Trois-Rivières, partout au Québec 450 231-3836 info@oktosolutions.ca
EN

Conformité et protection des renseignements personnels

Loi 25 pour les PME du Québec : guide de conformité en protection des renseignements personnels (l’ancienne Loi 64)

La Loi 25 encadre la façon dont une entreprise du Québec recueille, utilise, conserve et détruit les renseignements personnels. Elle ne prévoit aucun seuil : une PME de dix personnes y est soumise comme une multinationale. Cette page réunit ce que dit la loi, les échéances déjà en vigueur, les gestes attendus d’une PME et la part du travail qu’OKTO Solutions prend en charge.

Faire le point sur vos obligations Voir la cybersécurité gérée

La Loi 25 s’applique à toute entreprise du Québec qui détient des renseignements personnels, sans seuil d’employés ni de chiffre d’affaires. Depuis le 22 septembre 2024, elle s’applique au complet : responsable désigné et publié, politiques de gouvernance en ligne, registre des incidents de confidentialité, évaluation avant chaque nouveau système et droit à la portabilité.

Les bases

Qu’est-ce que la Loi 25 et à qui s’applique-t-elle ?

La Loi 25 est un surnom. Le texte s’appelle la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Déposé sous le numéro de projet de loi 64, il a été sanctionné le 22 septembre 2021 sous la référence 2021, chapitre 25, et c’est ce numéro de chapitre qui a donné son nom courant. Cette loi ne vit pas seule : elle modifie d’autres lois du Québec. Pour une entreprise privée, celle qui compte est la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1. Ce sont les articles de cette loi que vous verrez cités partout dans cette page, parce que ce sont ceux qu’un dirigeant a besoin de connaître.

  • Qui est viséToute personne qui exploite une entreprise au Québec, y compris un travailleur autonome. Une association ou une société qui exploite une entreprise a les mêmes obligations (art. 96).
  • Ce qui est protégéTout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier (art. 2). Un nom, un courriel, un dossier d’employé, un numéro de dossier client.
Six renseignements personnels dans une fiche client ordinaire. Un client ou mille, les mêmes obligations.
  • Qui n’est pas viséLes organismes publics, qui relèvent de la loi sur l’accès, et les renseignements de santé et de services sociaux détenus par un organisme visé par la loi R-22.1 (art. 3).
  • Qui surveilleLa Commission d’accès à l’information du Québec. Elle enquête, inspecte, ordonne et impose des sanctions administratives.

Le calendrier

Quelles obligations sont déjà en vigueur ?

Les trois échéances fixées par l’article 175 de la Loi 25 sont passées. La loi s’applique intégralement depuis le 22 septembre 2024. Une PME qui n’a rien mis en place n’est pas en avance sur un calendrier : elle est en défaut.

22 septembre 2022

Responsable et incidents

Un responsable de la protection des renseignements personnels exerce la fonction. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise, qui peut déléguer par écrit. Son titre et ses coordonnées sont publiés sur le site Internet (art. 3.1).

Aviser la Commission d’accès à l’information avec diligence lorsqu’un incident présente un risque de préjudice sérieux, et aviser chaque personne concernée (art. 3.5).

Tenir un registre des incidents de confidentialité, dont une copie est transmise à la Commission sur demande (art. 3.8).

22 septembre 2023

Gouvernance, consentement et transparence

Établir des politiques et des pratiques encadrant la gouvernance des renseignements personnels, et en publier le détail sur le site Internet, en termes simples et clairs (art. 3.2).

Procéder à une évaluation des facteurs relatifs à la vie privée avant tout projet d’acquisition, de développement ou de refonte d’un système d’information (art. 3.3).

Informer la personne au moment de la collecte et obtenir un consentement manifeste, libre et éclairé, demandé pour chaque fin (art. 8 et 14). Régler par défaut au plus haut niveau de confidentialité les paramètres d’un produit offert au public (art. 9.1).

22 septembre 2024

Portabilité des renseignements

Sur demande, communiquer à la personne concernée les renseignements personnels informatisés recueillis auprès d’elle, dans un format technologique structuré et couramment utilisé (art. 27, troisième alinéa).

Les transmettre à la personne ou à l’organisme qu’elle désigne. L’obligation ne vise pas les renseignements créés ou inférés par l’entreprise.

