Trousse de conformité Loi 25

Quand le consentement est exigé, et comment le recueillir validement

La loi n'exige pas un consentement pour chaque renseignement que vous recueillez. L'article 8.3 prévoit que la personne qui fournit ses renseignements après avoir été informée consent déjà à leur usage pour les fins annoncées. Le consentement devient nécessaire lorsque vous voulez utiliser un renseignement à une autre fin, ou le communiquer à un tiers, et l'article 14 fixe alors six conditions de validité.

La réponse courte, le consentement n'est pas la première porte

L'ordre du texte compte. L'article 4 vous oblige à déterminer les fins avant la collecte. L'article 5 limite la collecte aux renseignements nécessaires à ces fins. L'article 8 vous oblige à informer la personne. Le consentement n'arrive qu'ensuite, et seulement dans deux situations, soit l'usage à une autre fin que celle annoncée, prévu à l'article 12, soit la communication à un tiers, prévue à l'article 13.

Toute personne qui fournit ses renseignements personnels suivant l'article 8 consent à leur utilisation et à leur communication aux fins visées au paragraphe 1° du premier alinéa de cet article.

Article 8.3

Cet article est souvent ignoré, et il change beaucoup de choses en pratique. Si vous avez bien informé la personne des fins de la collecte, de ses moyens, de ses droits d'accès et de rectification et de son droit de retirer son consentement, le fait qu'elle remplisse le formulaire vaut consentement pour ces fins. Vous n'avez pas à ajouter une case à cocher pour la fin principale. En revanche, si l'information n'a pas été donnée, il n'y a rien à présumer.

Les conditions de validité, à l'article 14

Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs. Lorsque la demande de consentement est faite par écrit, elle doit être présentée distinctement de toute autre information communiquée à la personne concernée.

Article 14

Chaque mot de cet alinéa interdit une pratique précise. Le tableau ci-dessous sert de liste de vérification pour vos formulaires actuels.

Deux autres phrases du même article méritent d'être lues. Le consentement « ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé », donc un consentement de 2019 pour une fin terminée depuis ne vous couvre plus. Et « un consentement qui n'est pas donné conformément à la présente loi est sans effet », ce qui veut dire qu'un formulaire mal construit ne vous protège pas du tout, plutôt qu'à moitié.

Quand il doit être exprès

L'article 12 pour l'utilisation et l'article 13 pour la communication emploient la même formule. Le consentement « doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible ». Le caractère sensible est défini au dernier alinéa de l'article 12, par la nature du renseignement, notamment médicale ou biométrique, ou par le contexte de son utilisation. Pour ces renseignements, il faut un geste positif et séparé, et non une mention dans une politique.

Les cas où le texte vous dispense du consentement

Ne demandez pas un consentement dont vous n'avez pas besoin, parce qu'un consentement inutile crée l'attente d'un retrait possible. Le deuxième alinéa de l'article 12 autorise un usage à une autre fin sans consentement dans cinq cas, soit une fin compatible, un usage manifestement au bénéfice de la personne, la prévention et la détection de la fraude ou l'évaluation des mesures de sécurité, la fourniture d'un produit ou d'un service demandé par la personne, et l'étude ou la statistique sur des renseignements dépersonnalisés.

Deux précisions du même article encadrent la première porte. Pour qu'une fin soit compatible, « il doit y avoir un lien pertinent et direct » avec la fin d'origine. Et le texte exclut nommément une fin, puisque « ne peut être considérée comme une fin compatible la prospection commerciale ou philanthropique ». Ajouter un client à une liste de sollicitation parce qu'il a acheté chez vous n'est donc pas une fin compatible.

Du côté de la communication, l'article 18 énumère les destinataires auxquels vous pouvez communiquer sans consentement, dont votre avocat, une personne ayant pouvoir de contraindre à la communication, ou une personne qui recouvre une créance de l'entreprise. L'article 18.3 couvre le cas le plus fréquent dans une PME, celui du fournisseur à qui vous confiez un mandat ou un contrat de service, à condition que le contrat soit écrit et qu'il nomme les mesures de protection exigées. L'article 18.4 encadre la communication en vue d'une transaction commerciale.

Les mineurs, et le retrait

L'article 14 règle l'âge. Sous 14 ans, le consentement est donné par le titulaire de l'autorité parentale ou par le tuteur. À 14 ans et plus, il peut être donné par le mineur, par le titulaire de l'autorité parentale ou par le tuteur.

Le droit de retrait n'est pas une politesse. Le paragraphe 4° du premier alinéa de l'article 8 vous oblige à informer la personne de ce droit au moment de la collecte. L'article 22 ajoute, pour la prospection commerciale ou philanthropique, que vous devez vous identifier, informer du droit de retrait, et que les renseignements « doivent cesser d'être ainsi utilisés » dès que le retrait est exprimé.

Un bloc à coller sous un formulaire de collecte

Le texte ci-dessous reprend les éléments exigés par l'article 8 et la séparation des fins exigée par l'article 14. Remplacez les mentions entre crochets par vos propres renseignements.

Pourquoi nous recueillons ces renseignements. [Fin principale, en une phrase concrète.] Comment. Par ce formulaire, rempli par vous. Qui y aura accès chez nous. [Fonctions, pas des noms.] Combien de temps nous les gardons. [Durée ou événement.] Nous les transmettons à [nom du tiers ou catégorie] pour [fin]. Ces renseignements sont hébergés [au Québec ou à l'extérieur du Québec, précisez]. Vous pouvez demander d'y accéder ou de les faire rectifier auprès de [titre et coordonnées du responsable]. Vous pouvez retirer votre consentement en tout temps en écrivant à la même adresse.

Cases distinctes, une par fin. [ ] J'accepte de recevoir votre infolettre. [ ] J'accepte que mes renseignements servent à [autre fin nommée].

Pratiques recommandées, qui ne figurent pas dans la loi

• Conserver la version du formulaire en vigueur à la date de chaque consentement, avec un numéro de version, afin de pouvoir démontrer ce qui a été montré à la personne.
• Enregistrer la date, l'heure et le moyen du consentement dans vos systèmes, et non seulement le résultat.
• Traiter un retrait comme une tâche assignée à une personne, avec une date de réalisation.

Cette page porte sur la loi du secteur privé québécois. Elle ne traite pas des règles de la Loi sur la protection du consommateur ni des exigences fédérales en matière de communications électroniques commerciales.

Pour aller plus loin

Savoir ce qui est visé est le préalable, et cela se trouve dans ce qui compte comme renseignement personnel. Si votre fournisseur est à l'extérieur du Québec, l'article 17 impose une étape de plus, décrite dans utiliser un fournisseur américain. Ce que vous devez publier sur votre site est détaillé dans publier le responsable et les politiques. Les formulaires et les blocs de consentement prêts à adapter sont dans la trousse.

Articles cités, 4, 5, 8, 8.3, 9, 12, 13, 14, 18, 18.3, 22 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.