Loi 25 : guide complet pour les PME du Québec (2026)

La Loi 25 a changé la façon dont toutes les entreprises du Québec doivent traiter les renseignements personnels de leurs clients, de leurs employés et de leurs fournisseurs. Elle ne vise pas seulement les grandes organisations : une PME de dix personnes qui tient une liste de clients, un fichier de paie ou un formulaire de contact sur son site web est concernée au même titre qu'une banque.

Ce guide explique la Loi 25 en langage clair, sans jargon juridique inutile : ce qu'elle exige, depuis quand, ce qu'elle prévoit comme sanctions et, surtout, comment une PME peut s'y conformer concrètement. Vous trouverez aussi une liste de vérification à suivre étape par étape et un volet sur la cybersécurité, parce qu'une bonne partie de la conformité se joue dans vos systèmes informatiques.

La Loi 25, c'est quoi exactement?

On appelle « Loi 25 » la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, issue du projet de loi 64 et sanctionnée le 22 septembre 2021. Elle a modifié plusieurs lois, dont la Loi sur la protection des renseignements personnels dans le secteur privé, qui encadre les entreprises.

Son objectif est simple : donner aux citoyens plus de contrôle sur leurs renseignements personnels et obliger les organisations à mieux les protéger, à être plus transparentes et à rendre des comptes. La Commission d'accès à l'information du Québec (CAI) est l'organisme qui veille à son application. Elle publie un résumé des principaux changements qui vaut la peine d'être lu.

Un renseignement personnel, c'est toute information qui concerne une personne physique et qui permet de l'identifier, directement ou indirectement : un nom, une adresse courriel, un numéro de téléphone, une date de naissance, un numéro d'assurance sociale, un dossier d'employé, une adresse IP associée à un compte, etc.

À qui s'applique la Loi 25?

La Loi 25 s'applique à toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels au Québec, peu importe sa taille ou son secteur. Il n'y a pas de seuil minimal d'employés ou de chiffre d'affaires.

En pratique, presque toutes les PME sont visées, car elles détiennent au minimum :

• les renseignements de leurs employés (dossiers, paie, coordonnées, avantages sociaux);
• les coordonnées de leurs clients et de leurs contacts d'affaires;
• les données recueillies par leur site web (formulaires, infolettre, outils d'analyse);
• des documents échangés par courriel, dans Microsoft 365 ou dans un logiciel de gestion.

Les échéances de la Loi 25 : 2022, 2023 et 2024

Les obligations sont entrées en vigueur en trois étapes. Depuis le 22 septembre 2024, l'ensemble de la loi s'applique.

22 septembre 2022

• Désigner un responsable de la protection des renseignements personnels.
• Déclarer à la CAI et aux personnes concernées les incidents de confidentialité qui présentent un risque de préjudice sérieux.
• Tenir un registre des incidents de confidentialité.

22 septembre 2023

• Adopter et publier des politiques de gouvernance des renseignements personnels.
• Réaliser des évaluations des facteurs relatifs à la vie privée (EFVP) dans certaines situations.
• Respecter des règles de consentement plus strictes.
• Offrir la confidentialité par défaut et informer les gens des technologies qui permettent de les identifier, de les localiser ou de les profiler.
• Informer les personnes des décisions prises exclusivement par un traitement automatisé.
• Encadrer la destruction et l'anonymisation des renseignements, et respecter le droit à la désindexation.

22 septembre 2024

• Respecter le droit à la portabilité des données : sur demande, transmettre les renseignements informatisés d'une personne dans un format technologique structuré et couramment utilisé.

Les obligations de la Loi 25 expliquées pour une PME

1. Nommer un responsable de la protection des renseignements personnels

Par défaut, le responsable est la personne qui a la plus haute autorité dans l'entreprise, souvent le président ou la directrice générale. Cette fonction peut être déléguée, en tout ou en partie, par écrit, à un membre du personnel. Le titre et les coordonnées du responsable doivent être publiés sur le site web de l'entreprise.

Dans une PME, le responsable n'a pas besoin d'être un juriste. Il doit surtout connaître les renseignements que l'entreprise détient, s'assurer que les politiques sont appliquées et coordonner la réponse en cas d'incident. Il peut s'appuyer sur un avocat et sur son fournisseur TI pour les volets techniques.

Pour le détail du rôle, de la délégation et des tâches au quotidien, consultez notre guide sur le responsable de la protection des renseignements personnels.

2. Gérer les incidents de confidentialité

Un incident de confidentialité, c'est notamment un accès, une utilisation ou une communication non autorisés d'un renseignement personnel, ou la perte de ce renseignement. Un courriel envoyé à la mauvaise personne, un portable volé non chiffré, un compte Microsoft 365 piraté ou une attaque par rançongiciel peuvent tous être des incidents.