Depuis cette date, il n’y a plus de vague à venir. Le régime est complet.

Obligation par obligation

Ce que chaque obligation veut dire en pratique

La colonne de droite est celle qui règle le plus de discussions. Une partie du travail appartient à votre direction et à votre conseiller juridique. L’autre partie est technique, et c’est la nôtre.

ObligationCe que ça veut dire en pratiqueQui s’en occupe
Responsable désigné et publié (art. 3.1)La personne ayant la plus haute autorité exerce la fonction par défaut. Son titre et ses coordonnées vont sur votre site web.Votre direction décide. OKTO fournit la page et le point de contact technique.
Politiques de gouvernance publiées (art. 3.2)Conservation, destruction, rôles du personnel et traitement des plaintes, expliqués en termes simples sur votre site.Votre direction, avec votre conseiller juridique. OKTO applique ensuite les durées dans les outils.
Registre des incidents de confidentialité (art. 3.8)Un registre de tous les incidents, y compris ceux qui ne sont pas déclarés. Copie transmise à la Commission sur demande.Votre responsable tient le registre. OKTO fournit la trace technique de chaque incident.
Avis à la Commission et aux personnes (art. 3.5)Aviser avec diligence quand l’incident présente un risque de préjudice sérieux.La décision revient à votre entreprise. OKTO établit l’étendue, la date et ce qui a été touché.
Évaluation des facteurs relatifs à la vie privée (art. 3.3 et 17)Avant tout projet d’acquisition, de développement ou de refonte d’un système, et avant de sortir des renseignements du Québec.Travail conjoint. OKTO documente la partie technique et les mesures de protection en place.
Contrat écrit avec vos fournisseurs (art. 18.3)Le mandat doit préciser les mesures que le fournisseur prend pour protéger la confidentialité. Infonuagique, paie, infolettre.Votre direction signe. OKTO dresse la liste des fournisseurs qui touchent à vos données.
Mesures de sécurité raisonnables (art. 10)Authentification multifacteur, chiffrement, contrôle des accès, journalisation, sauvegardes vérifiées.OKTO, presque en entier.
Destruction ou anonymisation (art. 23)Quand les fins de la collecte sont accomplies, on ne garde plus, sauf délai prévu par une loi.Vous fixez les durées. OKTO les applique dans les systèmes plutôt que de les laisser sur papier.
Portabilité des renseignements (art. 27)Sur demande, remettre les renseignements informatisés dans un format structuré et couramment utilisé.OKTO fait l’extraction. Votre responsable répond à la personne.
Décision automatisée (art. 12.1)Informer la personne au plus tard au moment de la décision et lui permettre de présenter ses observations.Votre direction. OKTO repère où un traitement automatisé décide quelque chose dans vos systèmes.

Le responsable désigné

À quoi sert le responsable de la protection des renseignements personnels ?

C’est la personne qui répond quand quelqu’un demande où sont ses données, qui tranche si un incident doit être déclaré, et qui tient le registre. Par défaut, c’est le dirigeant qui a la plus haute autorité. Beaucoup de PME apprennent en cours de route qu’elles ont déjà un responsable, et que c’est le président. La fonction peut être déléguée par écrit, en tout ou en partie, à une autre personne : une directrice des ressources humaines, un contrôleur, parfois un conseiller externe. Ce qui ne se délègue pas, c’est l’existence du rôle. Et l’obligation qui suit se rate presque toujours : le titre et les coordonnées de cette personne doivent être publiés sur votre site web, ou rendus accessibles autrement si vous n’en avez pas.

Le rôle existe déjà chez vous. Ce qui manque presque toujours, c’est le nom publié sur votre site.
Une page, dix minutes. Publier le nom, le titre et l’adresse courriel du responsable à côté de votre politique de confidentialité est le geste le plus rapide de toute la démarche. C’est aussi le premier que quelqu’un vérifie quand il veut savoir si vous avez commencé.

Le registre

Qu’est-ce qu’on inscrit dans le registre des incidents de confidentialité ?

Tout incident, pas seulement ceux que vous déclarez. L’article 3.6 définit l’incident en quatre cas : l’accès non autorisé à un renseignement personnel, son utilisation non autorisée, sa communication non autorisée, ou sa perte et toute autre atteinte à sa protection. Beaucoup d’incidents de PME n’ont rien de spectaculaire.

