Politique de confidentialité Loi 25 : structure, exemple et modèle à adapter

Cherchez « politique de confidentialité exemple » et vous trouverez des dizaines de modèles gratuits à copier-coller. La plupart sont écrits pour le RGPD, souvent pour des sites français. Installés tels quels sur un site québécois, ils donnent un document qui a l'air conforme, et qui ne l'est pas. Notre résumé des obligations de la Loi 25 pour les PME montre que la loi québécoise a sa propre logique ; la politique de confidentialité en est l'illustration la plus visible.

Depuis le 22 septembre 2023, publier une politique de confidentialité est une obligation légale dès que votre entreprise recueille des renseignements personnels par un moyen technologique. Un formulaire de contact suffit. Une adresse courriel de service à la clientèle aussi.

Cet article détaille ce que la loi exige de divulguer, propose une structure puis un modèle complet à adapter, section par section, et clarifie la distinction que la plupart des PME manquent : la politique publiée n'est pas le seul document exigé.

La réponse courte, pour les pressés

Depuis le 22 septembre 2023, toute entreprise qui recueille des renseignements personnels par un moyen technologique (site web, formulaire, adresse courriel) doit publier une politique de confidentialité en termes simples et clairs : c'est l'article 8.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25. La politique doit divulguer ce que l'article 8 exige : les fins de la collecte, les moyens utilisés, les droits d'accès et de rectification, le droit de retirer son consentement, les tiers destinataires et la possibilité d'une communication à l'extérieur du Québec. S'y ajoutent le titre et les coordonnées du responsable de la protection des renseignements personnels (article 3.1) et, en cas de technologies d'identification, de localisation ou de profilage, l'information exigée par l'article 8.1, ces fonctions devant être désactivées par défaut. Ce document public est distinct des politiques de gouvernance internes exigées par l'article 3.2.

Une obligation depuis septembre 2023, avec des dents

L'exigence vient de l'article 8.2 de la loi : quiconque recueille des renseignements personnels par un moyen technologique doit publier sur son site une politique de confidentialité rédigée « en termes simples et clairs », et diffuser un avis pour chaque modification. Le guide explicatif de la Commission d'accès à l'information (CAI), publié en décembre 2023, cite comme exemples un site web, une application, ou simplement une adresse courriel.

Les plafonds de sanction sont surdimensionnés pour une PME : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial en sanctions administratives pécuniaires (article 90.12), jusqu'à 25 millions ou 4 % au pénal (article 91). Personne n'imposera ces montants à une entreprise de douze employés. Mais l'omission d'informer les personnes conformément à l'article 8 figure parmi les manquements sanctionnables (article 90.1), et c'est le plus facile à constater : il suffit de visiter votre site.

Deux documents, pas un : la confusion la plus fréquente

La loi exige deux choses distinctes, que presque tous les modèles gratuits confondent.

La première, à l'article 3.2, ce sont les « politiques et pratiques de gouvernance » : un cadre interne qui prévoit les règles de conservation et de destruction des renseignements, les rôles et responsabilités de votre personnel tout au long de leur cycle de vie, et un processus de traitement des plaintes. Ce cadre doit être approuvé par votre responsable de la protection des renseignements personnels, être proportionné à vos activités, et des informations détaillées à son sujet doivent aussi être publiées sur votre site.

La seconde, à l'article 8.2, c'est la politique de confidentialité proprement dite : le document public qui informe les visiteurs de ce que vous recueillez et pourquoi.

Le guide de la CAI consacre une section entière à cette distinction. La politique de confidentialité s'adresse à vos visiteurs ; les politiques de gouvernance encadrent vos pratiques internes, y compris ce que vos employés font des renseignements, jusqu'aux outils d'IA qu'ils utilisent parfois sans vous le dire. Un modèle qui mélange les deux, ou ignore le second, ne remplit correctement aucune des deux.

Ce que la politique doit divulguer, point par point

L'article 8 dresse la liste : les fins de la collecte, les moyens utilisés, les droits d'accès et de rectification, le droit de retirer son consentement et, le cas échéant, les tiers pour qui la collecte est faite ou à qui les renseignements sont communiqués, et la possibilité qu'ils le soient à l'extérieur du Québec.

