Les pages qui se classent en tête sur cette question citent la définition, puis une liste : nom, adresse, numéro d'assurance sociale. Personne n'hésite devant un numéro d'assurance sociale. Quand on prend en charge la sécurité et la conformité d'un site, les hésitations viennent de ce qu'il recueille sans que personne l'ait décidé : l'adresse IP dans les journaux du serveur, le courriel professionnel d'un formulaire de soumission, la photo d'équipe, l'étiquette qu'un outil d'IA colle à un prospect.
Ce texte prend ces cas un par un, avec le texte de la loi et les positions des autorités. Avant de se demander quoi faire d'un renseignement, il faut savoir si c'en est un.
La réponse courte, pour les pressés
Au Québec, un renseignement personnel est tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier (article 2 de la Loi sur la protection des renseignements personnels dans le secteur privé). Le mot « indirectement », en vigueur depuis le 22 septembre 2023, vise ce qui identifie par recoupement : selon nous, une adresse IP ou un identifiant de témoin qu'on peut relier à quelqu'un. Les coordonnées professionnelles (nom, fonction, adresse, courriel et téléphone du lieu de travail) restent des renseignements personnels, mais les règles de collecte, d'utilisation et de communication ne s'y appliquent pas tant qu'elles concernent l'exercice d'une fonction. Une photo où l'on reconnaît quelqu'un en est un. Ce qu'un système d'IA déduit d'une personne aussi, selon la Commission d'accès à l'information. Une donnée dépersonnalisée le reste; seule une donnée anonymisée selon le règlement en sort. Un renseignement est sensible par sa nature (médicale, biométrique, intime) ou par son contexte, et son utilisation à d'autres fins exige alors un consentement exprès.
Un seul critère, et le mot ajouté en 2023
Les versions historiques de la loi publiées sur LégisQuébec montrent que les mots « directement ou indirectement » ne figuraient pas à l'article 2 avant le 22 septembre 2023.
Cet ajout déplace la question : un champ qui ne nomme personne peut quand même identifier quelqu'un, une fois combiné à ce que vous détenez déjà ou à ce qui est facile à trouver.
Deux précisions évitent bien des débats. Il s'agit d'une personne physique : le chiffre d'affaires d'une société par actions n'est pas un renseignement personnel, celui d'un travailleur autonome est son revenu. Et l'article 1 vise le renseignement quelle que soit sa forme, « écrite, graphique, sonore, visuelle, informatisée ou autre » : un enregistrement d'appel compte autant qu'un champ de formulaire.
Le courriel professionnel : une exception plus étroite qu'on le croit
Oui : une adresse courriel qui permet d'identifier une personne est un renseignement personnel, y compris au travail. L'article 1 ajoute une nuance. Les sections II et III de la loi « ne s'appliquent pas non plus aux renseignements personnels qui concernent l'exercice par la personne concernée d'une fonction au sein d'une entreprise, tels que son nom, et sa fonction, de même que l'adresse, l'adresse de courrier électronique et le numéro de téléphone de son lieu de travail ».
Nous y lisons trois choses. Les coordonnées professionnelles restent des renseignements personnels : la loi les soustrait à deux sections, pas à la définition. Ces sections couvrent la collecte, l'utilisation, la communication, la sécurité et la destruction, mais pas le droit d'accès de la section IV. Et l'exception dépend de ce que le renseignement concerne : le nom de domaine de l'adresse n'y change rien.
Concrètement, selon cette lecture, la directrice des achats qui remplit votre formulaire de soumission avec son nom, son titre et son courriel de bureau est couverte par l'exception. Si elle utilise ce courriel pour prendre un rendez-vous personnel dans une clinique, elle ne l'est plus : le renseignement concerne sa santé, pas sa fonction. Le Gmail d'un travailleur autonome qui s'en sert pour son entreprise est un cas que le texte ne tranche pas clairement : demandez à un juriste plutôt que de deviner.
À notre avis, une adresse générique comme info@ ne désigne personne, tant qu'un seul employé ne la signe pas.
L'envoi d'infolettres relève en plus de la Loi canadienne anti-pourriel, dont le paragraphe 10(9)b) suit la même logique : consentement tacite pour une adresse publiée bien en vue, sans mention de refus, quand le message a un lien avec les fonctions de la personne.
L'adresse IP et les identifiants de témoins
Nous n'avons trouvé aucune page de la Commission d'accès à l'information (CAI) qui tranche nommément le cas de l'adresse IP. Le Commissariat fédéral à la protection de la vie privée, lui, écrit sur son propre site qu'une adresse IP peut servir à identifier quelqu'un dans certaines circonstances, et qu'il la considère comme un renseignement personnel, « surtout lorsqu'elle est accompagnée d'autres données » recueillies automatiquement, comme la page consultée et l'heure. En 2024, dans l'arrêt R. c. Bykovets (2024 CSC 6), la Cour suprême a jugé qu'une adresse IP suscite une attente raisonnable de vie privée, « le premier fragment numérique » qui peut mener à l'activité en ligne d'une personne. L'affaire relevait de la Charte, pas de la Loi 25.
Notre lecture, prudente : traitez l'adresse IP comme un renseignement personnel dès que vous pouvez la relier à autre chose. Un formulaire qui enregistre l'IP avec le nom et le courriel la rattache à une personne nommée. Les journaux de votre hébergeur la conservent avec chaque page demandée.
