Qui doit publier une politique de confidentialité, et où ?
La Loi sur la protection des renseignements personnels dans le secteur privé (la « Loi sur le privé ») impose cette politique à toute personne qui recueille des renseignements personnels par un moyen technologique. Le guide de la Commission d'accès à l'information (CAI) donne comme exemples le courriel, un site Internet ou une application. Une PME qui reçoit des demandes par formulaire en ligne est donc visée.
L'article 8.2 fixe deux gestes distincts. D'abord, publier la politique sur le site Internet de l'entreprise, s'il y en a un. Ensuite, la diffuser par tout moyen propre à atteindre les personnes concernées. Le guide de la CAI illustre ce second geste : un lien visible avant une commande, un message à la première ouverture d'une application, ou un livret remis avec un objet connecté.
Une politique enfouie dans un coin du pied de page, que personne ne rencontre avant de donner ses renseignements, remplit mal cette seconde exigence.
Que doit contenir une politique de confidentialité ?
Le guide de la CAI propose un contenu minimal, qui s'appuie sur les articles 8 et 8.1 de la Loi sur le privé. Voici les éléments, avec leur fondement quand le texte de loi le précise.
- L'identité et les dates. Le nom de l'entreprise, la date d'entrée en vigueur de la politique et la date de sa dernière mise à jour (recommandation du guide).
- Les moyens de collecte. Les moyens technologiques utilisés : courriels, formulaires, application, témoins, vidéosurveillance, objets connectés (art. 8, moyens utilisés pour recueillir les renseignements).
- Les renseignements et leurs fins. Les catégories de renseignements recueillis et les buts de la collecte (art. 8, fins de la collecte).
- Les tiers. Le nom du tiers pour qui la collecte est faite, les tiers ou catégories de tiers destinataires, et la possibilité que des renseignements soient communiqués à l'extérieur du Québec (art. 8).
- Les technologies d'identification, de localisation ou de profilage. Leur utilisation et les moyens offerts pour les activer (art. 8.1). Le guide précise que ces fonctions doivent être désactivées par défaut.
- Les paramètres de confidentialité. Pour un produit ou service technologique offert au public et doté de paramètres de confidentialité, ces paramètres doivent assurer par défaut le plus haut niveau de confidentialité (art. 9.1). Les paramètres d'un témoin de connexion en sont exclus.
- Les personnes qui ont accès. Les catégories de personnes qui y ont accès au sein de l'entreprise, et la durée de conservation. La loi les exige sur demande (art. 8) ; le guide recommande de les inclure.
- Les droits. Le droit d'accès, le droit de rectification et le droit de retirer son consentement (art. 8), ainsi que la possibilité de déposer une plainte.
- Un point de contact. Le guide suggère d'indiquer le nom et les coordonnées du responsable de la protection des renseignements personnels. La loi oblige à communiquer ces coordonnées sur demande.
Un dixième élément, facultatif selon le guide, est une description sommaire des mesures de sécurité physiques, technologiques et administratives.
Aucun de ces éléments ne peut s'écrire sans avoir fait l'inventaire de vos pratiques réelles : quels outils recueillent des renseignements, pour quoi faire, à qui ils sont transmis. Cet inventaire vient avant la rédaction. Notre article Loi 25 : par où commencer détaille cette première étape.
Quatre documents à ne pas confondre
Les PME mélangent souvent quatre documents qui n'ont ni le même objet, ni le même public, ni la même base légale.
| Document | À quoi il sert | Fondement | Public visé |
|---|---|---|---|
| Politique de confidentialité | Informer les personnes dont vous recueillez les renseignements par un moyen technologique | Art. 8.2 (avec les art. 8 et 8.1) | Clients, visiteurs, utilisateurs |
| Politique de gouvernance | Encadrer vos pratiques internes : conservation et destruction, rôles du personnel, traitement des plaintes | Art. 3.2 | D'abord l'entreprise elle-même |
| Conditions d'utilisation | Fixer les règles d'usage de votre service | Hors du champ de la Loi sur le privé : selon le guide de la CAI, elles ne concernent pas les renseignements personnels | Utilisateurs du service |
| Consentement | Recueillir l'acceptation de la personne | Art. 14 (critères de validité du consentement) | La personne, au moment de la collecte |
Deux précisions de la CAI méritent d'être retenues. D'une part, l'article 3.2 exige que des informations détaillées sur vos politiques et pratiques de gouvernance soient publiées sur votre site Internet (ou rendues accessibles autrement si vous n'en avez pas), rédigées en termes simples et clairs. La politique de gouvernance, elle, doit être proportionnée à vos activités et approuvée par le responsable de la protection des renseignements personnels. D'autre part, le guide indique que les conditions d'utilisation peuvent renvoyer à la politique de confidentialité, mais ne doivent pas être fusionnées avec elle.