Précision très québécoise : « à l'extérieur du Québec » inclut le reste du Canada. Un fournisseur infonuagique dont les serveurs sont en Ontario déclenche l'article 17, qui exige une évaluation des facteurs relatifs à la vie privée avant la communication.

L'article 8 contient une seconde liste, à fournir « sur demande » : les renseignements recueillis, les catégories de personnes qui y ont accès dans l'entreprise, la durée de conservation, les coordonnées du responsable. Le guide de la CAI suggère de les inclure d'emblée : répondre à ces demandes une à une coûte plus cher que publier une fois.

L'article 3.1 exige par ailleurs, depuis septembre 2022, que le titre et les coordonnées de votre responsable figurent sur votre site. Par défaut, ce responsable est la plus haute autorité de l'entreprise : dans une PME, le président ou la présidente, sauf délégation écrite.

Enfin, si l'un de vos outils rend des décisions fondées exclusivement sur un traitement automatisé (un score de crédit, un tri de candidatures, certains agents IA), l'article 12.1 vous oblige à en informer la personne au plus tard au moment de la décision ; la politique est l'endroit naturel pour l'annoncer.

Témoins, analytique et profilage : ce que les bannières RGPD ne règlent pas

L'article 8.1 vise les technologies comprenant des fonctions permettant d'identifier une personne, de la localiser ou d'en effectuer un profilage. Si votre site en utilise, vous devez en informer la personne au préalable, avec les moyens offerts pour activer ces fonctions. Le guide de la CAI est explicite : elles doivent être désactivées par défaut.

La logique québécoise n'est donc pas celle de la bannière de témoins européenne. Le RGPD raisonne en consentement préalable au dépôt de témoins ; la loi québécoise raisonne en activation : les fonctions de profilage restent éteintes tant que la personne ne les allume pas. Détail curieux : l'article 9.1, qui impose la confidentialité maximale par défaut aux produits technologiques, exclut expressément les témoins de connexion ; l'article 8.1, lui, ne les exclut pas. Conséquence pratique : un outil d'analyse d'audience qui identifie ou profile les visiteurs exige une mécanique d'activation et une mention claire dans la politique. Un outil qui n'identifie, ne localise ni ne profile personne y échappe. C'est un argument sérieux en faveur de l'analytique sans témoins, celle que nous installons par défaut chez nos clients.

Pourquoi le modèle français copié-collé échoue

Un modèle RGPD, même bien rédigé, échoue au Québec sur au moins quatre points précis.

L'intérêt légitime n'existe pas ici. Les modèles européens justifient la moitié de leurs traitements par cette base légale du RGPD, sans équivalent au Québec : le régime repose sur le consentement et sur des exceptions précises. Chaque paragraphe qui invoque l'intérêt légitime décrit un traitement dont la base juridique reste à établir.

La géographie n'est pas la bonne. « Hors Union européenne » ne correspond à rien dans l'article 17 ; le seuil québécois se franchit dès la rivière des Outaouais, Toronto comprise.

Le DPO n'est pas le responsable. Le RGPD n'exige un délégué à la protection des données que dans des cas précis ; la loi québécoise désigne d'office la plus haute autorité de l'entreprise et exige la publication de son titre et de ses coordonnées.

Le recours n'est pas la CNIL. Une politique conforme pointe vers votre processus interne de traitement des plaintes, celui que l'article 3.2 vous oblige à avoir, et vers la Commission d'accès à l'information, pas vers une autorité française.

Ajoutez la portabilité, en vigueur au Québec depuis le 22 septembre 2024 et limitée aux renseignements recueillis auprès de la personne (pas ceux créés ou inférés), et le constat s'impose : adapter sérieusement un modèle RGPD demande plus de travail que rédiger une politique québécoise à partir de la bonne structure.

Le squelette à adapter

Voici la structure que nous utilisons, alignée sur l'article 8 et sur le guide de la CAI.

1. Qui nous sommes. Nom de l'entreprise, date d'entrée en vigueur de la politique, date de la dernière mise à jour.

2. Comment nous recueillons vos renseignements. Formulaires, courriels, infolettre, témoins ; les tiers qui recueillent pour vous (paiement, infolettre).

3. Ce que nous recueillons, et pourquoi. Catégories de renseignements et fins correspondantes ; les moyens offerts pour refuser certaines collectes et leurs conséquences.