L'identifiant d'un témoin publicitaire ou analytique va plus loin : il est conçu pour reconnaître le même navigateur d'une visite à l'autre. C'est le terrain de l'article 8.1, qui exige d'informer la personne au préalable du recours à une technologie permettant de l'identifier, de la localiser ou d'effectuer un profilage, et la CAI en conclut que ces technologies ne pourront être activées par défaut. La mise en œuvre est dans notre guide sur les témoins et les formulaires, et l'option qui évite la question, dans l'article sur l'analytique sans témoins.
Statistiques, données pseudonymisées, données anonymisées
Un tableau qui dit « 142 demandes de soumission en septembre, dont 38 % de Laval » ne décrit personne. À notre avis, ce n'est pas un renseignement personnel, tant qu'aucune case ne correspond à un seul individu. Une ligne « 1 demande, Gaspé, secteur funéraire » peut suffire à reconnaître quelqu'un.
Entre les deux, la loi crée le renseignement dépersonnalisé (article 12) : celui qui ne permet plus d'identifier directement la personne. Selon nous, un enregistrement de session aux champs masqués en est un, et reste un renseignement personnel. Seul le renseignement anonymisé au sens de l'article 23 et de son règlement sort de la loi. Le détail du processus est dans notre article sur l'anonymisation.
Les photos : personnelles d'abord, biométriques ensuite
Une photo où l'on reconnaît un employé ou un client est un renseignement personnel, et le droit à l'image du Code civil s'y ajoute : voir notre article sur le droit à l'image.
Le cas limite survient quand la même photo passe dans un outil de reconnaissance faciale. Elle devient la source de renseignements biométriques, que la CAI qualifie de « sensibles et intimes », avec leurs propres obligations, dont, selon les cas, une déclaration à la Commission. Voir notre article sur la biométrie et la surveillance des employés.
Ce que l'IA déduit est aussi un renseignement personnel
La CAI écrit que « les renseignements générés à l'aide de systèmes d'intelligence artificielle ou de renseignements inférés sont des renseignements personnels assujettis aux lois applicables ». L'article 27 va dans le même sens en excluant de la portabilité le renseignement personnel « créé ou inféré ».
Sur un site, cela vise le robot de clavardage qui classe un visiteur comme « prospect chaud », ou l'outil qui résume un échange en notant que le client « semble en difficulté financière ». Cette déduction touche l'état des finances, un exemple de renseignement sensible selon la CAI, même si personne ne l'a saisie. À notre lecture, l'article 8.1 nomme cette activité : le profilage, soit la collecte et l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne, comme sa situation économique, ses préférences, ses intérêts ou son comportement.
Le test « sensible » : la nature, ou le contexte
L'article 12 qualifie de sensible le renseignement qui, « de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, […] suscite un haut degré d'attente raisonnable en matière de vie privée ». La CAI donne comme exemples la santé, l'orientation sexuelle, la biométrie, le groupe ethnique, les croyances et l'état des finances.
C'est le second critère qui surprend. Un nom et un courriel sont banals sur l'infolettre d'une quincaillerie. Les mêmes champs, sur le formulaire de rendez-vous d'une clinique de fertilité, révèlent quelque chose d'intime par le seul fait d'y figurer.
Les conséquences sont précises : un consentement exprès pour utiliser le renseignement à une autre fin (article 12) ou pour le communiquer (article 13), des mesures de sécurité qui tiennent compte de la sensibilité (article 10), et une évaluation des facteurs relatifs à la vie privée (ÉFVP) proportionnée (article 3.3).
Ce qui, sur votre site, déclenche des obligations
Faites le tour des points d'entrée. Les formulaires de contact, de soumission et de rendez-vous, comme l'inscription à l'infolettre, obligent à déterminer les fins avant la collecte, à se limiter au nécessaire et à informer la personne (articles 4, 5 et 8). Les témoins, pixels et outils d'analyse qui reconnaissent un navigateur relèvent de l'article 8.1. Un module de clavardage, un outil de réservation ou un formulaire hébergé hors Québec fait sortir les renseignements de la province, ce qui exige une ÉFVP préalable (article 17). Le tout figure dans une politique de confidentialité en termes simples et clairs (article 8.2). Le portrait d'ensemble est dans notre résumé des obligations de la Loi 25; pour savoir si c'est elle ou la loi fédérale qui s'applique, voir la LPRPDE et la Loi 25.
Une nouvelle collecte appelle une ÉFVP quand elle passe par un projet d'acquisition, de développement ou de refonte d'un système d'information (article 3.3), ou quand les renseignements quittent le Québec (article 17). Un nouveau formulaire branché sur un CRM hébergé hors Québec coche, selon nous, les deux cases. Notre guide de l'ÉFVP pour l'entreprise privée explique la démarche, et notre outil d'ÉFVP en ligne rédige le document à partir de vos réponses.
Par où commencer
Parcourez votre site comme un visiteur et notez chaque endroit où il laisse quelque chose : un champ, un témoin, une photo, une conversation. Pour chacun, trois questions : est-ce que ça permet de savoir de qui il s'agit, seul ou combiné à autre chose? Est-ce que ça concerne sa fonction ou sa vie privée? Le contexte le rend-il sensible? Les réponses dressent la liste que votre politique de confidentialité doit nommer.
Cet inventaire, et la mise en conformité du site qui en découle, fait partie de notre travail de sécurité et conformité.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.
Écrit parXavier Peich