Exigences légales pour les sites web et applications : Canada

Les sites web canadiens nécessitent une évaluation à la fois fédérale et provinciale : la LPRPDE, les lois provinciales applicables en matière de vie privée et de protection des consommateurs, et la LCAP pour les messages électroniques commerciaux. Le Québec ajoute d'importantes exigences en matière de vie privée et de langue française. Ajoutez à cela les règles provinciales d'accessibilité, les exigences du Québec en matière de langue française et le droit provincial de la consommation, et le schéma devient clair : au Canada, la province compte plus que le pays. Si vous ne devez retenir qu'une chose : vous ne pouvez pas envoyer d'e-mails aux Canadiens sans un consentement que vous pouvez prouver. Le consentement peut être exprès ou tacite dans le cadre d'une condition légale qualifiée ; certains messages sont exemptés. Une liste achetée ou un contact de conférence ne constitue pas une permission automatique. Conservez des preuves, respectez les délais et fournissez un mécanisme de désabonnement fonctionnel. La deuxième chose : la Loi 25 du Québec s'applique à toute personne faisant des affaires au Québec, quel que soit votre lieu d'établissement, et elle exige la protection de la vie privée par défaut — toute technologie qui identifie, localise ou profile une personne doit être désactivée par défaut. Ceci est le chapitre canadien de notre liste de contrôle juridique avant lancement. Exécutez d'abord cette séquence d'invites, puis ajoutez ceci par-dessus.

Points clés à retenir

• La LPRPDE s'applique aux renseignements personnels recueillis dans le cadre d'une activité commerciale — incluant un formulaire de contact, un système de réservation ou des analyses.
• La Loi 25 du Québec est la plus stricte : responsable de la protection des renseignements personnels, évaluations des facteurs relatifs à la vie privée, consentement pour les renseignements confidentiels, technologies de profilage désactivées par défaut, portabilité des données, pénalités allant jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
• La LCAP exige généralement un consentement exprès ou tacite qualifié pour les messages électroniques commerciaux, avec des preuves et des dates d'expiration applicables. Les pénalités atteignent 10 millions de dollars par violation pour les entreprises.
• Signalement des violations : informez le Commissaire à la protection de la vie privée et les personnes touchées en cas de « risque réel de préjudice grave », et gardez une trace de chaque violation pendant 24 mois.
• L'accessibilité est provinciale : la LAPHO de l'Ontario exige le respect des normes WCAG 2.0 AA pour les organisations de 50 employés ou plus ; les secteurs réglementés par le gouvernement fédéral suivent la Loi canadienne sur l'accessibilité.
• Les règles du Québec sur la langue française s'appliquent aux sites web commerciaux proposés aux consommateurs québécois.
• La réforme de la vie privée fédérale a stagné lorsque le projet de loi C-27 est mort début 2025 — la LPRPDE reste la loi en vigueur.

LPRPDE : la base fédérale

La LPRPDE s'applique aux organisations qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'une activité commerciale. L'Alberta, la Colombie-Britannique et le Québec ont leurs propres lois sur le secteur privé jugées essentiellement similaires, qui ont préséance pour les activités intra-provinciales.

Les dix principes d'équité en matière d'information, dans la version qui compte pour un petit produit :

• Responsabilité. Désignez une personne responsable de la conformité à la vie privée et nommez-la ou indiquez son rôle dans votre politique. Même si cette personne est vous.
• Détermination des fins. Indiquez pourquoi vous collectez chaque donnée, au moment de la collecte ou avant.
• Consentement valable. Le consentement doit être compréhensible pour vos utilisateurs réels. Le Commissaire à la protection de la vie privée s'attend à ce que les éléments clés — ce que vous collectez, avec qui vous le partagez, les finalités et le risque de préjudice — soient mis en évidence, et non enfouis. Consentement exprès pour les renseignements sensibles ; le consentement tacite peut fonctionner pour l'évident.
• Limitation de la collecte, de l'utilisation et de la conservation. Collectez ce dont vous avez besoin ; gardez-le uniquement aussi longtemps que nécessaire ; documentez une période de conservation.
• Exactitude et mesures de sécurité. Gardez les données correctes ; protégez-les proportionnellement à leur sensibilité.
• Ouverture et accès. Une politique de confidentialité claire et accessible, et un moyen pour les individus de voir ce que vous détenez et de le corriger — généralement sous 30 jours.

Signalement des violations. Depuis 2018, les violations impliquant un risque réel de préjudice grave doivent être signalées au Commissaire à la protection de la vie privée et aux personnes touchées dès que possible. Séparément, vous devez garder une trace de chaque violation, nuisible ou non, pendant 24 mois, et la produire sur demande. Ce registre est un petit fichier que la plupart des équipes ne créent jamais jusqu'à ce qu'elles en aient besoin.

Réforme fédérale. Le projet de loi C-27, qui aurait remplacé la LPRPDE par la CPPA et introduit un statut sur l'IA, est mort lorsque le Parlement a été prorogé en janvier 2025. La LPRPDE est toujours la loi fédérale en vigueur ; attendez-vous à ce que la réforme revienne, et ne construisez pas autour d'un projet de loi qui n'existe pas.

