top of page

Loi 25 au Québec : est-ce que votre entreprise est conforme?

23 sept.
4 min de lecture
Loi 25 au Québec

Vous avez sûrement entendu parler de la Loi 25. Peut-être que vous vous êtes dit : « On va s'en occuper plus tard. » Le problème, c'est que « plus tard » est déjà là. Depuis septembre 2024, toutes les dispositions de cette loi sont en vigueur, et les amendes, bien réelles.


Bonne nouvelle : comprendre la Loi 25, ce n'est pas si compliqué. Voici tout ce que vous devez savoir pour faire le point sur votre situation.


C'est quoi, exactement, la Loi 25?


La Loi 25, officiellement appelée la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a été sanctionnée le 22 septembre 2021 par le gouvernement du Québec. Son objectif : responsabiliser les entreprises dans la façon dont elles collectent, utilisent, conservent et détruisent les renseignements personnels de leurs clients, employés et partenaires.


Selon la Commission d'accès à l'information (CAI), l'organisme gouvernemental responsable de surveiller son application, la Loi 25 « positionne le Québec à l'avant-garde en matière de protection des renseignements personnels ». Elle s'est déployée en trois phases entre 2022 et 2024. Aujourd'hui, en 2026, l'ensemble de ses dispositions sont pleinement applicables.


Qui est concerné?


Pratiquement tout le monde. La Loi 25 s'applique à toute entreprise ou organisation qui collecte, utilise ou partage des renseignements personnels de résidents québécois. Peu importe votre taille, votre secteur d'activité ou votre localisation géographique.


Concrètement, ça inclut :

  • Les PME québécoises, peu importe leur taille

  • Les travailleurs autonomes

  • Les entreprises hors Québec qui font affaire avec des Québécois

  • Les organismes à but non lucratif

  • Les partis politiques provinciaux


Si vous avez une liste de clients dans un fichier Excel, une boîte de courriels avec des coordonnées, ou un formulaire de contact sur votre site web: vous êtes concerné.


Vos obligations concrètes


1. Désigner un responsable


Chaque organisation doit nommer une personne responsable de la protection des renseignements personnels. Par défaut, c'est le ou la PDG. Selon la CAI, le titre et les coordonnées de ce responsable doivent être publiés sur votre site web ou, à défaut de site, rendus accessibles par tout autre moyen approprié.


2. Établir des politiques de gouvernance


Vous devez établir et mettre en œuvre des politiques encadrant la gestion des renseignements personnels au sein de votre organisation, et publier de l'information détaillée à leur sujet sur votre site web. Ces politiques doivent notamment prévoir les rôles de chaque membre du personnel, les règles de conservation et destruction des données, et un processus de traitement des plaintes.


3. Obtenir un consentement éclairé


Le consentement à la collecte de données doit être manifeste, libre, éclairé et donné pour des fins précises. Il doit être demandé en termes simples et clairs, séparément de toute autre information. Pas question de noyer les gens dans des cases précochées ou des conditions illisibles.


4. Assurer la transparence lors de la collecte


Au moment de recueillir des renseignements personnels, vous devez informer les personnes concernées des finalités de la collecte, de leurs droits d'accès et de rectification, et de leur droit de retirer leur consentement.


5. Gérer les incidents de confidentialité


Si vous subissez une fuite de données ou un accès non autorisé, vous devez en aviser rapidement la CAI ainsi que les personnes touchées, et tenir un registre des incidents que vous devez être en mesure de remettre à la Commission sur demande.


6. Réaliser une ÉFVP avant de partager des données hors Québec


Avant de communiquer des renseignements personnels à l'extérieur du Québec, par exemple à un fournisseur basé ailleurs, vous devez réaliser une Évaluation des Facteurs relatifs à la Vie Privée (ÉFVP). La communication ne peut être effectuée que si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et doit faire l'objet d'une entente écrite.


7. Respecter le droit à la portabilité des données


Depuis le 22 septembre 2024, toute personne peut demander à récupérer ses données personnelles informatisées dans un format technologique structuré et couramment utilisé, ou exiger leur transfert vers un autre prestataire autorisé. Votre organisation doit être en mesure de répondre à cette demande.


Les risques de ne pas se conformer


Ce n'est pas un avertissement théorique. La CAI a tous les pouvoirs pour enquêter, imposer des sanctions et contraindre les entreprises à se conformer. Les amendes peuvent atteindre 4 % du chiffre d'affaires mondial de votre organisation. Un montant qui peut rapidement devenir très significatif, peu importe la taille de votre entreprise.


Et au-delà des amendes, c'est votre réputation qui est en jeu. Dans un contexte où la confiance des clients est plus précieuse que jamais, une fuite de données mal gérée peut faire des dommages durables.



Comment se conformer?


La conformité à la Loi 25 n'a pas besoin d'être abordée seul. Voici les grandes étapes à considérer pour structurer votre démarche.


La première chose à faire est d'identifier vos sources de données. Où se trouvent les renseignements personnels dans votre organisation? Fichiers Excel, courriels, formulaires papier, outils en ligne... Un portrait clair de la situation est le point de départ de toute démarche sérieuse.


Vient ensuite l'étape la plus critique : mettre en place des politiques de gouvernance. C'est ici que l'accompagnement de spécialistes, notamment des firmes juridiques ayant une expertise en protection des renseignements personnels, prend tout son sens. Les obligations légales sont précises, et une politique bien rédigée par des professionnels vous protège bien mieux qu'un document improvisé.


Une fois le cadre établi, il devient beaucoup plus simple de centraliser vos données. Avoir l'ensemble des renseignements personnels dans un système unique et sécurisé, comme un CRM, plutôt qu'éparpillés dans des dizaines de fichiers et d'outils, facilite grandement le respect de vos obligations et réduit considérablement les risques.


Finalement, il s'agit d'appliquer les règles de gouvernance au quotidien. Une politique, aussi bien rédigée soit-elle, n'a de valeur que si elle est mise en pratique par l'ensemble de votre équipe.


En résumé


La Loi 25 n'est plus une nouveauté. C'est la réalité du cadre légal québécois, et elle s'applique à vous dès maintenant, quelle que soit la taille de votre organisation.

Vous avez des questions sur la mise en conformité de votre organisation? Contactez l'équipe de Devpresso. À l'aide de nos partenaires, nous accompagnons les entreprises québécoises dans la modernisation de leur gestion de données.


Sources officielles :

 
 
bottom of page