La Loi 25 n’est pas un projet de conformité réservé aux grandes organisations. Une entreprise de quatre employés à Trois-Rivières est visée exactement de la même façon qu’une entreprise de quatre cents. Les obligations sont entrées en vigueur par étapes, le 22 septembre 2022, le 22 septembre 2023 et le 22 septembre 2024. Toutes sont en vigueur aujourd’hui.
Ce guide résume ce qu’une PME québécoise doit régler, dans quel ordre, et où passe la ligne entre le travail documentaire et le travail technique. Il s’adresse au dirigeant qui veut savoir par quoi commencer, pas au juriste qui cherche une analyse article par article.
Réponse rapide : La Loi 25 modifie la Loi sur la protection des renseignements personnels dans le secteur privé et vise toute entreprise québécoise, sans seuil de taille. Huit dossiers sont à régler : portée des données, consentement, droits des personnes, responsable désigné, incidents, transferts hors Québec, sanctions et documentation. Une PME qui n’a rien fait n’est plus en retard sur un calendrier, elle est en défaut.
1. De quoi on parle exactement
« Loi 25 » est le surnom d’une loi adoptée en 2021, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Elle a porté le nom de « projet de loi 64 » pendant son cheminement à l’Assemblée nationale.
Cette loi n’existe pas comme un corps de règles autonome. Elle a modifié d’autres lois. Pour une entreprise privée, celle qui compte est la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ chapitre P-39.1. C’est dans ce texte que se trouvent les articles cités dans les pages qui suivent. Chercher un document intitulé « Loi 25 » pour y lire vos obligations mène à une impasse.
2. Qui est visé, et pourquoi il n’y a pas d’exemption
L’article 1 vise « toute personne qui exploite une entreprise ». Le mot entreprise renvoie à la notion de l’article 1525 du Code civil du Québec, soit l’exercice organisé d’une activité économique. Trois conséquences pratiques en découlent.
- Aucun seuil de taille. Le nombre d’employés, le chiffre d’affaires et le secteur ne changent rien à l’application de la loi.
- Aucune exemption pour les données d’employés. Les dossiers du personnel, les candidatures reçues, les listes de paie et les dossiers d’assurance collective contiennent des renseignements personnels.
- Aucune exemption parce que les données sont chez un fournisseur. Si votre infogérance, votre firme de paie ou votre hébergeur détient les renseignements pour votre compte, la responsabilité reste la vôtre.
Ce troisième point surprend souvent. Confier un traitement ne transfère pas l’obligation. Il ajoute une couche à documenter.
3. Les huit dossiers à régler
Le travail se découpe en huit blocs. Chacun a ses propres pièges, et chacun fait l’objet d’un article distinct dans ce guide.
- Portée et définitions. Ce qui est un renseignement personnel, ce qui est sensible, ce qui ne l’est pas, et l’obligation de détruire ou d’anonymiser.
- Consentement. Les cinq conditions de l’article 14, les mentions obligatoires au moment de la collecte, les mineurs, la géolocalisation et le profilage.
- Droits des personnes. Accès, rectification, portabilité, cessation de diffusion, désindexation, décisions automatisées, et le délai de 30 jours.
- Responsable de la protection des renseignements personnels. Qui l’est par défaut, comment déléguer par écrit, et ce qu’il faut publier.
- Incident de confidentialité. Ce qui compte comme incident, le registre, l’évaluation du préjudice sérieux et l’avis à la Commission.
- Transferts hors Québec. L’évaluation des facteurs relatifs à la vie privée et l’entente écrite exigées par l’article 17.
- Sanctions. Les trois régimes, les montants prévus au texte et qui les impose.
- Gabarits. Les documents à remplir pour que le reste tienne.
4. Le minimum vital, dans l’ordre
Si vous partez de zéro, faites-les dans cet ordre. Les quatre premiers éléments sont ceux qu’un client, un assureur ou la Commission d’accès à l’information demande en premier.
- Nommer le responsable et publier son titre et ses coordonnées.
- Rédiger et publier la politique de gouvernance et la politique de confidentialité.
