Loi 25 vs RGPD : quelles différences pour votre site web ?

# Loi 25 vs RGPD : ce que votre site web doit savoir (guide 2024)

Vous avez un site web et vous entendez parler de la Loi 25 au Québec et du RGPD en Europe. Vous vous demandez si vous êtes concerné, quelles sont les différences, et surtout, quoi faire concrètement pour votre site. Pas de panique, on démêle tout ça ensemble, en français clair et net.

## Introduction : deux lois, un même objectif

La Loi 25 (projet de loi 64) a été adoptée le 21 septembre 2021 au Québec. Elle modernise les règles sur la protection des renseignements personnels dans le secteur privé. Son application se fait de façon progressive : le 22 septembre 2022, le 22 septembre 2023, et le 22 septembre 2024. Chaque étape ajoute de nouvelles obligations pour les entreprises.

De l’autre côté de l’Atlantique, le RGPD (Règlement général sur la protection des données) s’applique en Europe depuis 2018. C’est devenu la référence mondiale en matière de protection des données personnelles.

Bonne nouvelle : la Loi 25 s’inspire beaucoup du RGPD. Mais il y a des différences importantes. Si vous avez un site web qui rejoint des clients au Québec et en Europe, vous devez comprendre ces nuances. Sinon, vous risquez des sanctions qui peuvent faire mal au portefeuille.

## H2 : Les similitudes entre la Loi 25 et le RGPD

Avant de parler des différences, regardons ce que ces deux lois ont en commun. Parce que oui, il y a beaucoup de similitudes. Si vous avez déjà mis votre site en conformité avec le RGPD, vous avez une longueur d’avance pour la Loi 25.

### Le consentement aux cookies

Les deux lois exigent que vous obteniez le consentement des visiteurs avant de déposer des cookies sur leur navigateur. Et pas n’importe quel consentement : il doit être libre, éclairé et spécifique.

Le point important, c’est que le refus doit être aussi facile que l’acceptation. Vous ne pouvez pas cacher le bouton « refuser » dans un coin sombre de votre bannière. Les visiteurs doivent avoir le choix, clairement et simplement.

### La politique de confidentialité

Votre politique de confidentialité doit expliquer clairement quelles données vous collectez, pourquoi vous les collectez, et comment vous les utilisez. Les finalités doivent être précises. Pas de jargon juridique incompréhensible. Vos visiteurs doivent comprendre ce qu’ils acceptent.

Les deux lois exigent aussi que vous informiez les gens sur leurs droits : accès, rectification, suppression, etc. Et ces droits doivent être faciles à exercer. Si quelqu’un vous écrit pour demander la suppression de ses données, vous devez répondre rapidement.

### Les droits des personnes

Parlons justement des droits. La Loi 25 et le RGPD donnent des droits similaires aux citoyens :

– **Droit d’accès** : une personne peut demander de voir les données que vous avez sur elle.
– **Droit de rectification** : si les données sont inexactes, elles doivent être corrigées.
– **Droit à la suppression** : une personne peut demander que ses données soient effacées.
– **Droit à la portabilité** : depuis 2024 au Québec, les données doivent pouvoir être transférées dans un format structuré et lisible.

Ces droits sont au cœur des deux lois. Si votre site web collecte des données personnelles (nom, courriel, adresse, etc.), vous devez être en mesure de répondre à ces demandes.

## H2 : Les différences entre la Loi 25 et le RGPD

Maintenant, entrons dans le vif du sujet. Voici les principales différences entre la Loi 25 et le RGPD.

### Les sanctions financières

C’est souvent ce qui attire l’attention. Les montants des amendes ne sont pas les mêmes.

Au Québec, la Loi 25 prévoit des sanctions pénales allant jusqu’à **100 000 $** pour les personnes physiques. Pour les personnes morales (les entreprises), l’amende peut atteindre **25 000 000 $** ou **4 % du chiffre d’affaires mondial** de l’entreprise, selon le montant le plus élevé.