4. Technologies de suivi. Témoins et outils d'analyse ; fonctions de profilage s'il y en a, désactivées par défaut, avec la manière de les activer.

5. Qui y a accès. Catégories de personnes à l'interne ; tiers destinataires ; communication éventuelle à l'extérieur du Québec.

6. Conservation et sécurité. Durées de conservation ; description sommaire des mesures de sécurité.

7. Vos droits. Accès, rectification, retrait du consentement, portabilité, plainte selon votre processus interne, avec la CAI en recours.

8. Responsable de la protection des renseignements personnels. Titre et coordonnées.

9. Modifications. Comment les changements seront annoncés, l'avis étant exigé par l'article 8.2.

C'est une structure, pas un texte à recopier : chaque section doit décrire vos pratiques réelles. Une politique qui promet des pratiques que vous n'avez pas est pire qu'une politique absente : elle documente l'écart. La section suivante donne le texte qui correspond à cette structure.

Modèle de politique de confidentialité (à adapter)

Ce qui suit est un modèle complet, écrit pour une PME québécoise ordinaire : un site vitrine avec formulaire de contact, une infolettre, parfois une boutique. La CAI ne publie pas de modèle officiel pour le secteur privé, et son guide explique pourquoi : un règlement fixe le contenu des politiques des organismes publics, il n'existe pas d'équivalent pour les entreprises. Le guide explicatif « Rédiger une politique de confidentialité », publié en décembre 2023 et téléchargeable sur cai.gouv.qc.ca, décrit donc un contenu suggéré plutôt qu'un texte imposé. C'est sur ce guide et sur la loi que le modèle ci-dessous est calqué.

Mode d'emploi : remplacez chaque crochet par votre information réelle, supprimez les sections qui ne décrivent rien chez vous, ajoutez celles qui manquent, puis relisez chaque phrase en vous demandant si elle correspond à vos pratiques. Sous chaque titre, une ligne en italique indique ce qu'il faut vérifier ou ajuster.

Qui nous sommes et ce que couvre cette politique

[Nom de l'entreprise] exploite le site [adresse du site] et offre [description en une phrase de vos produits ou services]. La présente politique explique quels renseignements personnels nous recueillons par des moyens technologiques, à quelles fins, qui y a accès, combien de temps nous les conservons et quels droits vous pouvez exercer. Elle est en vigueur depuis le [date d'entrée en vigueur] et sa dernière mise à jour remonte au [date de la dernière mise à jour].

À adapter : les deux dates sont demandées par le guide de la CAI et ce sont les premières choses qu'un visiteur vérifie. Si vous exploitez plusieurs sites ou une application, nommez-les tous ici.

Comment nous recueillons vos renseignements personnels

Nous recueillons des renseignements personnels lorsque vous remplissez le formulaire de contact du site, lorsque vous nous écrivez à [adresse courriel de l'entreprise], lorsque vous vous inscrivez à notre infolettre et lorsque vous naviguez sur le site, par l'intermédiaire des témoins de connexion décrits plus bas. [Ajoutez vos autres moyens de collecte : création de compte, commande en ligne, prise de rendez-vous, vidéosurveillance, appareil connecté.] Certains de ces renseignements sont recueillis pour nous par des fournisseurs : [nom du service d'infolettre], [nom de la plateforme de paiement] et [nom de l'hébergeur].

À adapter : faites l'inventaire avant d'écrire cette section. L'article 8 exige d'indiquer les moyens de collecte, et le guide de la CAI demande de nommer les tiers qui recueillent pour vous. Un outil oublié ici devient un écart documenté.

Les renseignements que nous recueillons et les fins auxquelles ils servent

Nous recueillons vos renseignements d'identification (nom, adresse courriel, numéro de téléphone, et [adresse postale] si vous passez une commande) afin de répondre à vos demandes, de vous fournir nos services et de gérer la facturation. Nous recueillons des renseignements techniques (adresse IP, date et heure de connexion, pages consultées) afin d'assurer la sécurité du site et d'en mesurer la fréquentation. Nous recueillons [autre catégorie] afin de [fin correspondante]. Vous pouvez refuser de nous fournir certains renseignements : [décrivez les moyens offerts, par exemple nous joindre par téléphone plutôt que par le formulaire, ou commander sans créer de compte] ; dans ce cas, [conséquence, par exemple nous ne pourrons pas conserver l'historique de vos commandes].