Le courriel parti au mauvais destinataire

La liste de paie envoyée au mauvais Martin. C’est un incident, et il va au registre.

La clé USB perdue

Un support non chiffré qui contient des dossiers d’employés change tout à l’évaluation du risque.

Le compte d’un ancien employé

Toujours actif six mois après le départ, avec accès aux partages. Personne ne l’avait regardé.

Le partage réseau ouvert

Un dossier RH accessible à toute l’organisation depuis des années. L’accès non autorisé compte.

Employée découvrant une alerte de compte courriel compromis à son bureau

Ce que le registre demande, et pourquoi c’est technique

Un registre utile décrit la date de l’incident, la date où vous l’avez su, la nature des renseignements touchés, le nombre de personnes concernées, la cause, les mesures prises pour réduire le risque et la décision de déclarer ou non. Chacune de ces lignes suppose que quelqu’un est capable de reconstituer ce qui s’est passé dans vos systèmes. Sans journalisation centralisée, une PME remplit le registre avec des suppositions, et une déclaration à la Commission qui repose sur des suppositions est un problème en soi.

C’est exactement la partie qu’on prend en charge. La surveillance des postes et des comptes produit la trace, et la trace produit le registre. Le reste de la démarche technique est décrit sur notre page de cybersécurité gérée pour PME.

Avant chaque nouveau système

L’évaluation des facteurs relatifs à la vie privée, en clair

Le nom fait peur, la chose est simple. Avant d’acheter, de développer ou de refondre un système d’information qui touche des renseignements personnels, vous devez évaluer ce que ce projet change pour la vie privée des gens (art. 3.3). La loi ne précise pas la forme, mais une évaluation écrite est la seule qui se démontre. Une deuxième situation la déclenche : sortir des renseignements du Québec. La loi ne l’interdit pas, elle exige une évaluation qui tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait, y compris contractuelles, et du régime juridique du pays visé (art. 17). La communication peut se faire si l’évaluation démontre une protection adéquate.

En pratique, ça veut dire documenter le choix d’un service infonuagique et conserver l’évaluation, pas renoncer au nuage. On produit la partie technique du dossier : où vivent les données, qui y accède, comment elles voyagent, ce que le fournisseur s’engage à faire. Voyez aussi notre accompagnement infonuagique et Azure.

Le choix d’un service infonuagique se documente avant la migration, et mieux vaut conserver l’évaluation par écrit.

Le plan

Six étapes pour se mettre en conformité

Rien là-dedans n’exige un service juridique interne. Ce qui bloque une PME, en pratique, c’est l’inventaire des données et la partie technique. La première passe est la plus longue, ensuite c’est de l’entretien.

  1. Désigner et publier le responsableNommez la personne, écrivez la délégation si vous en faites une, puis publiez son titre et ses coordonnées sur votre site. Compter une heure.
  2. Faire l’inventaire des renseignements personnelsQuelles données vous détenez, où elles se trouvent vraiment, qui y accède et combien de temps vous les gardez. Postes, serveurs, boîtes courriel, SharePoint, OneDrive, sauvegardes, applications tierces. C’est l’étape la plus longue et celle qui révèle le plus de surprises.
  3. Écrire et publier vos politiques de gouvernanceConservation, destruction, rôles du personnel dans le cycle de vie des renseignements, traitement des plaintes. Puis publier le détail en termes simples et clairs, à côté de votre politique de confidentialité.
  4. Encadrer vos fournisseurs et revoir vos consentementsUn contrat écrit avec chaque fournisseur qui touche vos données, précisant les mesures de protection exigées. En parallèle, revoyez formulaires et infolettres pour que le consentement soit demandé séparément, pour chaque fin, en langage clair.
  5. Ouvrir le registre et écrire la procédure d’incidentQui décide, qui avise la Commission, qui avise les personnes touchées, à partir de quels critères et dans quel délai. Le registre s’ouvre le jour où la procédure est écrite, pas le jour du premier incident.
  6. Verrouiller la technique, puis réviser chaque annéeAuthentification multifacteur, révision des droits, retrait des comptes inactifs, chiffrement des portables, journalisation, sauvegardes testées. Ensuite, une révision annuelle et une évaluation avant chaque nouveau système suffisent à tenir le tout à jour.

Ce que prévoit la loi

Quelles sanctions sont prévues si on ne fait rien ?

