Avertissement : cet article est un guide pratique, pas un avis juridique. Pour une situation précise, consultez une personne qualifiée en droit de la vie privée.
Réponse courte : si votre site WordPress au Québec recueille des renseignements personnels (formulaire de contact, abonnement, commande, statistiques de visite), la Loi 25 vous demande entre autres de publier une politique de confidentialité claire, de désigner un responsable de la protection des renseignements personnels, d'obtenir un consentement adéquat et de savoir quoi faire en cas d'incident de sécurité.
1. Une politique de confidentialité publiée. Elle doit être rédigée en termes simples et accessible depuis le site : quels renseignements sont recueillis, pourquoi, avec qui ils sont partagés, où ils sont traités et comment exercer ses droits. Un lien visible dans le pied de page est la pratique courante.
2. Un responsable désigné. Une personne doit être responsable de la protection des renseignements personnels dans l'entreprise, et ses coordonnées doivent pouvoir être trouvées sur le site. Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise, mais elle peut déléguer.
3. Les formulaires et les témoins. Vérifiez chaque formulaire : que demande-t-il, et le faut-il vraiment ? Pour les outils de mesure et de publicité qui utilisent des témoins (Google Analytics, pixels publicitaires), assurez-vous que les visiteurs sont informés et peuvent refuser. Beaucoup d'entreprises ajoutent un bandeau de consentement.
4. Les services tiers et l'hébergement. Listez les services qui reçoivent des données de vos visiteurs : hébergeur, outil de formulaires, infolettre, statistiques. Si des renseignements sont communiqués à l'extérieur du Québec, la loi demande une évaluation préalable des risques. À documenter.
5. Les incidents de sécurité. Un site WordPress piraté qui expose des renseignements personnels est un incident de confidentialité. Si le risque de préjudice est sérieux, il faut aviser la Commission d'accès à l'information et les personnes touchées, et tenir un registre des incidents. Voir notre page sur le nettoyage d'un site piraté.
6. La sécurité technique de base. Une version de PHP supportée, WordPress et plugins à jour, sauvegardes, comptes administrateurs limités. Un site sur une version abandonnée de PHP, comme PHP 7.4 ou 8.1, est difficile à défendre si des données sont volées, d'autant que la faille PHP2Shell d'octobre 2026 touche ces versions.
Nous ne remplaçons pas un juriste, mais nous pouvons vérifier la partie technique : version de PHP, mises à jour, sauvegardes et nettoyage en cas d'incident. Remplissez le formulaire en bas de page.