Loi 25 : vos obligations concrètes quand vous collectez des dons en ligne

Une donatrice remplit votre formulaire en ligne. Nom, adresse, courriel, montant. Elle coche peut-être la case de l’infolettre. Pendant ce temps, l’outil de statistiques du site note sa visite, et la plateforme de paiement traite sa carte. En deux minutes, votre organisme vient de recueillir une demi-douzaine de renseignements personnels.

La Loi 25 a modifié la loi québécoise qui encadre ces renseignements dans le secteur privé. Elle ne vise pas que les entreprises commerciales. La Commission d’accès à l’information indique que la loi peut aussi viser des organismes à but non lucratif, selon une analyse au cas par cas de leurs activités, et précise que l’aide d’un juriste peut être requise pour trancher. Se croire exempté sans l’avoir vérifié serait imprudent.

Ce texte ne remplace pas cette analyse. Il part d’un formulaire de don et d’une liste de bénévoles : ce que vous recueillez, ce que vous devez dire, ce que vous devez pouvoir démontrer. Pour une vue d’ensemble, voyez aussi les obligations de la Loi 25 pour votre organisme. Les pages de la Commission citées ici ont été consultées le 11 septembre 2026.

En bref

• La Loi 25 peut viser un OBNL : la Commission d’accès à l’information l’analyse au cas par cas.
• Chaque champ d’un formulaire de don doit être nécessaire ; en cas de doute, il ne l’est pas.
• Une case d’infolettre n’est jamais cochée d’avance et reste séparée du don.
• Le titre et les coordonnées du responsable de la protection des renseignements personnels doivent être publiés sur le site.
• Depuis le 22 septembre 2024, un donateur peut demander ses données dans un format structuré.

Ce que votre site collecte sans que vous y pensiez

Pour la Commission, la collecte ne se limite pas à ce qu’une personne tape dans un formulaire. Un renseignement peut être recueilli, mais aussi créé, comme un numéro de membre, ou déduit à partir d’autres données, comme un profil.

Sur le site d’un organisme, les points de collecte habituels sont les suivants :

• le formulaire de don : identité, coordonnées, montant, parfois un message ;
• l’inscription à l’infolettre : une adresse courriel, souvent un prénom ;
• le formulaire de bénévolat : disponibilités, expérience, parfois des renseignements beaucoup plus personnels ;
• les témoins de connexion et les outils de statistiques, qui enregistrent des données de navigation ;
• les formulaires d’inscription à une activité, qui peuvent concerner des enfants.

Avant même de parler de consentement, la loi pose une question plus exigeante : ce renseignement est-il nécessaire ? Selon la Commission, votre objectif doit être sérieux, légitime et précis, et l’atteinte à la vie privée doit lui être proportionnelle. En cas de doute, un renseignement est considéré comme non nécessaire.

Relisez donc chaque champ de vos formulaires. Une date de naissance sur un formulaire de don, un numéro de téléphone obligatoire pour s’abonner à l’infolettre : si vous ne pouvez pas expliquer à quoi ils servent, ils n’ont pas leur place. C’est aussi le moyen le plus simple de réduire vos risques. Ce que vous ne recueillez pas ne peut pas fuir.

Le consentement en pratique

Une fois la nécessité établie, le consentement doit respecter plusieurs critères. La Commission en énumère huit : il doit être manifeste, libre, éclairé, spécifique, temporaire, granulaire, compréhensible et distinct.

Sur un formulaire, cela se traduit par quelques règles simples. Une case d’abonnement à l’infolettre n’est jamais cochée d’avance. Elle est séparée du don lui-même : faire un don ne doit pas valoir abonnement. Chaque usage fait l’objet de sa propre demande, en termes simples. Et le texte qui accompagne la case dit clairement à quoi servira l’adresse.

Certains renseignements exigent davantage. Un renseignement est sensible lorsqu’il est de nature médicale, biométrique ou autrement intime, ou lorsque son contexte crée une forte attente de confidentialité. Pour ceux-là, le consentement doit être exprès. C’est le cas, par exemple, d’un formulaire de bénévolat qui demande des informations de santé ou d’un formulaire d’inscription qui porte sur la situation personnelle d’un usager.

Pour les jeunes, la règle est précise. Sous 14 ans, le consentement est donné par le parent ou le titulaire de l’autorité parentale. À partir de 14 ans, le jeune peut consentir lui-même. Un camp de jour ou une activité jeunesse inscrits en ligne sont directement concernés.

Les outils de suivi ont leurs propres règles. Si votre site utilise une technologie capable d’identifier, de localiser ou de profiler une personne, la Commission est claire : ces fonctions ne peuvent pas être activées par défaut. La personne doit les activer elle-même, volontairement, et vous devez l’informer dès le départ des moyens de le faire. C’est ce qui explique les bandeaux de témoins où seuls les éléments essentiels sont actifs au départ.