À adapter : une fin par catégorie, en langage courant. « Améliorer votre expérience » ne veut rien dire pour personne ; « vous envoyer un rappel de rendez-vous » oui. Les moyens de refus et leurs conséquences sont demandés par le guide de la CAI.

Témoins de connexion, mesure d'audience et profilage

Notre site utilise des témoins de connexion nécessaires à son fonctionnement, ainsi que [décrivez vos autres témoins]. [Si votre outil identifie, localise ou profile les visiteurs :] Nous utilisons [nom de l'outil], qui comprend des fonctions permettant de vous identifier, de vous localiser ou d'établir votre profil. Ces fonctions sont désactivées par défaut. Vous pouvez les activer [décrivez le moyen offert, par exemple le panneau de préférences accessible au bas de chaque page] et les désactiver de la même manière en tout temps. [Si ce n'est pas le cas :] Notre outil de mesure d'audience, [nom de l'outil], ne comprend aucune fonction permettant de vous identifier, de vous localiser ou d'établir votre profil.

À adapter : c'est l'article 8.1, et c'est la section où les modèles européens se trompent le plus souvent. Gardez la formulation qui correspond à votre outil, supprimez l'autre. Si vous offrez un produit ou un service technologique doté de paramètres de confidentialité, ajoutez une phrase confirmant qu'ils sont réglés au plus haut niveau par défaut, comme l'exige l'article 9.1.

Qui a accès à vos renseignements personnels

À l'interne, vos renseignements sont accessibles aux personnes qui en ont besoin pour leur travail : [catégories, par exemple l'équipe de service à la clientèle, la personne responsable de la facturation, la direction]. À l'externe, nous communiquons certains renseignements à [nom du fournisseur] aux fins de [fin], et à [nom du fournisseur] aux fins de [fin]. Nous ne vendons pas vos renseignements personnels et nous ne les communiquons à personne d'autre sans votre consentement, sauf lorsque la loi nous y autorise ou nous y oblige.

À adapter : nommez des catégories de personnes, pas des individus. La liste des tiers destinataires est exigée par le deuxième alinéa de l'article 8. Ne gardez la dernière phrase que si elle est vraie.

Communication à l'extérieur du Québec

Certains de nos fournisseurs conservent ou traitent des renseignements à l'extérieur du Québec : [nom du fournisseur, province ou pays]. Avant de communiquer des renseignements personnels à l'extérieur du Québec, nous procédons à une évaluation des facteurs relatifs à la vie privée et nous concluons avec le fournisseur l'entente écrite que la loi exige.

À adapter : rappel utile, « à l'extérieur du Québec » comprend l'Ontario et le reste du Canada. Ne promettez l'évaluation de l'article 17 que si vous l'avez réellement faite ; sinon, faites-la avant de publier.

Conservation, destruction et sécurité

Nous conservons vos renseignements personnels aussi longtemps que nécessaire aux fins décrites plus haut : [durée ou critère, par exemple sept ans pour les pièces comptables, trois ans après le dernier contact pour les demandes d'information, jusqu'au désabonnement pour l'infolettre]. Lorsque ces fins sont accomplies et qu'aucune loi ne nous impose de les garder plus longtemps, nous les détruisons ou les anonymisons. Nous prenons des mesures de sécurité raisonnables pour les protéger : [par exemple accès par mot de passe et authentification à deux facteurs, chiffrement des échanges, locaux verrouillés, formation du personnel].

À adapter : l'article 23 impose la destruction ou l'anonymisation une fois les fins accomplies, et l'article 10, des mesures de sécurité raisonnables. Une durée réelle vaut mieux qu'un « aussi longtemps que nécessaire » laissé seul.

Décisions prises par un traitement automatisé

[Si c'est votre cas :] Certaines décisions vous concernant sont prises exclusivement par un traitement automatisé, sans intervention humaine : [décrivez, par exemple l'acceptation automatique d'une demande de financement]. Nous vous en informons au plus tard au moment où nous vous communiquons la décision. Sur demande, nous vous indiquons les renseignements personnels utilisés, les raisons ainsi que les principaux facteurs qui ont mené à la décision, et votre droit de faire rectifier ces renseignements. Vous pouvez présenter vos observations à un membre de notre personnel en mesure de réviser la décision, en écrivant à [adresse courriel du responsable].