En Europe, le RGPD prévoit des amendes allant jusqu’à **20 M€** ou **4 % du chiffre d’affaires annuel mondial**. C’est similaire dans l’esprit, mais le montant de base est différent.

Prenons un exemple concret. Une PME québécoise qui fait 5 M$ de chiffre d’affaires pourrait recevoir une amende de 200 000 $ (4 %) sous la Loi 25. En Europe, la même entreprise pourrait recevoir une amende de 20 M€ si elle opère en Europe, car le plafond de 20 M€ s’applique même aux petites entreprises.

### Les autorités de surveillance

Chaque loi a son autorité responsable de l’application.

Au Québec, c’est la **Commission d’accès à l’information (CAI)** qui veille à l’application de la Loi 25. La CAI peut recevoir des plaintes, faire des enquêtes, et imposer des sanctions.

En Europe, c’est la **CNIL** (Commission nationale de l’informatique et des libertés) pour la France, mais chaque pays européen a sa propre autorité de protection des données. Le RGPD prévoit un mécanisme de coopération entre ces autorités.

La différence pratique : si vous avez un problème avec la CAI, vous traitez avec une seule autorité québécoise. En Europe, selon les pays où vous opérez, vous pourriez avoir affaire à plusieurs autorités différentes.

### Le responsable de la protection des renseignements personnels

C’est une différence majeure. Au Québec, la Loi 25 exige que les entreprises nomment un **responsable de la protection des renseignements personnels** dès qu’elles ont **22 salariés ou plus**. C’est un seuil très bas. Même une petite PME peut être concernée.

En Europe, le RGPD exige la désignation d’un **DPO** (Délégué à la protection des données) dans certains cas précis : si vous êtes une autorité publique, si vos activités de surveillance sont à grande échelle, ou si vous traitez des données sensibles à grande échelle. Une petite entreprise qui fait du commerce en ligne n’a pas nécessairement besoin d’un DPO.

Donc, si vous avez 22 employés ou plus au Québec, vous devez nommer un responsable. Cette personne doit être identifiée et ses coordonnées doivent être publiées. C’est une obligation concrète qui ne se retrouve pas dans le RGPD pour les petites entreprises.

### La désindexation

La Loi 25 prévoit un droit spécifique : le droit à la **désindexation**. Une personne peut demander que des renseignements personnels la concernant soient retirés des index de recherche (comme Google) si ces renseignements lui causent un préjudice ou contreviennent à la loi.

Le RGPD a un concept similaire avec le « droit à l’oubli », mais la Loi 25 va plus loin en précisant explicitement ce droit dans le contexte des moteurs de recherche. C’est une différence subtile mais importante pour les sites web qui apparaissent dans les résultats de recherche.

### Le délai de notification des incidents

En cas d’incident de confidentialité (une fuite de données, par exemple), les délais de notification ne sont pas les mêmes.

Sous la Loi 25, vous devez notifier la CAI et les personnes concernées si l’incident présente un risque de préjudice sérieux. La loi ne fixe pas un délai précis en heures, mais elle exige que la notification soit faite **sans délai** après avoir pris connaissance de l’incident.

Sous le RGPD, la notification doit être faite à l’autorité de contrôle dans les **72 heures** après en avoir pris connaissance. C’est un délai précis et contraignant.

C’est une différence importante pour les entreprises qui opèrent dans les deux juridictions. Vous devez connaître les délais applicables dans chaque cas.

### Le périmètre géographique

C’est une question cruciale pour les entreprises québécoises.

La Loi 25 s’applique aux entreprises qui ont un **établissement au Québec** ou qui exploitent une entreprise au Québec. Même si votre entreprise est située ailleurs, si vous faites affaire avec des Québécois, vous pourriez être soumis à la Loi 25.