Le responsable de la protection des renseignements personnels

La loi désigne une personne responsable. Par défaut, c’est la personne qui détient la plus haute autorité dans l’organisation, soit habituellement la direction générale. Cette fonction peut être déléguée par écrit, en tout ou en partie. La Commission recommande alors de choisir quelqu’un qui a les compétences et un pouvoir de décision réel.

Le titre et les coordonnées de ce responsable doivent être publiés sur le site Web. Une ligne dans le pied de page ou dans la politique de confidentialité suffit, à condition qu’on la trouve.

Ce responsable approuve les politiques et les pratiques de l’organisme en matière de renseignements personnels. Il reçoit aussi les demandes d’accès et de rectification. Selon la Commission, le délai pour répondre est de 30 jours.

Dans un organisme de trois personnes, cela peut sembler lourd. La loi prévoit justement que les politiques de gouvernance soient proportionnées à la nature et à l’importance des activités. Elles doivent minimalement couvrir la conservation et la destruction des renseignements, les rôles des membres du personnel et le traitement des plaintes. Pour un petit organisme, cela peut tenir en quelques pages claires. L’important est qu’elles existent, qu’elles soient appliquées, et qu’elles soient présentées sur le site.

Ce que doit contenir la politique de confidentialité

Dès que vous recueillez des renseignements par un moyen technologique, et un site Web en est un, la publication d’une politique de confidentialité est obligatoire. Elle doit être rédigée en termes simples et clairs, et vous devez aviser les personnes des modifications qui y sont apportées.

Selon la Commission, cette politique doit informer les personnes :

• des renseignements recueillis par ce moyen et des fins pour lesquelles ils le sont ;
• des tiers à qui ils peuvent être communiqués, et dans quels contextes ;
• des mesures prises pour protéger leur confidentialité ;
• de l’utilisation de témoins de connexion, s’il y a lieu ;
• de leurs droits et de leurs recours ;
• des modifications apportées à la politique.

Deux éléments posent souvent problème sur les sites d’organismes. D’abord, les tiers. La Commission donne l’exemple d’une autre entreprise qui gère vos paiements : vous devez la nommer. Votre plateforme de dons, votre outil d’infolettre et votre hébergeur font partie de cette liste.

Ensuite, la communication à l’extérieur du Québec. La Commission cite le cas d’un fournisseur infonuagique situé en Ontario : la possibilité que les renseignements sortent du Québec doit être mentionnée. Or plusieurs outils en ligne hébergent leurs données ailleurs au Canada ou aux États-Unis. Votre politique doit le dire.

Une politique copiée d’un autre site ne répond pas à ces exigences. Elle décrit les outils d’un autre organisme. La Commission publie un guide de rédaction qui aide à partir de votre propre situation.

Effacement, portabilité : ce qu’un donateur peut demander

Toute personne peut demander à accéder aux renseignements que vous détenez sur elle et à les faire corriger. Depuis le 22 septembre 2024, elle peut aussi exercer un droit à la portabilité : obtenir les renseignements informatisés recueillis auprès d’elle dans un format technologique structuré et couramment utilisé. La Commission précise que les renseignements obtenus de tiers ne sont pas visés, et que le délai de réponse est le même que pour une demande d’accès.

Ce droit a une conséquence pratique pour votre site. Si un donateur vous demande ses données, pouvez-vous extraire sa fiche de votre outil de dons en quelques minutes, dans un fichier lisible ? Si la réponse est non, c’est le moment de le vérifier avec votre fournisseur, avant que la demande arrive.

Une personne peut également exiger qu’une entreprise cesse de diffuser un renseignement la concernant, ou le désindexe, lorsque cette diffusion lui cause un préjudice grave. La Commission donne l’exemple d’une photo publiée sans consentement. Pour un organisme, la situation la plus probable est celle d’une photo de bénévoles ou de participants mise en ligne après une activité, sans que chacun ait accepté.

Vos règles de conservation doivent aussi prévoir la destruction des renseignements une fois leur utilité passée. Une liste de bénévoles de 2019 qui dort dans un tableur partagé est un risque qui ne rapporte rien.

Commencez par un exercice court. Ouvrez chacun des formulaires de votre site et, pour chaque champ, écrivez en une phrase à quoi il sert. Ceux pour lesquels vous ne trouvez pas de réponse sont les premiers à retirer.

Sources consultées le 11 septembre 2026. Commission d’accès à l’information du Québec (cai.gouv.qc.ca) : « Champ d’application de la loi », « Collecte de renseignements personnels », « Consentement des personnes concernées », « Responsabilité des entreprises », « Principaux changements apportés par la Loi 25 », « Vos droits » et guide « Rédiger une politique de confidentialité ». Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Cet article présente des repères pratiques ; il ne constitue pas un avis juridique.

Serge, webmestre chez 1001Web, agence web à Montréal (Anjou) depuis 2008, spécialisée dans les sites d’OBNL et d’OSBL.