À adapter : c'est l'article 12.1. Supprimez la section si aucune décision n'est entièrement automatisée chez vous. Un tri automatique de candidatures ou un score attribué par un agent IA compte.

Vos droits et comment les exercer

Vous avez le droit d'accéder aux renseignements personnels que nous détenons à votre sujet et d'en obtenir une copie. Vous avez le droit de les faire rectifier s'ils sont inexacts, incomplets ou équivoques. Vous pouvez retirer en tout temps le consentement que vous nous avez donné pour leur utilisation ou leur communication. Vous pouvez aussi nous demander de vous communiquer, dans un format technologique structuré et couramment utilisé, les renseignements informatisés que nous avons recueillis auprès de vous. Pour exercer l'un de ces droits, écrivez à [adresse courriel du responsable] ou à [adresse postale]. Nous devons pouvoir vérifier votre identité. Nous répondons par écrit dans les 30 jours suivant la réception de la demande, et l'accès est gratuit.

À adapter : le délai de 30 jours et la gratuité viennent des articles 32 et 33, l'accès et la rectification des articles 27 et 28. Le droit à la portabilité, au troisième alinéa de l'article 27, ne vise que les renseignements recueillis auprès de la personne, pas ceux que vous avez créés ou inférés à son sujet. Mentionnez ici vos moyens technologiques s'il y en a, par exemple un espace client où l'on corrige ses coordonnées soi-même.

Responsable de la protection des renseignements personnels et plaintes

Le ou la responsable de la protection des renseignements personnels chez [Nom de l'entreprise] est [titre de la personne, par exemple la présidente], que vous pouvez joindre à [adresse courriel du responsable] ou au [numéro de téléphone]. Si notre façon de traiter vos renseignements personnels vous laisse insatisfait, vous pouvez porter plainte auprès de cette personne : [décrivez brièvement votre processus, par exemple un accusé de réception sous cinq jours ouvrables et une réponse motivée sous 30 jours]. Vous pouvez également vous adresser à la Commission d'accès à l'information du Québec.

À adapter : l'article 3.1 exige que le titre et les coordonnées du responsable soient publiés sur votre site. Le processus de plainte décrit ici doit être celui de vos politiques de gouvernance internes (article 3.2) ; annoncer un processus qui n'existe pas est le piège le plus courant. Le même article vous oblige aussi à publier des informations détaillées sur ces politiques.

Modifications de cette politique

Nous pouvons modifier la présente politique. Toute modification est annoncée [décrivez le moyen, par exemple par un avis affiché sur la page d'accueil pendant 30 jours et par un courriel aux personnes inscrites à l'infolettre], et la date de mise à jour indiquée plus haut est révisée en conséquence.

À adapter : l'avis de modification est exigé par l'article 8.2 au même titre que la politique elle-même. Choisissez un moyen que vous appliquerez vraiment.

Ce modèle couvre le document public, et lui seul. Il ne remplace ni les politiques de gouvernance de l'article 3.2, ni l'évaluation des facteurs relatifs à la vie privée que l'article 17 impose avant toute communication à l'extérieur du Québec. Pour vérifier qu'il ne manque rien à l'échelle de l'entreprise, la CAI publie aussi un aide-mémoire sur les responsabilités des entreprises, daté du 8 février 2023, qui reprend les obligations entrées en vigueur en 2022, 2023 et 2024. Et tout ceci reste une vulgarisation : en cas de doute, le guide de la CAI et le texte de la loi font foi.

Par où commencer

Le travail tient en trois étapes : inventorier ce que votre site recueille réellement (chaque formulaire, chaque outil tiers, chaque témoin), rédiger la politique à partir du squelette, puis mettre par écrit vos politiques de gouvernance pour que le processus de plainte annoncé existe vraiment. Pour un site simple, c'est quelques jours de travail, pas quelques mois.

Si vous préférez déléguer l'inventaire, on le mène régulièrement pour nos clients, en même temps que la refonte ou l'entretien de leur site.

→ Parlez-nous de votre site

Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Les textes de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.