Loi 25 pour les PME du Québec : guide de conformité en protection des renseignements personnels (l'ancienne Loi 64)
La Loi 25 encadre la façon dont une entreprise du Québec recueille, utilise, conserve et détruit les renseignements personnels. Elle ne prévoit aucun seuil : une PME de dix personnes y est soumise comme une multinationale. Cette page réunit ce que dit la loi, les échéances déjà en vigueur, les gestes attendus d'une PME et la part du travail qu'OKTO Solutions prend en charge. Chaque affirmation renvoie au texte de loi ou à la Commission d'accès à l'information.
Page mise à jour le 2 septembre 2026. Nous la révisons à chaque modification de la loi ou des orientations publiées par la Commission d'accès à l'information du Québec.
Ce que couvre ce guide
Qu'est-ce que la Loi 25 et à qui s'applique-t-elle ?
La Loi 25 s'applique à toute personne qui exploite une entreprise au Québec et qui détient des renseignements personnels sur autrui, sans seuil d'employés ni de chiffre d'affaires.
« Loi 25 » est un surnom. Le texte s'appelle la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Il a été déposé à l'Assemblée nationale sous le numéro de projet de loi 64, adopté le 21 septembre 2021, puis sanctionné le 22 septembre 2021 sous la référence 2021, chapitre 25. C'est ce numéro de chapitre qui a donné « Loi 25 », et c'est pour cette raison que beaucoup de gens cherchent encore « Loi 64 » : les deux noms désignent le même texte.
Cette loi ne vit pas seule. Elle modifie d'autres lois du Québec. Pour une entreprise privée, celle qui compte est la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1). Quand on parle des obligations d'une PME, ce sont les articles de cette loi qu'il faut lire, et ce sont ceux que nous citons dans cette page.
Les obligations de la Loi 25, échéance par échéance
Les trois échéances de la Loi 25 sont passées : la loi s'applique intégralement depuis le 22 septembre 2024. Une PME qui n'a rien mis en place n'est pas en avance sur un calendrier, elle est en défaut.
Ce calendrier est fixé par l'article 175 de la Loi 25 elle-même. Voici les trois vagues, avec les articles de la loi P-39.1 qui s'y rattachent.
- Vague 1
22 septembre 2022
Responsable et incidents.
- Un responsable de la protection des renseignements personnels exerce la fonction. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise; elle peut déléguer par écrit. Le titre et les coordonnées du responsable doivent être publiés sur le site Internet de l'entreprise (art. 3.1).
- Aviser la Commission d'accès à l'information avec diligence lorsqu'un incident de confidentialité présente un risque qu'un préjudice sérieux soit causé, et aviser chaque personne concernée (art. 3.5).
- Tenir un registre des incidents de confidentialité, dont une copie est transmise à la Commission sur demande (art. 3.8).
- Vague 2
22 septembre 2023
Gouvernance, consentement et transparence.
- Établir des politiques et des pratiques encadrant la gouvernance des renseignements personnels, et en publier le détail sur le site Internet, en termes simples et clairs (art. 3.2).
- Procéder à une évaluation des facteurs relatifs à la vie privée avant tout projet d'acquisition, de développement ou de refonte d'un système d'information (art. 3.3).
- Informer la personne au moment de la collecte : les fins, les moyens, ses droits d'accès et de rectification, son droit de retirer son consentement (art. 8).
- Obtenir un consentement manifeste, libre, éclairé et donné à des fins spécifiques, demandé pour chacune de ces fins (art. 14).
- Régler par défaut au plus haut niveau de confidentialité les paramètres d'un produit ou d'un service technologique offert au public (art. 9.1).
- Vague 3
22 septembre 2024
Portabilité des renseignements.
- Sur demande, communiquer à la personne concernée les renseignements personnels informatisés recueillis auprès d'elle, dans un format technologique structuré et couramment utilisé, et les transmettre à la personne ou à l'organisme qu'elle désigne (art. 27, troisième alinéa).
- Cette obligation ne vise pas les renseignements créés ou inférés par l'entreprise à partir de ceux qu'elle détient.
Depuis cette date, il n'y a plus de vague à venir. Le régime est complet.
Quatre obligations de la deuxième vague passent régulièrement sous le radar dans les PME, et ce sont pourtant celles qui laissent le plus de traces.
Sortir des renseignements du Québec. La loi ne l'interdit pas, mais elle exige une évaluation des facteurs relatifs à la vie privée avant la communication, qui tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait et du régime juridique du pays visé (art. 17).
