Sitio web conforme a la Ley 25: lo que hay que implementar de verdad (lista de control 2026)

La Ley 25 (antes proyecto de ley 64) se aplica a toda empresa quebequense que recopile datos personales, sea cual sea su tamaño. Un simple formulario de contacto, un boletín, un píxel publicitario o un CRM bastan para quedar sujeto. Esta es la lista de control concreta para su sitio.

1. El banner de consentimiento de cookies (artículo 8)

Es la obligación más visible. Desde septiembre de 2023, todo sitio accesible en Quebec debe obtener un consentimiento expreso, libre e informado antes de instalar cookies no esenciales: analítica, publicidad, redes sociales, remarketing.

En la práctica, eso significa:

• Ninguna cookie no esencial se instala antes del clic. Un banner meramente decorativo que carga Google Analytics o el píxel de Meta al abrir la página no cumple.
• Rechazar debe ser tan fácil como aceptar. Nada de un botón « Aceptar » bien visible y un « Rechazar » escondido en tres submenús.
• El consentimiento debe ser granular: el visitante distingue las categorías (necesarias, estadísticas, marketing).
• El consentimiento queda documentado y el visitante puede retirarlo con la misma facilidad con que lo dio.

Las cookies estrictamente necesarias para el funcionamiento del sitio (carrito, sesión, seguridad) no exigen consentimiento previo, pero deben describirse igualmente en su política.

2. La política de privacidad

En cuanto recopila información por medios tecnológicos, debe publicar una política de privacidad redactada en términos claros y sencillos. Debe explicar:

• Qué datos se recopilan y por qué (finalidades precisas);
• Cómo se protegen y cuánto tiempo se conservan;
• Si algunos datos se comunican fuera de Quebec;
• Cómo ejercer los derechos: acceso, rectificación, retirada del consentimiento y el nuevo derecho a la desindexación (derecho al olvido).

La política debe ser fácilmente accesible, normalmente con un enlace permanente en el pie de página.

3. El responsable de la protección de los datos personales

Toda empresa debe designar a una persona responsable de la protección de los datos personales. Por defecto es la persona con la máxima autoridad (a menudo el presidente o la directora general), pero la función puede delegarse por escrito. Punto clave para su sitio: el cargo y los datos de contacto de esa persona deben hacerse públicos, idealmente en la política de privacidad.

4. Privacidad por defecto y evaluaciones de impacto

Dos obligaciones más técnicas, a menudo olvidadas:

• Privacidad por defecto: los parámetros de un producto o servicio tecnológico ofrecido al público deben garantizar, sin intervención de la persona, el máximo nivel de privacidad. En concreto: nada de casillas premarcadas ni de compartición activada por defecto.
• Evaluación de los factores relativos a la vida privada (EFVP): se exige una evaluación para todo proyecto de adquisición, desarrollo o rediseño de un sistema de información que trate datos personales, y antes de cualquier comunicación de datos fuera de Quebec. El momento de pensarlo es al rehacer su sitio, no tres años después.

¿Cuánto cuesta cumplir?

El costo depende sobre todo de los datos que maneje. Referencias del mercado quebequense en 2026:

• Auditoría de cumplimiento + política de privacidad básica: unos 100 $ a 750 $ (rango indicativo — a confirmar según el proyecto).
• Implementación de una plataforma de gestión del consentimiento (CMP) con categorización de cookies: a menudo 500 $ a 2 500 $ de puesta en marcha, más a veces una suscripción mensual (rango indicativo — a confirmar según el proyecto).
• Acompañamiento completo (EFVP, registro, procedimientos internos, formación) para una pyme con datos sensibles: 3 000 $ a 10 000 $ o más (rango indicativo — a confirmar según el proyecto).

Conviene ponerlo en perspectiva frente a las sanciones: las sanciones administrativas de la Commission d'accès à l'information (CAI) pueden alcanzar 10 M$ o el 2 % de la facturación mundial, y las sanciones penales hasta 25 M$ o el 4 %, aplicándose el importe más alto. En 2026, la CAI ha reforzado sus recursos de inspección y empiezan a llegar las primeras sanciones.

Lista de control exprés

• Banner de consentimiento que bloquea las cookies no esenciales antes del clic
• Botón « Rechazar » tan accesible como « Aceptar »
• Política de privacidad clara, con finalidades y plazos de conservación
• Datos de contacto del responsable de la protección publicados
• Privacidad máxima por defecto (ninguna casilla premarcada)
• EFVP realizada antes de todo rediseño o transferencia de datos fuera de Quebec
• Procedimiento de respuesta en caso de incidente de confidencialidad

Hacemos que su sitio cumpla

En Bollé Communications integramos el cumplimiento de la Ley 25 directamente en nuestros proyectos de diseño web: banner de consentimiento funcional, bloqueo real de las cookies no esenciales, política de privacidad adaptada a sus prácticas y parámetros configurados por defecto. ¿Quiere saber en qué punto está su sitio? Hablemos — y consulte nuestra propia política de privacidad para ver cómo es un ejemplo conforme.

Este artículo se ofrece con fines informativos y no constituye asesoramiento jurídico. Para una evaluación formal de su cumplimiento, consulte a un profesional del derecho.