Loi 25 du Québec : la plus stricte

S'applique à toute entreprise faisant des affaires au Québec, quel que soit son lieu d'établissement. Entièrement en vigueur depuis septembre 2023, avec la portabilité des données ajoutée en septembre 2024.

• Responsable de la protection des renseignements personnels. Requis par défaut ; si vous ne désignez personne, il s'agit de la personne ayant la plus haute autorité dans l'organisation. Son titre et ses coordonnées doivent être publiés.
• Évaluations des facteurs relatifs à la vie privée pour les projets impliquant des systèmes d'information ou la prestation de services électroniques, et avant de transférer des renseignements personnels hors du Québec.
• Le consentement doit être clair, libre, éclairé, donné à des fins spécifiques et demandé séparément des autres conditions. Consentement exprès pour les renseignements sensibles.
• Protection de la vie privée par défaut. Toute technologie permettant d'identifier, de localiser ou de profiler une personne doit avoir ces fonctions désactivées par défaut. En pratique : pas de profilage automatique, pas de suivi de localisation activé par défaut, pas de résolution d'identité inter-sites à moins que l'utilisateur ne l'active.
• Décisions automatisées. Si une décision concernant quelqu'un est prise exclusivement par traitement automatisé, vous devez l'informer et, sur demande, expliquer les renseignements personnels utilisés, les raisons et les facteurs principaux, et lui permettre de soumettre des observations.
• Droits. Accès, correction, désindexation dans certaines circonstances, et portabilité des renseignements personnels informatisés dans un format structuré et couramment utilisé.
• Incidents. Signalez les incidents de confidentialité présentant un risque de préjudice sérieux à la Commission d'accès à l'information et aux personnes touchées, et maintenez un registre des incidents.
• Pénalités. Pénalités administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial ; amendes pénales allant jusqu'à 25 millions de dollars ou 4 %. Il existe également un droit d'action privé avec des dommages-intérêts légaux minimaux pour les violations intentionnelles ou par négligence grave.

LCAP : la plus coûteuse

La législation canadienne anti-pourriel régit les messages électroniques commerciaux — e-mail, SMS et messages via les plateformes sociales — envoyés vers ou accédés depuis un ordinateur canadien.

• Le consentement exprès utilise l'opt-in. Le consentement exprès nécessite une demande claire indiquant qui vous êtes, pourquoi vous le demandez et comment se retirer — jamais une case pré-cochée, et jamais intégré aux conditions d'utilisation.
• Le consentement tacite est étroit et expire : généralement deux ans après un achat ou un contrat, six mois après une demande, plus les adresses professionnelles publiées de manière visible utilisées pour des messages pertinents.
• Chaque message doit identifier l'expéditeur, fournir une adresse postale et une méthode de contact fonctionnelle, et inclure un mécanisme de désabonnement qui fonctionne pendant au moins 60 jours et est honoré dans les 10 jours ouvrables.
• Gardez des preuves. Dans une plainte LCAP, c'est à vous de prouver le consentement — quand, comment et ce que la personne a vu. Conservez le libellé, la source et le moment, plus la relation pertinente et l'expiration si vous vous basez sur un consentement tacite ; aucun champ unique n'est une défense complète.
• La LCAP a des dispositions distinctes pour l'installation de logiciels. Vérifiez leur portée et leurs exceptions ; ne supposez pas que chaque installation d'application initiée par l'utilisateur nécessite le même consentement supplémentaire.
• Pénalités : jusqu'à 10 millions de dollars par violation pour les organisations, 1 million de dollars pour les individus, avec des dirigeants et administrateurs potentiellement responsables.

Conservez les preuves nécessaires pour expliquer vos pratiques de messagerie ; le risque dépend de la manière dont la liste a été obtenue et utilisée.

Accessibilité

Il n'existe pas de norme nationale unique d'accessibilité web pour les entreprises privées. Ce qui s'applique :

• Loi canadienne sur l'accessibilité — secteurs réglementés par le gouvernement fédéral (banque, télécommunications, radiodiffusion, transport interprovincial) : plans d'accessibilité, processus de rétroaction et rapports d'étape.
• Ontario (LAPHO) — les organisations privées et à but non lucratif de 50 employés ou plus doivent rendre leurs sites web et contenus web conformes aux WCAG 2.0 Niveau AA, et déposer des rapports de conformité périodiques.
• Le Manitoba, la Nouvelle-Écosse et la Colombie-Britannique ont des législations sur l'accessibilité à divers stades, et d'autres provinces suivent.
• Le droit des droits de la personne s'applique partout : un service inaccessible peut faire l'objet d'une plainte pour discrimination, quel que soit l'effectif.

Utilisez les tests WCAG parallèlement aux exigences provinciales ou fédérales applicables. Un résultat WCAG seul n'établit pas la conformité avec chaque obligation d'accessibilité.

Langue française et règles de consommation

La Charte de la langue française du Québec exige que les publications commerciales, sites web, catalogues et contrats proposés aux consommateurs québécois soient disponibles en français, à des conditions au moins aussi favorables que toute autre langue. Ceci est appliqué, et cela s'applique aux entreprises hors Québec qui y font du marketing.