Confier des données à un fournisseur. Le mandat ou le contrat de service doit être écrit et préciser les mesures que le fournisseur doit prendre pour protéger le caractère confidentiel des renseignements (art. 18.3). Un service infonuagique, une firme de paie et un service d'infolettre entrent tous dans cette catégorie.
Décider avec un algorithme. Si une décision est fondée exclusivement sur un traitement automatisé, la personne doit en être informée au plus tard au moment où on lui communique la décision, et pouvoir présenter ses observations (art. 12.1).
Arrêter de conserver. Quand les fins de la collecte sont accomplies, les renseignements doivent être détruits ou anonymisés, sous réserve d'un délai de conservation prévu par une loi (art. 23). Garder les dossiers pour toujours, par confort, n'est plus une option.
Ce qu'une PME doit faire concrètement
Le travail se ramène à huit gestes, dans cet ordre : désigner le responsable, savoir quelles données vous détenez, écrire vos politiques, les publier, encadrer vos fournisseurs, préparer la réaction à un incident, ouvrir le registre, puis revoir le tout une fois par année.
Rien là-dedans n'exige un service juridique interne. Ce qui bloque une PME, en pratique, c'est l'inventaire des données et la partie technique : savoir où sont les fichiers, qui y a accès, ce qui part chez un fournisseur, et comment on s'aperçoit qu'un accès non autorisé a eu lieu.
C'est aussi un travail qui se fait une fois puis s'entretient. La première passe est la plus longue; ensuite, il s'agit surtout de tenir le registre à jour et de refaire une évaluation avant chaque nouveau système.
Ce qu'OKTO fait, et ce qu'OKTO ne fait pas
OKTO Solutions prend en charge la partie technique et organisationnelle de la conformité : trouver les données, verrouiller les accès, détecter les incidents et documenter ce qui a été fait. La qualification juridique, elle, ne nous appartient pas.
À lire avant d'aller plus loin. OKTO Solutions n'est pas un cabinet d'avocats et ne rend aucun avis juridique. Nous ne déclarons pas qu'une entreprise est « conforme » au sens de la loi, et nous ne décidons pas si un incident précis doit être déclaré à la Commission : cette décision revient à votre entreprise, avec son conseiller juridique. Cette page est un guide de vulgarisation, pas un avis de droit. Pour un avis, adressez-vous à un avocat ou à un notaire du Québec.
Ce que nous faisons, en revanche, est concret et vérifiable.
Inventaire technique. Où vivent réellement les renseignements personnels : postes, serveurs, boîtes courriel, SharePoint, OneDrive, sauvegardes, applications tierces.
Contrôle des accès. Authentification multifacteur, révision des droits, retrait des comptes d'anciens employés, journalisation de ce qui est consulté.
Chiffrement. Postes portables, supports amovibles et sauvegardes, pour que la perte d'un appareil ne devienne pas une perte de renseignements.
Détection et preuve. Surveillance des postes et des comptes, et trace technique de ce qui s'est passé quand un incident survient. Sans cette trace, une déclaration à la Commission repose sur des suppositions.
Rétention et destruction. Appliquer dans les outils les durées que vos politiques annoncent, plutôt que de les laisser sur papier.
Documentation. Garder la preuve des mesures en place et de leur date, parce que c'est ce qu'on vous demandera de démontrer.
Accompagnement vCIO. Porter le sujet au plan TI annuel, arbitrer les priorités et suivre le budget avec la direction.
La partie « décider et écrire » se fait avec votre responsable de la protection des renseignements personnels et, au besoin, votre avocat. La partie « faire tenir ça dans vos systèmes » est la nôtre. Voir la cybersécurité gérée pour PME et l'accompagnement vCIO et le plan TI.
Amendes, sanctions et recours prévus par la loi
La loi prévoit trois voies distinctes : une sanction administrative imposée par la Commission, une amende pénale prononcée par un tribunal, et des dommages-intérêts punitifs réclamés par la personne lésée. Les montants ci-dessous sont ceux du texte de loi, cités tels quels.
| Voie prévue par la loi | Personne physique | Autres cas | Article |
|---|---|---|---|
| Sanction administrative | Montant maximal de 50 000 $ | Montant maximal de 10 000 000 $ ou du montant correspondant à 2 % du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé. | art. 90.12 |
| Amende pénale | De 5 000 $ à 100 000 $ | De 15 000 $ à 25 000 000 $ ou du montant correspondant à 4 % du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé. | art. 91 |
| Dommages-intérêts punitifs | Lorsqu'une atteinte illicite à un droit conféré par la loi cause un préjudice et que cette atteinte est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $. | art. 93.1 | |
Faites glisser pour voir toutes les colonnes.