La loi prévoit trois voies distinctes : une sanction administrative imposée par la Commission, une amende pénale prononcée par un tribunal, et des dommages-intérêts punitifs réclamés par la personne lésée. Les montants ci-dessous sont ceux du texte de loi, cités tels quels.

Voie prévue par la loiPersonne physiqueAutres casArticle
Sanction administrativeMaximum de 50 000 $Maximum de 10 000 000 $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevéart. 90.12
Amende pénaleDe 5 000 $ à 100 000 $De 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevéart. 91
Dommages-intérêts punitifsAu moins 1 000 $ lorsque l’atteinte illicite est intentionnelle ou résulte d’une faute lourde et cause un préjudiceart. 93.1

Ce sont des maximums

La Commission rend public un cadre qui précise les critères de calcul : gravité et durée du manquement, sensibilité des renseignements, nombre de personnes touchées, mesures correctives, degré de collaboration, capacité de payer (art. 90.2). Un avis de non-conformité doit précéder la sanction.

La récidive coûte le double

Sont visés notamment le fait de recueillir, d’utiliser, de communiquer, de conserver ou de détruire des renseignements en contravention à la loi, l’omission de déclarer un incident et le défaut de prendre les mesures de sécurité exigées par l’article 10. En cas de récidive, les amendes sont portées au double (art. 92.1).

Les dirigeants sont visés

Le recours en dommages-intérêts punitifs appartient à la personne concernée, pas à la Commission. Et l’administrateur ou le dirigeant qui a prescrit, autorisé ou simplement consenti à l’acte fautif est partie à l’infraction et passible de la même peine (art. 93).

La vraie question, pour une PME, n’est pas le montant théorique de l’amende. C’est d’être capable de démontrer, documents à l’appui, ce qui a été mis en place et à quelle date. Un registre tenu, des politiques publiées et des accès révisés valent plus qu’une bonne intention.

Notre part du travail

Ce qu’OKTO fait, et ce qu’OKTO ne fait pas

On prend en charge la partie technique et organisationnelle : trouver les données, verrouiller les accès, détecter les incidents et documenter ce qui a été fait. La qualification juridique ne nous appartient pas.

À lire avant d’aller plus loin. Ce contenu est informatif et ne remplace pas un avis juridique. OKTO Solutions n’est pas un cabinet d’avocats. Nous ne déclarons pas qu’une entreprise est conforme au sens de la loi et nous ne décidons pas si un incident précis doit être déclaré à la Commission : cette décision revient à votre entreprise, avec son conseiller juridique. Pour un avis, adressez-vous à un avocat ou à un notaire du Québec.
  • Inventaire techniqueOù vivent les renseignements personnels : postes, serveurs, boîtes courriel, SharePoint, OneDrive, sauvegardes, applications tierces.
  • Contrôle des accèsAuthentification multifacteur, révision des droits, retrait des comptes d’anciens employés, journalisation de ce qui est consulté.
  • ChiffrementPostes portables, supports amovibles et sauvegardes, pour que la perte d’un appareil ne devienne pas une perte de renseignements.
Liste de contrôle des travaux de conformité présentée sur un tableau blanc
  • Détection et preuveSurveillance des postes et des comptes, et trace technique de ce qui s’est passé quand un incident survient.
  • Rétention et destructionAppliquer dans les outils les durées que vos politiques annoncent.
  • Documentation datéeLa preuve des mesures en place et de leur date, parce que c’est ce qu’on vous demandera de démontrer.
  • Accompagnement vCIOPorter le sujet au plan TI annuel, arbitrer les priorités et suivre le budget avec la direction.

La partie « décider et écrire » se fait avec votre responsable et, au besoin, votre avocat. La partie « faire tenir ça dans vos systèmes » est la nôtre.

Antonio Pazzi, fondateur d’OKTO Solutions
Vérifiez par vous-même. Les sources primaires sont publiques et gratuites : la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, publiée sur LegisQuébec, le texte sanctionné de la Loi 25 chez Publications du Québec, et le site de la Commission d’accès à l’information du Québec, qui héberge le formulaire de déclaration d’un incident de confidentialité.

