La plupart des PME québécoises bloquent au même endroit : elles savent quoi faire, mais pas à quoi doit ressembler le document. Résultat, le dossier reste ouvert pendant des mois faute d’une première version à corriger.
Cette page donne la structure des documents exigés par la Loi 25, section par section. Ce sont des points de départ à adapter à votre réalité, puis à faire relire par un conseiller juridique avant utilisation.
Réponse rapide : Six documents couvrent l’essentiel : la politique de gouvernance, la politique de confidentialité publiée, le registre des incidents, l’avis à la Commission et aux personnes concernées, la grille d’évaluation des facteurs relatifs à la vie privée, et le registre des fournisseurs et des transferts hors Québec. Un chiffrier et deux documents de quelques pages suffisent dans une PME.
1. La politique de gouvernance
Version interne, approuvée par le responsable, exigée par l’article 3.2. Sa structure :
- Objet et portée : quels renseignements, quels supports, quelles personnes visées (clients, employés, candidats, fournisseurs, visiteurs).
- Responsable : titre, coordonnées, référence de l’écrit de délégation et sa date.
- Inventaire des renseignements détenus, en annexe : par catégorie, nature, finalité, base de collecte, emplacement, systèmes concernés, personnes ayant accès, durée de conservation, mode de destruction.
- Cycle de vie et rôles : collecte, utilisation, communication, conservation, destruction ou anonymisation, avec la façon dont on couvre les sauvegardes et les copies.
- Mesures de sécurité : renvoi à la politique de sécurité de l’information, avec un socle minimal (authentification multifacteur, gestion des accès par rôle, révision périodique des accès, chiffrement au repos et en transit, journalisation, protection des postes, sauvegarde vérifiée et copies immuables hors site).
- Fournisseurs et transferts hors Québec : renvoi au registre, et règle voulant qu’aucun nouveau fournisseur touchant à des renseignements personnels ne soit retenu sans évaluation préalable.
- Évaluation des facteurs relatifs à la vie privée : déclencheurs et grille.
- Incidents, plaintes, demandes d’accès, formation, révision annuelle.
Une version publique, plus courte et rédigée en termes simples et clairs, est publiée sur le site. Elle reprend l’objet, le responsable, le cycle de vie, les fournisseurs, les incidents, les plaintes et les demandes d’accès, sans les détails techniques exploitables.
2. La politique de confidentialité du site
Exigée par l’article 8.2, à publier et à dater. Les sections attendues :
- qui nous sommes, et coordonnées du responsable de la protection des renseignements personnels ;
- quels renseignements sont recueillis et pourquoi, sous forme de tableau à trois colonnes (renseignement, finalité, durée de conservation), une ligne par finalité ;
- comment ils sont recueillis (formulaire, appel, courriel, témoins de connexion) ;
- le consentement et son retrait, avec l’adresse pour l’exercer ;
- à qui les renseignements sont communiqués, par catégories de tiers et finalité ;
- la communication à l’extérieur du Québec, le cas échéant ;
- les droits : accès, rectification, retrait du consentement, portabilité, cessation de diffusion ou désindexation, avec le délai de réponse de 30 jours ;
- les décisions automatisées, si applicable ;
- les témoins de connexion, la sécurité en termes généraux, la plainte auprès de la Commission d’accès à l’information, et l’avis de modification.
3. Le registre des incidents de confidentialité
Exigé par l’article 3.8. Un chiffrier suffit, une ligne par incident, y compris ceux qui n’ont pas donné lieu à notification. Les colonnes utiles :
- numéro séquentiel ; date ou période de survenance ; date de prise de connaissance ;
- description des circonstances, brève et factuelle ;
- renseignements visés, nature et catégories, ou le motif s’ils sont inconnus ;
- nombre de personnes concernées, ou estimation motivée ;
- cause : erreur humaine, malveillance externe, malveillance interne, défaillance technique, perte de matériel ;
- évaluation du risque de préjudice sérieux selon les trois facteurs de l’article 3.7, et conclusion motivée ;
- responsable consulté, avec la date ;
- avis à la Commission et aux personnes concernées : oui ou non, date, mode de transmission ;
- communications à des tiers pour diminuer le risque ;
- mesures prises pour diminuer le risque et pour éviter la récurrence, avec échéance et responsable ; date de fermeture.