Sanction administrative
Ce sont des maximums, pas des tarifs. La Commission élabore et rend public un cadre général qui précise les critères de calcul : gravité et durée du manquement, sensibilité des renseignements, nombre de personnes touchées, mesures prises pour corriger, degré de collaboration, capacité de payer (art. 90.2). Un avis de non-conformité doit précéder la sanction (art. 90.3 et 90.4).
Amende pénale
Sont visés notamment le fait de recueillir, d'utiliser, de communiquer, de conserver ou de détruire des renseignements en contravention à la loi, l'omission de déclarer un incident de confidentialité, et le défaut de prendre les mesures de sécurité exigées par l'article 10. En cas de récidive, les amendes sont portées au double (art. 92.1).
Dommages-intérêts punitifs
Ce recours appartient à la personne concernée, pas à la Commission. Et l'administrateur ou le dirigeant qui a prescrit, autorisé ou simplement consenti à l'acte fautif est partie à l'infraction et passible de la même peine (art. 93).
Deux précisions utiles avant de conclure sur les montants. L'imposition d'une sanction administrative se prescrit par deux ans à compter de la date du manquement (art. 90.10), et une poursuite pénale doit être intentée dans les cinq ans de l'infraction (art. 92.2). Une même contravention ne peut pas donner lieu à la fois à un constat d'infraction et à une sanction administrative, pour des faits survenus le même jour (art. 90.11).
La vraie question, pour une PME, n'est donc pas le montant théorique de l'amende. C'est d'être capable de démontrer, documents à l'appui, ce qui a été mis en place et à quelle date. Un registre tenu, des politiques publiées et des accès révisés valent plus qu'une intention.
Les sources officielles à consulter
Ne nous croyez pas sur parole, et ne croyez pas non plus le premier fournisseur venu. Voici les quatre sources primaires derrière tout ce qui est écrit sur cette page. Elles sont publiques et gratuites.
Le texte de loi applicable
La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), publiée sur LegisQuébec par l'Éditeur officiel du Québec. C'est le texte à jour, celui qui contient tous les articles cités dans cette page.
La Loi 25 elle-même
Le texte sanctionné de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (2021, chapitre 25), en PDF, chez Publications du Québec. Son article 175 fixe les trois dates d'entrée en vigueur, et sa page couverture rappelle qu'il s'agissait du projet de loi 64.
L'autorité de surveillance
La Commission d'accès à l'information du Québec, et sa section Entreprises et organisations privées. C'est là que se trouvent les formulaires, dont celui de déclaration d'un incident de confidentialité, et les guides destinés aux entreprises.
Le résumé officiel des changements
La fiche Principaux changements apportés par la Loi 25, publiée par la Commission d'accès à l'information. Pratique pour valider rapidement une obligation avant d'engager des travaux.
Questions fréquentes sur la Loi 25
Oui. La loi vise toute personne qui exploite une entreprise au Québec et qui détient des renseignements personnels sur autrui. Elle ne prévoit aucun seuil d'employés, aucun seuil de chiffre d'affaires et aucune exemption pour les petites entreprises.
Ce qui change avec la taille, c'est l'ampleur attendue. L'article 3.2 exige que vos politiques et pratiques soient proportionnées à la nature et à l'importance de vos activités. Une entreprise de dix personnes n'a pas besoin du même appareil documentaire qu'une institution financière, mais elle doit tout de même avoir un responsable désigné, des politiques publiées, un registre d'incidents et des mesures de sécurité raisonnables au sens de l'article 10.
Trois régimes coexistent, et ce sont les montants du texte de loi.
La sanction administrative pécuniaire, imposée par la Commission d'accès à l'information, a un maximum de 50 000 $ dans le cas d'une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2 % du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé (art. 90.12).
L'amende pénale, prononcée par un tribunal, va de 5 000 $ à 100 000 $ dans le cas d'une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou du montant correspondant à 4 % du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé (art. 91). En cas de récidive, ces amendes sont portées au double (art. 92.1).
Enfin, la personne lésée peut réclamer des dommages-intérêts punitifs d'au moins 1 000 $ lorsque l'atteinte illicite est intentionnelle ou résulte d'une faute lourde (art. 93.1).
Oui, et vous en avez déjà un même si vous n'avez rien fait. L'article 3.1 prévoit que, au sein de l'entreprise, la personne ayant la plus haute autorité veille au respect de la loi et exerce la fonction de responsable de la protection des renseignements personnels. Elle peut la déléguer par écrit, en tout ou en partie, à toute personne.