- Ouvrir le registre des incidents de confidentialité, même vide.
- Écrire la procédure de traitement des demandes d’accès, avec le délai de 30 jours.
- Faire l’inventaire des renseignements personnels détenus et des fournisseurs qui y touchent.
- Faire l’évaluation des facteurs relatifs à la vie privée pour les transferts hors Québec.
- Fixer les durées de conservation et le mécanisme de destruction.
- Reprendre les formulaires de collecte pour y mettre les mentions obligatoires.
Les quatre premiers points se règlent en quelques semaines dans une PME. Les quatre derniers demandent de l’inventaire technique, donc du temps de votre fournisseur informatique ou de votre équipe interne.
5. Ce que la Loi 25 n’est pas
Trois malentendus reviennent constamment, et chacun coûte de l’argent.
Ce n’est pas une norme de cybersécurité. La loi exige des mesures de sécurité raisonnables à l’article 10, sans dire lesquelles. Un pare-feu ne vous rend pas conforme. Une politique bien écrite ne vous protège pas d’une fuite.
Ce n’est pas une certification. Personne ne délivre d’attestation officielle de conformité à la Loi 25. Un fournisseur qui vend une « certification Loi 25 » vend son propre sceau.
Ce n’est pas le RGPD européen. Les deux régimes se ressemblent sur le consentement et sur les droits des personnes. Ils diffèrent sur les transferts, sur les délais et sur les montants. Une politique de confidentialité traduite d’un modèle européen contient presque toujours des références qui n’ont aucun sens ici, à commencer par la fameuse règle des 72 heures, qui n’apparaît pas dans le texte québécois.
6. Le terrain documentaire et le terrain technique
La conformité se joue sur deux terrains. Le terrain documentaire est juridique et administratif : politiques, procédures, registres, ententes. Il relève de votre responsable désigné et de votre conseiller juridique.
Le terrain technique est celui d’un fournisseur de services TI gérés. Il comprend la gestion des accès, la journalisation, le chiffrement, la protection des postes, la sauvegarde vérifiée et les copies immuables hors site, la détection et la réponse aux incidents, l’hébergement des données et la documentation de tout cela. C’est aussi lui qui produit l’inventaire qui alimente vos documents : où sont les données, qui y accède, chez quel fournisseur, dans quel pays. Nos services informatiques gérés couvrent ce volet pour des PME de la Mauricie et d’ailleurs au Québec.
La ligne est simple à retenir. Personne ne peut écrire votre politique de gouvernance à votre place, et personne ne peut prouver vos accès à votre place non plus.
Foire aux questions
La Loi 25 s’applique-t-elle à une entreprise de moins de 10 employés ?
Oui. La loi ne prévoit aucun seuil de taille. Toute personne qui exploite une entreprise au sens de l’article 1525 du Code civil est visée, y compris un travailleur autonome constitué en société. Les obligations sont proportionnées aux activités, pas la question de savoir si la loi s’applique.
Faut-il un avocat pour se conformer à la Loi 25 ?
Pas pour tout, mais pour la relecture des politiques et pour les cas limites, oui. Une PME peut monter son inventaire, son registre d’incidents et sa procédure d’accès à l’interne, puis faire valider le tout. Le volet technique, lui, se délègue à un fournisseur TI.
Existe-t-il une certification officielle de conformité à la Loi 25 ?
Non. Aucun organisme public ne délivre d’attestation de conformité. Ce qui existe, ce sont des preuves : politiques publiées, registre tenu, évaluations documentées, journaux conservés. C’est ce qu’un client ou un assureur demande de voir.
Par où commencer dans une PME du Québec
Le point de départ le plus rentable est l’inventaire : quelles données personnelles vous détenez, dans quels systèmes, chez quels fournisseurs et dans quels pays. Tout le reste en découle, du registre des incidents à l’évaluation des transferts. Notre équipe de Trois-Rivières produit cet inventaire et met en place les mesures techniques associées dans le cadre de nos services gérés en cybersécurité et en infonuagique. Pour en discuter et faire le point sur votre situation, écrivez-nous par le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.