'ailleurs en exemple dans ses lignes directrices. Publier la photo ou le témoignage d'un client à des fins promotionnelles est une finalité distincte du service rendu : il faut un consentement dédié, avec les supports et la durée. Par exemple : « J'autorise [entreprise] à publier ma photo et mon témoignage sur son site web et ses réseaux sociaux, à des fins promotionnelles, pour deux ans. Je peux retirer mon autorisation en tout temps en écrivant à [courriel]. » La durée limitée vient de la loi elle-même : le consentement ne vaut que pour le temps nécessaire à la finalité.
Les offres personnalisées et le profilage
Utiliser l'historique d'achats d'un client pour lui proposer des offres adaptées est une finalité secondaire, et si un algorithme entre en jeu, c'est du profilage au sens de l'article 8.1 : la fonction doit être désactivée par défaut et la personne informée des moyens de l'activer. La CAI donne elle-même la formulation à retenir dans ses lignes directrices, en corrigeant un texte de style contractuel illisible par celui-ci : « Recevoir des offres personnalisées. J'autorise l'entreprise à utiliser mon historique d'achats pour déterminer mon profil d'acheteur à l'aide d'un système d'intelligence artificielle. L'entreprise pourra choisir de m'envoyer des offres de rabais personnalisés adaptées à mon profil. » Un titre en gras qui nomme la finalité, un verbe d'autorisation, le renseignement utilisé, le moyen, le résultat. Rien d'autre.
Les renseignements sensibles
La loi qualifie de sensible un renseignement qui, par sa nature médicale, biométrique ou autrement intime, ou par le contexte de son utilisation, suscite un haut degré d'attente en matière de vie privée. Pour l'utiliser ou le communiquer, le consentement doit être exprès : un geste actif et sans ambiguïté, comme une case dédiée ou une signature, jamais une déduction. Une clinique qui recueille un historique de santé, un courtier qui manipule des documents financiers, une entreprise qui déploie un agent conversationnel susceptible de recevoir des confidences : tous devraient isoler cette demande dans son propre paragraphe, nommer qui aura accès aux renseignements et pourquoi. Par exemple, pour une communication à un tiers : « J'autorise clinique] à transmettre mon dossier de traitement à [nom du professionnel ou de l'établissement] afin d'assurer le suivi de mes soins, jusqu'à la fin de ce suivi. ☐ Oui ☐ Non » Si un système automatisé entre en jeu, notre article sur [les agents IA et la Loi 25 couvre les obligations supplémentaires.
Trois formulations à ne pas copier
« J'autorise [entreprise] à collecter, utiliser et conserver mes renseignements personnels conformément aux modalités décrites dans ce formulaire. » C'est la clause la plus répandue et la plus faible : elle consent à un document, pas à une finalité. Elle échoue au critère spécifique, et si le document décrit plusieurs usages, au critère granulaire.
« Je suis conscient que mes renseignements pourront être utilisés à des fins de marketing. » Un verbe de connaissance n'exprime pas un accord. La CAI demande des verbes qui évoquent clairement le consentement, « Je consens », « J'accepte », « J'autorise », et des options qui reflètent un choix, « Oui » et « Non », plutôt que « Suivant » et « Ignorer ».
« En soumettant ce formulaire, vous acceptez de recevoir nos communications. » Le geste qui sert à obtenir le service ne peut pas servir en même temps à consentir à autre chose : le consentement n'est ni manifeste ni libre, puisqu'il est impossible de refuser sans renoncer au service.
Questions fréquentes
Où trouver le formulaire de consentement officiel de la Loi 25?
Il n'en existe pas pour les entreprises en général. La CAI publie un modèle pour les renseignements biométriques seulement, et certains ordres professionnels en fournissent un à leurs membres. Pour le reste, le formulaire doit être rédigé à partir de vos finalités réelles; le modèle ci-dessus est un point de départ.
Le consentement doit-il être écrit et signé?
Non. La loi ne prescrit pas de forme. La CAI cite comme consentements exprès valides la signature d'un document, l'activation d'une case, la réponse affirmative à une question et l'approbation verbale. L'exigence de présentation distincte ne s'applique que lorsque la demande est faite par écrit. Ce qui compte, c'est de pouvoir démontrer après coup que le consentement a été donné et dans quels termes.
Combien de temps un consentement reste-t-il valide?
Le temps nécessaire à la finalité, pas plus. La CAI demande de fixer cette limite d'avance, sous forme de délai (un an, trois ans) ou d'événement (la fin du contrat, la clôture du dossier), et de l'annoncer à la personne. La validité du consentement et le délai de conservation du renseignement sont deux choses distinctes : un consentement expiré n'oblige pas à détruire le renseignement si une autre loi vous impose de le garder.
Faut-il refaire signer tous mes clients existants?
Seulement pour les finalités secondaires qui reposent sur un consentement et pour lesquelles vous n'en avez pas de valide. Les usages nécessaires au service que le client vous a demandé n'ont jamais eu besoin d'un consentement séparé. Pour l'infolettre, le test est simple : si vous ne pouvez pas dire quand et comment la personne a dit oui, vous n'avez pas de consentement.
Un bon formulaire est un symptôme
Un formulaire de consentement conforme est le signe d'une conception saine : l'entreprise sait quelles finalités elle poursuit, ne collecte que le nécessaire, et n'a donc qu'une ou deux cases à faire cocher. Si votre formulaire a besoin de six cases, le problème n'est pas la rédaction, c'est la collecte. C'est le genre de question qu'on règle en amont quand on conçoit un site dans le cadre de nos services web, plutôt qu'en collant un bandeau par-dessus à la fin.
Si vous voulez un deuxième regard sur vos formulaires actuels, écrivez-nous. On vous dira ce qui passe le test et ce qui ne le passe pas.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Les textes officiels, la Loi sur la protection des renseignements personnels dans le secteur privé (LégisQuébec) et les Lignes directrices 2023-1 de la Commission d'accès à l'information, font foi. Pour une situation particulière, consultez un juriste.
Écrit parXavier Peich