Comment l'écrire en termes simples et clairs ?
La loi exige une rédaction « en termes simples et clairs ». Le guide de la CAI recommande de viser la compréhension du lecteur plutôt que celle de l'auteur : cibler le public, placer l'essentiel en premier, utiliser des titres explicites, des phrases courtes et des mots courants, aérer la mise en page, puis tester le texte auprès de lecteurs réels.
Quand un terme technique est inévitable, le guide conseille de l'expliquer par un exemple. Une phrase comme « nous utilisons un service d'analyse de trafic de tiers » gagne à être suivie de ce que cela change pour le visiteur : quelles données partent, vers qui, et comment refuser.
Les erreurs à éviter
Ces erreurs découlent directement des exigences ci-dessus.
- Reprendre un modèle étranger sans l'adapter. L'article 8 oblige à décrire vos fins, vos moyens et vos tiers, pas ceux d'un texte écrit pour un autre pays ou une autre entreprise.
- Oublier les tiers et les transferts hors Québec. Vos outils de courriel, d'analyse, de paiement ou d'hébergement peuvent être des tiers. L'article 8 exige de les nommer ou de les décrire par catégories, et d'indiquer la possibilité d'une communication hors Québec.
- Ne pas dater la politique. Le guide demande la date d'entrée en vigueur et celle de la dernière mise à jour.
- Fusionner la politique avec les conditions d'utilisation. Le guide de la CAI déconseille cette fusion.
- Activer par défaut des technologies de profilage ou de localisation. L'article 8.1 exige une information préalable et un moyen d'activer ces fonctions.
- Publier un texte introuvable. L'article 8.2 exige une diffusion qui atteint les personnes concernées, pas seulement une page publiée.
- Écrire ce que vous ne faites pas. Une politique qui promet des pratiques que l'entreprise n'applique pas crée un risque de plus. Validez chaque phrase auprès de la personne qui connaît vos systèmes.
Qui peut vous aider à la rédiger ?
Trois options existent, qui ne répondent pas au même besoin. Un générateur de modèle donne une structure de départ, mais il ne connaît pas vos outils ni vos tiers. Un consultant en gouvernance et protection des renseignements personnels aide à faire l'inventaire, à rédiger la politique et à l'aligner sur vos pratiques. Un avocat ou un autre professionnel légalement autorisé intervient pour un avis juridique personnalisé ou l'interprétation d'une disposition dans votre situation.
La question est donc de savoir quelle partie du problème vous devez régler en premier. Notre article Comment choisir une firme d'accompagnement pour la Loi 25 détaille les critères, les questions à poser et les signaux d'alarme.
Si vous préférez confier le travail à une firme, décrivez votre besoin en 2 minutes : Obtenez jusqu'à 3 soumissions.
Et ensuite
Une politique de confidentialité conforme est l'un des livrables d'une mise en conformité, pas le seul : il y a aussi l'inventaire des renseignements, la politique de gouvernance, le registre des incidents et, selon les cas, l'évaluation des facteurs relatifs à la vie privée. Pour comprendre ce que la loi permet à la CAI de sanctionner, consultez notre article sur les amendes et sanctions de la Loi 25 pour une PME.
Vous savez ce qu'il vous manque et vous voulez comparer des offres ? Obtenez jusqu'à 3 soumissions.
Sources
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 3.2, 8, 8.1, 8.2, 9.1 et 14, LégisQuébec, à jour au 12 août 2026 : legisquebec.gouv.qc.ca (consulté le 19 octobre 2026).
- Commission d'accès à l'information, Rédiger une politique de confidentialité : guide explicatif pour les entreprises, décembre 2023 : cai.gouv.qc.ca (consulté le 19 octobre 2026).
- Commission d'accès à l'information, Principaux changements de la Loi 25 (politique de confidentialité et politique de gouvernance) : cai.gouv.qc.ca (consulté le 19 octobre 2026).
Ce texte est informatif et ne constitue pas un avis juridique.