Le RGPD s’applique aux entreprises qui ont un établissement dans l’Union européenne, ou qui offrent des biens ou services à des personnes dans l’UE, même sans établissement sur place.

Donc, si vous avez un site web qui vend des produits au Québec et en Europe, vous êtes potentiellement soumis aux deux lois. C’est le scénario le plus complexe, mais aussi le plus exigeant.

### Les évaluations d’impact

Les deux lois exigent des évaluations d’impact dans certaines situations. Mais les déclencheurs sont différents.

Sous la Loi 25, vous devez faire une évaluation des facteurs relatifs à la vie privée (EFVP) lorsque vous traitez des renseignements personnels de manière à créer un risque de préjudice sérieux. Par exemple, si vous utilisez des technologies de reconnaissance biométrique ou si vous traitez des données sensibles à grande échelle.

Sous le RGPD, l’analyse d’impact relative à la protection des données (AIPD) est requise lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Les critères sont similaires, mais les seuils peuvent varier.

### Les contrats avec les sous-traitants

Les deux lois exigent que vous ayez des contrats écrits avec vos sous-traitants. Ces contrats doivent préciser les obligations en matière de protection des données.

Sous la Loi 25, le contrat doit notamment prévoir que le sous-traitant ne peut utiliser les renseignements personnels qu’aux fins de l’exécution du contrat, et qu’il doit mettre en place des mesures de sécurité appropriées.

Sous le RGPD, les clauses contractuelles sont très détaillées et doivent inclure des garanties spécifiques. Le RGPD impose aussi des obligations strictes en matière de transferts internationaux de données.

## H2 : Ce que ça change pour votre site web

Maintenant, parlons pratique. Qu’est-ce que ça change concrètement pour votre site web ?

### Les cookies et les traceurs

Si votre site utilise des cookies de suivi, des pixels publicitaires, ou des outils d’analyse comme Google Analytics, vous devez :

1. **Afficher une bannière de consentement** dès l’arrivée du visiteur.
2. **Permettre de refuser aussi facilement que d’accepter**.
3. **Ne pas déposer de cookies avant le consentement** (sauf les cookies essentiels).
4. **Fournir un moyen de modifier les choix** à tout moment.

C’est la même exigence sous la Loi 25 et le RGPD. Mais attention : la CAI a publié des lignes directrices spécifiques pour les sites web québécois. Les exigences sont claires et les entreprises doivent s’y conformer.

### La politique de confidentialité

Votre politique de confidentialité doit être à jour et complète. Elle doit inclure :

– Les finalités de la collecte des données.
– Les droits des personnes (accès, rectification, suppression, portabilité).
– Les coordonnées du responsable de la protection des renseignements personnels (si vous avez 22 employés ou plus).
– La durée de conservation des données.
– Les transferts hors Québec, le cas échéant.

Sous le RGPD, la politique de confidentialité doit aussi mentionner la base légale du traitement (consentement, contrat, intérêt légitime, etc.). C’est une exigence supplémentaire qui ne se retrouve pas explicitement dans la Loi 25.

### Le registre des incidents de confidentialité

Depuis le 22 septembre 2022, vous devez tenir un registre des incidents de confidentialité. Ce registre doit documenter tous les incidents, même ceux qui ne présentent pas un risque de préjudice sérieux.

Le registre doit contenir :
– La date de l’incident.
– Les renseignements personnels concernés.
– Les personnes touchées.
– Les mesures prises pour limiter les conséquences.

C’est une obligation qui s’applique à toutes les entreprises, peu importe leur taille. Même une micro-entreprise doit tenir ce registre.

### La destruction des renseignements personnels

La Loi 25 exige que les renseignements personnels soient détruits une fois les finalités atteintes. Vous ne pouvez pas garder les données indéfiniment « au cas où ».

Vous devez mettre en place des politiques de conservation et de destruction. Par exemple, si un client fait un achat sur votre site, vous devez conserver les données nécessaires pour la transaction, mais les supprimer une fois la période légale de conservation terminée.