La teneur exacte du registre et sa durée de conservation sont fixées par le Règlement sur les incidents de confidentialité. Vérifiez la version à jour du texte réglementaire avant d’arrêter votre gabarit.
4. Les deux avis après un incident
L’avis à la Commission d’accès à l’information se transmet par le formulaire prévu par la Commission. Préparez d’avance : identification de l’entreprise et du responsable, description factuelle de l’incident, dates de survenance et de prise de connaissance, mode de découverte, catégories de renseignements visés et nombre de personnes, cause, motifs de la conclusion sur le préjudice sérieux, mesures prises, état de l’avis aux personnes concernées, et le nom du fournisseur qui détenait les renseignements le cas échéant.
L’avis aux personnes concernées s’écrit pour être compris. Pas de jargon, pas de tournures défensives. Sa structure : ce qui s’est passé en deux à quatre phrases factuelles, quels renseignements sont touchés, ce que vous avez fait, ce que vous recommandez à la personne de faire, comment vous joindre, et le rappel du recours devant la Commission. L’avis est signé par la personne ayant la plus haute autorité ou par le responsable.
5. La grille d’évaluation des facteurs relatifs à la vie privée
Articles 3.3 et 17. L’évaluation doit être proportionnée, donc une page suffit pour un projet courant. Les rubriques :
- description du projet et finalité d’affaires ;
- renseignements visés : catégories, volume, présence de renseignements sensibles ;
- nécessité de chaque catégorie, les autres étant retirées ;
- cycle de vie : collecte, utilisation, communication, conservation, destruction ;
- personnes ayant accès et mécanisme de contrôle des accès ;
- emplacement des données, et hébergement hors Québec le cas échéant ;
- mesures de sécurité prévues ;
- portabilité : le projet permet-il de remettre à la personne, dans un format structuré et couramment utilisé, les renseignements recueillis auprès d’elle ;
- volet article 17 : sensibilité, finalité, mesures contractuelles, régime juridique de l’État de destination, conclusion, référence de l’entente écrite ;
- risques résiduels, décision, conditions et date de révision.
Le registre des fournisseurs complète la grille : une ligne par service, pas par fournisseur, avec l’emplacement des données au repos et en sauvegarde, les sous-traitants, le mécanisme de suppression en fin de contrat et la prochaine révision. Le remplir suppose un inventaire technique à jour, que nous produisons dans le cadre de nos services informatiques gérés.
Foire aux questions
Quels documents une PME doit-elle produire pour la Loi 25 ?
Au minimum une politique de gouvernance approuvée par le responsable, une politique de confidentialité publiée, un registre des incidents, une procédure de traitement des demandes d’accès, une grille d’évaluation des facteurs relatifs à la vie privée et un registre des fournisseurs.
Un chiffrier suffit-il comme registre des incidents ?
Oui, à condition qu’il contienne les mentions exigées et qu’il soit tenu à jour et conservé. Le format importe moins que la présence des champs et la capacité d’en transmettre une copie à la Commission sur demande.
Peut-on publier sa politique de gouvernance interne telle quelle ?
Ce n’est pas nécessaire. Le texte exige de publier des informations détaillées au sujet des politiques et pratiques, en termes simples et clairs. Une version publique plus courte, sans les détails techniques exploitables, répond à l’obligation.
Remplir les gabarits avec les bonnes données, au Québec
Un gabarit se remplit vite quand l’inventaire existe, et jamais quand il manque. La partie technique de ces documents, soit l’emplacement des données, les accès, les durées, les sauvegardes et les fournisseurs, est celle que couvrent nos services informatiques gérés pour les PME de Trois-Rivières et de la Mauricie. Pour obtenir cet inventaire et avancer vos documents, passez par le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.