Le premier geste concret de la démarche est presque toujours un audit technique : il établit où sont les renseignements personnels et qui y accède. Il se combine bien avec nos services TI gérés, avec le durcissement de Microsoft 365 et avec la sauvegarde et la reprise après sinistre, puisque la conservation et la destruction touchent aussi vos copies. Nous accompagnons des PME de la Mauricie, de la Rive-Sud de Montréal et de la région de Québec.

Foire aux questions

Questions fréquentes sur la Loi 25

La Loi 25 s’applique-t-elle à une PME de 10 employés ?
Oui. La loi vise toute personne qui exploite une entreprise au Québec et qui détient des renseignements personnels sur autrui. Aucun seuil d’employés, aucun seuil de chiffre d’affaires, aucune exemption pour les petites entreprises. Ce qui change avec la taille, c’est l’ampleur attendue : l’article 3.2 exige que vos politiques soient proportionnées à la nature et à l’importance de vos activités.
C’est quoi la différence entre la Loi 25 et la Loi 64 ?
Aucune, c’est le même texte. Le projet a été déposé à l’Assemblée nationale sous le numéro 64, puis sanctionné le 22 septembre 2021 sous la référence 2021, chapitre 25. Le nom « Loi 25 » vient de ce numéro de chapitre. Si un fournisseur vous parle encore de conformité Loi 64, il parle exactement de la même chose.
Faut-il nommer un responsable de la protection des renseignements personnels ?
Vous en avez déjà un, même si vous n’avez rien fait. L’article 3.1 prévoit que la personne ayant la plus haute autorité dans l’entreprise exerce la fonction par défaut. Elle peut la déléguer par écrit, en tout ou en partie. L’obligation qu’on oublie ensuite est de publier le titre et les coordonnées de cette personne sur le site Internet de l’entreprise.
Qu’est-ce qui compte comme incident de confidentialité ?
L’article 3.6 en donne quatre cas : l’accès non autorisé à un renseignement personnel, son utilisation non autorisée, sa communication non autorisée, ou sa perte et toute autre atteinte à sa protection. Ça couvre le rançongiciel, mais aussi le courriel envoyé au mauvais destinataire, la clé USB perdue, le partage réseau laissé ouvert et l’ancien employé dont le compte n’a jamais été fermé.
Quand faut-il déclarer un incident à la Commission d’accès à l’information ?
Quand l’incident présente un risque qu’un préjudice sérieux soit causé, vous devez aviser la Commission avec diligence et aviser aussi chaque personne concernée (art. 3.5). Pour évaluer ce risque, la loi demande de considérer la sensibilité du renseignement, les conséquences appréhendées et la probabilité d’une utilisation préjudiciable, en consultant votre responsable (art. 3.7). Un incident sous ce seuil n’est pas déclaré, mais il doit quand même être inscrit au registre.
Peut-on héberger nos données à l’extérieur du Québec ?
La loi ne l’interdit pas. Elle impose une étape avant : une évaluation des facteurs relatifs à la vie privée qui tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait, y compris les mesures contractuelles, et du régime juridique du pays visé (art. 17). En pratique, ça veut dire documenter le choix de votre service infonuagique et conserver cette évaluation.
Quelles sont les amendes prévues par la Loi 25 ?
Trois régimes coexistent. La sanction administrative imposée par la Commission a un maximum de 50 000 $ pour une personne physique et, dans les autres cas, de 10 000 000 $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevé (art. 90.12). L’amende pénale va de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial (art. 91). La personne lésée peut aussi réclamer des dommages-intérêts punitifs d’au moins 1 000 $ (art. 93.1).
Est-ce qu’une politique de confidentialité sur notre site suffit ?
Non. L’article 3.2 exige d’établir des politiques et des pratiques encadrant la gouvernance des renseignements personnels, qui prévoient notamment l’encadrement de la conservation et de la destruction, les rôles du personnel tout au long du cycle de vie des renseignements et un processus de traitement des plaintes. Des informations détaillées à leur sujet doivent être publiées en termes simples et clairs, avec le titre et les coordonnées du responsable. Une politique générique ne couvre pas ça.

Faire le point sur vos obligations Loi 25

Si vous ne savez pas où sont vos renseignements personnels, qui y a accès ni ce qui part chez un fournisseur, commencez par là. On fait l’inventaire technique, on corrige les accès, on met la détection en place, puis on vous remet un dossier qui documente ce qui a été fait et quand.

Demander un point sur la Loi 25 Voir la cybersécurité gérée