### Les formulaires et les demandes des utilisateurs

Vos formulaires web doivent être conformes. Cela signifie :

– Expliquer pourquoi vous collectez les données.
– Obtenir un consentement clair.
– Permettre aux utilisateurs de retirer leur consentement facilement.
– Répondre aux demandes d’accès, de rectification ou de suppression dans les délais prévus.

Sous la Loi 25, vous avez généralement 30 jours pour répondre à une demande. Sous le RGPD, le délai est d’un mois. Les deux sont similaires, mais vous devez être prêt à agir rapidement.

## H2 : FAQ – Les questions qu’on se pose souvent

### Q1 : Est-ce que la Loi 25 s’applique à ma petite entreprise ?

Oui, la Loi 25 s’applique à toutes les entreprises qui exploitent une entreprise au Québec, peu importe leur taille. Même un travailleur autonome qui a un site web doit respecter les règles de base : politique de confidentialité, consentement aux cookies, droits des personnes, etc.

La seule différence, c’est l’obligation de nommer un responsable de la protection des renseignements personnels, qui s’applique à partir de 22 salariés. Mais toutes les autres obligations s’appliquent à tout le monde.

### Q2 : Mon site web est seulement en français, est-ce que je dois quand même respecter le RGPD ?

Si votre site web est uniquement en français et que vous ne ciblez pas le marché européen, vous n’êtes probablement pas soumis au RGPD. Mais si vous vendez des produits ou services à des clients en Europe, ou si vous utilisez des outils qui transfèrent des données vers l’Europe, vous pourriez être concerné.

La règle générale : le RGPD s’applique si vous offrez des biens ou services à des personnes dans l’UE, ou si vous surveillez leur comportement. Si vous avez un site web en français qui rejoint des clients en France, en Belgique ou en Suisse, vous devriez vérifier votre situation.

### Q3 : Quelles sont les conséquences si je ne me conforme pas ?

Les conséquences peuvent être financières, mais aussi réputationnelles. La CAI peut imposer des sanctions allant jusqu’à 100 000 $ pour les personnes physiques et 25 000 000 $ ou 4 % du chiffre d’affaires mondial pour les entreprises.

En plus des amendes, la CAI peut ordonner la cessation de l’utilisation des données, la destruction des renseignements personnels, ou la publication d’un avis. Et n’oubliez pas : une plainte d’un client peut déclencher une enquête.

## H2 : Conclusion – Passez à l’action

La Loi 25 et le RGPD ont beaucoup en commun, mais les différences sont importantes. Si vous avez un site web qui rejoint des clients au Québec et en Europe, vous devez comprendre ces nuances et vous conformer aux deux lois.

La bonne nouvelle, c’est que vous n’avez pas à tout faire du jour au lendemain. La Loi 25 a été mise en place progressivement, et les entreprises ont eu le temps de s’adapter. Mais maintenant, les obligations sont en vigueur. Il est temps d’agir.

Voici les étapes prioritaires pour votre site web :

1. **Vérifiez votre bannière de cookies** : le refus doit être aussi facile que l’acceptation.
2. **Mettez à jour votre politique de confidentialité** : finalités, droits, coordonnées du responsable.
3. **Tenez un registre des incidents de confidentialité** : même si vous n’avez pas eu d’incident, le registre doit exister.
4. **Nommez un responsable** si vous avez 22 employés ou plus.
5. **Vérifiez vos contrats avec vos sous-traitants** : ils doivent inclure des clauses de protection des données.

Si vous n’êtes pas sûr de votre conformité, faites un audit. C’est la meilleure façon de savoir où vous en êtes et ce qui reste à faire.

## CTA : Faites auditer votre site dès maintenant

Chez **loi25-audit.com**, on vous offre un audit complet de votre site web pour seulement **79 $**. En **48 heures**, vous recevez un rapport détaillé qui vous dit exactement ce qui est conforme et ce