La protection du consommateur est provinciale. La Loi sur la protection du consommateur du Québec contient des règles particulièrement détaillées pour les contrats à distance : divulgation pré-contractuelle obligatoire, contrat écrit envoyé par la suite, et droits d'annulation lorsque les règles de divulgation ne sont pas respectées. La Loi de 2023 sur la protection du consommateur modernisée de l'Ontario a été adoptée mais attend ses règlements pour entrer en vigueur — ses dispositions sur les abonnements (consentement affirmatif pour renouveler, annulation à tout moment, pas de barrières inutiles, avis de renouvellement préalable) vont dans le même sens que tous les autres marchés sur ce site, alors construisez pour eux dès maintenant.

Taxe de vente. L'inscription à la TPS/TVH est requise une fois que vous dépassez le seuil des petits fournisseurs, et les entreprises numériques non-résidentes vendant à des consommateurs canadiens ont des obligations d'inscription simplifiées depuis 2021. Le Québec, la Colombie-Britannique, la Saskatchewan et le Manitoba ont des régimes provinciaux distincts. Question à poser à votre comptable, tôt.

L'invite spécifique au Canada

Exécutez ceci après les dix invites de la liste de contrôle principale :

Add Canadian compliance mechanics to this app. Implement each item and report exactly what changed:

1. A privacy policy that names a privacy officer role and contact, states the purpose of each collection at or before the point it happens, gives retention periods, lists every third party that receives personal information and the countries where it is stored, and explains how to request access or correction with a 30-day response commitment.
2. Point-of-collection notices: on every form, a short line stating what the data is used for. Do not rely on the policy page alone.
3. Email consent that satisfies CASL: an unticked opt-in checkbox with wording that states who is sending, what they will send, and how to unsubscribe; a stored record of the consent timestamp, the IP or account, and the exact wording shown; sender identification and a mailing address in every message; and an unsubscribe link that works without login and takes effect immediately. Show me where the consent record is stored.
4. A breach register: an internal table recording every security incident involving personal information with its date, description, data affected, and whether it was reported. This must exist even for incidents we decide not to report.
5. Quebec Law 25 mode: any feature that identifies, locates or profiles a user — analytics identity, location, personalisation, recommendation profiling — must be OFF by default and require an affirmative action to enable. List every such feature and its current default.
6. If any decision about a user is made solely by automated processing, add a notice at the point of the decision and a way for the user to request an explanation and submit observations.
7. Data portability: an export of the user's personal information in a structured, commonly used, machine-readable format.
8. If we serve Quebec: a French version of all consumer-facing text — interface, legal pages, emails, error messages — on terms at least as favourable as English, with a language switcher. Mark any string you could not translate.
9. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it.
Copier le prompt

Liste de contrôle avant lancement — Canada

• La politique de confidentialité nomme une personne responsable et énonce les finalités, la conservation et les destinataires
• Avis au point de collecte sur chaque formulaire
• LCAP : consentement opt-in capturé avec un enregistrement stocké du moment, du comment et du libellé exact
• Le désabonnement fonctionne sans connexion, est honoré rapidement, valide 60 jours
• Registre des violations existe ; chemin d'escalade vers le Commissaire à la protection de la vie privée défini
• Québec : responsable de la protection des renseignements personnels publié, processus d'EFP pour les nouveaux systèmes et transferts transfrontaliers, fonctionnalités de profilage désactivées par défaut
• Québec : version française de tout contenu destiné aux consommateurs
• Décisions automatisées divulguées avec un chemin d'explication
• Exportation de données dans un format lisible par machine
• Accessibilité auditée par rapport aux WCAG 2.1 AA (la LAPHO s'applique à partir de 50 employés en Ontario)

Ce que les vérifications de build établissent

Les invites sont des demandes d'implémentation, pas une certification juridique. Les contrôles en deux clics et les valeurs par défaut basées sur le consentement sont des choix de conception pratiques, pas des exigences légales universelles. Confirmez la juridiction, les exceptions, la conservation et les contrats des fournisseurs séparément. Vérifiez les contrôles avec des comptes de test et le comportement réel du navigateur/réseau ; un SUCCÈS du constructeur basé uniquement sur l'inspection du code est une preuve incomplète.

Sources officielles et portée de l'examen

Mise à jour le 14 septembre 2026. Les sources liées soutiennent la portée et les corrections discutées ici ; ceci est un examen éditorial, pas une opinion juridique exhaustive ou une certification de votre produit. Vérifiez la règle en vigueur lors de l'action.

• Conseils sur le consentement du CRTC
• Exigences de la LPRPDE
• Changements de la Loi 25 du Québec

• Statut du droit de la consommation de l'Ontario

Au Canada, la province est la juridiction — et la liste d'e-mails est le risque. Exécutez la liste de contrôle avant lancement, puis l'invite Canada ci-dessus. Vendez-vous ailleurs ? Voir les États-Unis, l'Union européenne, le Royaume-Uni, l'Australie, le Brésil et Israël. Vous pouvez construire ceci.