La liste de vérification Loi 25 du site de votre entreprise

Treize points à cocher, avec la source officielle de chacun. Gratuit, sans courriel. Cochez ce qui est vrai aujourd’hui : ce qui reste vide est votre liste de travail.

Ceci n’est pas un avis juridique. Cette liste reprend les obligations publiées par la Commission d’accès à l’information pour les entreprises privées. Elle ne dit pas si votre entreprise est conforme : pour cela, consultez une ou un juriste. Les sanctions administratives peuvent atteindre 10 M$ ou 2 % du chiffre d’affaires mondial : la question mérite un vrai regard.

1. Qui répond

Une personne responsable est désignée.
Par défaut, c’est la personne qui a la plus haute autorité dans l’entreprise. Elle peut déléguer cette fonction par écrit. Source
Son titre et ses coordonnées sont publiés sur le site.
Un titre et un moyen de la joindre, visibles sans chercher : pied de page ou politique de confidentialité. Source

2. Ce que le site annonce

Une politique de confidentialité existe, en termes simples et clairs.
Obligatoire dès que vous recueillez des renseignements par un moyen technologique : formulaire, infolettre, outil de mesure d’audience. Source
Elle dit ce que le site fait vraiment.
Comparez-la à ce que la page charge : polices, statistiques, vidéos, publicité. Une politique qui affirme « aucun tiers » alors que la page en appelle trois est l’écart le plus courant que nous relevons.
Les renseignements sur votre gouvernance sont publiés.
Vos règles de conservation et de destruction, les rôles de votre équipe, et la façon de traiter une plainte. Source

3. Ce que le site fait sans demander

Aucun traceur de profilage ou de localisation n’est actif avant l’accord de la personne.
Ces technologies ne peuvent pas être activées par défaut : la personne doit les activer elle-même, après avoir été informée. Source
« Refuser » est aussi simple qu’« Accepter ».
Notre lecture, pas le texte de la loi : le consentement doit être libre, et une bannière qui rend le refus difficile ne le recueille pas vraiment. Un clic dans les deux cas.
Les paramètres offrent par défaut le plus haut niveau de confidentialité.
Sans que la personne ait à intervenir. Source

4. Ce que vos formulaires demandent

Chaque consentement vise une fin précise, demandée à part.
Pas de case unique « j’accepte tout » : l’infolettre, le partage avec un partenaire et la prise de rendez-vous sont trois demandes distinctes. Source
Au moment de la collecte, la personne sait pourquoi, comment, et quels sont ses droits.
Les fins, le moyen de collecte, son droit d’accès et de rectification, et son droit de retirer son consentement. Source
Vous ne demandez que ce qui sert.
Un champ « date de naissance » sur un formulaire de contact est un renseignement que vous devrez ensuite protéger, sans raison. Source

5. Le jour où quelque chose arrive

Un registre des incidents de confidentialité est tenu.
Il se communique à la Commission d’accès à l’information sur demande. Source
Vous savez qui avertir.
Un incident qui présente un risque de préjudice sérieux se signale à la Commission et aux personnes concernées. Source

Le plus dur à vérifier à l’œil : ce que la page charge vraiment

Deux points de cette liste demandent de savoir quels tiers votre site appelle, avant et après le consentement : « Elle dit ce que le site fait vraiment » et « Aucun traceur avant l’accord ». Cela ne se voit pas à l’écran. La vérification gratuite le mesure pour vous, sans laisser de courriel.

Faire la vérification gratuite

Pour un document écrit, daté, point par point : le constat.

Obligations vérifiées le 4 octobre 2026 auprès de la Commission d’accès à l’information. Toutes sont en vigueur depuis septembre 2024.