L'obligation qui suit est celle qu'on oublie : le titre et les coordonnées du responsable doivent être publiés sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre moyen approprié.
L'article 3.6 le définit en quatre cas : l'accès non autorisé par la loi à un renseignement personnel, son utilisation non autorisée, sa communication non autorisée, ou la perte du renseignement et toute autre atteinte à sa protection.
Ça couvre le rançongiciel, mais aussi le courriel envoyé au mauvais destinataire, la clé USB perdue, le dossier laissé accessible dans un partage réseau, ou l'ancien employé dont le compte n'a jamais été fermé. Beaucoup d'incidents de PME n'ont rien de spectaculaire.
Dès que vous avez des motifs de croire qu'un incident s'est produit, vous devez prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.
Si l'incident présente un risque qu'un préjudice sérieux soit causé, vous devez aviser la Commission avec diligence et aviser aussi toute personne dont un renseignement personnel est concerné (art. 3.5). Pour évaluer ce risque, la loi vous demande de considérer notamment la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables, et de consulter votre responsable de la protection des renseignements personnels (art. 3.7).
Un incident qui ne franchit pas ce seuil n'a pas à être déclaré, mais il doit quand même être inscrit au registre des incidents de confidentialité (art. 3.8).
La loi ne l'interdit pas. Elle impose une étape avant : procéder à une évaluation des facteurs relatifs à la vie privée qui tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait, y compris les mesures contractuelles, et du régime juridique applicable dans l'État où il serait communiqué. La communication peut s'effectuer si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate (art. 17).
En pratique, cela veut dire documenter le choix d'un service infonuagique et conserver cette évaluation, pas renoncer au nuage.
Aucune : c'est le même texte. Il a été déposé à l'Assemblée nationale sous le numéro de projet de loi 64, puis sanctionné le 22 septembre 2021 sous la référence 2021, chapitre 25. Le nom « Loi 25 » vient de ce numéro de chapitre.
Le nom « Loi 64 » a survécu parce que le projet a été débattu pendant plus d'un an sous ce numéro, entre son dépôt le 12 juin 2020 et son adoption le 21 septembre 2021. Si un fournisseur vous parle encore de « conformité Loi 64 », il parle de la même chose.
Oui, et il faut publier plus que ça. L'article 3.2 exige d'établir et de mettre en oeuvre des politiques et des pratiques encadrant votre gouvernance des renseignements personnels. Elles doivent notamment prévoir l'encadrement de la conservation et de la destruction, les rôles et responsabilités des membres du personnel tout au long du cycle de vie des renseignements, et un processus de traitement des plaintes.
Des informations détaillées à leur sujet doivent être publiées sur le site Internet de l'entreprise, en termes simples et clairs. À cela s'ajoutent le titre et les coordonnées du responsable de la protection des renseignements personnels (art. 3.1). Une simple politique de confidentialité générique ne couvre pas ces exigences.
Nos articles sur la Loi 25 et la protection des renseignements personnels
Nous écrivons sur la Loi 25 depuis les premières échéances. Voici les articles du blogue OKTO qui traitent du sujet, regroupés par angle.
Les guides de conformité
Sécurité, incidents et assurance
- Antivirus ou EDR pour PME : ce qui change pour la déclaration d'un incident
- Cyberassurance pour PME au Québec : comment se qualifier
- BitLocker sur Windows 11 : chiffrer le disque d'un poste professionnel
- Télétravail sécurisé pour votre PME : le guide pratique
- Départ d'un employé : la liste TI pour fermer les accès
Nuage, intelligence artificielle et données
- Migration vers Azure pour une PME du Québec : par où commencer
- Sécurité de l'IA en entreprise : ce que la Loi 25 impose avant d'adopter un outil
- Tâches planifiées et IA : les précautions de vie privée
- Une IA locale change-t-elle quelque chose pour la Loi 25 ?
- Un agent IA actif dans Microsoft 365 : ce qu'il faut encadrer
- Enregistrer une réunion Teams : ce que dit la loi au Québec
Faire le point sur vos obligations Loi 25
Si vous ne savez pas où sont vos renseignements personnels, qui y a accès ni ce qui partirait chez un fournisseur, commencez par là. OKTO Solutions fait l'inventaire technique, corrige les accès et met en place la détection, puis vous remet un dossier qui documente ce qui a été fait et quand. La partie juridique reste avec votre conseiller; le reste, on s'en occupe.
Établie à Trois-Rivières, OKTO dessert les PME de la Mauricie, de la Rive-Sud, de Montréal et de la région de Québec. Une équipe qui a accompagné plus de 100 organisations en plus de 15 ans.