Quand un incident survient, l'entreprise doit :

• prendre des mesures raisonnables pour réduire le risque de préjudice et éviter que l'incident se reproduise;
• évaluer si l'incident présente un risque de préjudice sérieux pour les personnes touchées, en tenant compte de la sensibilité des renseignements, des conséquences possibles et de la probabilité qu'ils soient mal utilisés;
• si le risque est sérieux, aviser la CAI et les personnes concernées;
• inscrire l'incident au registre, qu'il soit déclaré ou non.

Le registre doit pouvoir être transmis à la CAI si elle le demande. Même s'il est vide aujourd'hui, il doit exister.

3. Publier vos politiques de gouvernance

L'entreprise doit adopter des politiques qui encadrent la gouvernance des renseignements personnels : qui fait quoi, à quelles étapes du cycle de vie des renseignements (collecte, utilisation, conservation, destruction), et comment une personne peut porter plainte. Ces politiques doivent être publiées sur le site web en termes simples et clairs.

Si vous recueillez des renseignements par un moyen technologique, comme un formulaire web ou une application, vous devez aussi publier une politique de confidentialité claire qui explique ce que vous recueillez et pourquoi.

4. Faire des évaluations des facteurs relatifs à la vie privée (EFVP)

Une EFVP est une analyse des risques pour la vie privée, faite avant un projet. La Loi 25 l'exige notamment :

• pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services qui implique des renseignements personnels (un nouveau CRM, un logiciel de paie, une application sur mesure, une migration vers l'infonuagique);
• avant de communiquer des renseignements personnels à l'extérieur du Québec, par exemple quand ils sont hébergés chez un fournisseur infonuagique ailleurs au Canada ou à l'étranger.

L'EFVP doit être proportionnée à la sensibilité des renseignements, à leur quantité et à l'usage prévu. Pour une communication hors Québec, elle doit démontrer que les renseignements bénéficieront d'une protection adéquate, et la communication doit faire l'objet d'une entente écrite.

5. Obtenir un consentement valable

Le consentement doit être manifeste, libre et éclairé, et donné à des fins précises. Il doit être demandé pour chacune de ces fins, en termes simples et clairs. Pour les renseignements sensibles (santé, données financières, biométriques, etc.), le consentement doit être exprès.

Concrètement, cela veut dire revoir vos formulaires, vos contrats et vos processus d'embauche : une case précochée ou une clause cachée dans des conditions générales ne suffit plus.

6. Confidentialité par défaut et technologies de profilage

Si vous offrez au public un produit ou un service technologique qui comporte des paramètres de confidentialité, ces paramètres doivent offrir le plus haut niveau de confidentialité par défaut, sans que l'utilisateur ait à intervenir.

Si vous utilisez une technologie qui permet d'identifier, de localiser ou de profiler une personne, par exemple certains outils de suivi sur un site web, vous devez en informer la personne et lui indiquer comment activer ces fonctions.

7. Décisions automatisées

Si vous prenez une décision fondée exclusivement sur un traitement automatisé de renseignements personnels (un refus de crédit calculé par un logiciel, un tri automatique de candidatures), vous devez en informer la personne. Sur demande, vous devez lui expliquer les renseignements utilisés et les principaux facteurs de la décision, et lui permettre de présenter ses observations à un membre de votre personnel.

8. Conserver, détruire ou anonymiser

Quand la fin pour laquelle un renseignement a été recueilli est accomplie, il doit être détruit ou anonymisé. L'anonymisation doit suivre les meilleures pratiques reconnues et rendre impossible, de façon irréversible, l'identification de la personne. Garder « au cas où » des années de dossiers clients ou d'anciens employés devient un risque, pas une précaution.

9. Droits des personnes : accès, désindexation et portabilité

Les personnes peuvent demander l'accès à leurs renseignements et leur rectification. Elles peuvent aussi demander de cesser la diffusion d'un renseignement ou de désindexer un hyperlien lorsque cette diffusion leur cause un préjudice ou contrevient à la loi. Depuis 2024, elles peuvent demander que leurs renseignements informatisés leur soient transmis, ou transmis à une autre organisation, dans un format technologique structuré et couramment utilisé. Votre entreprise doit savoir où trouver ces renseignements pour pouvoir répondre.

Les sanctions prévues par la Loi 25

La Loi 25 a donné de vraies dents à la protection des renseignements personnels au Québec :

• Sanctions administratives pécuniaires imposées par la CAI : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé.
• Amendes pénales pour les entreprises : de 15 000 $ jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé.
• En cas de récidive, les amendes sont portées au double.

Loi 25 et cybersécurité : le volet TI de la conformité

La Loi 25 demande aux entreprises de prendre des mesures de sécurité raisonnables, adaptées à la sensibilité des renseignements. Or, la majorité des renseignements personnels d'une PME vivent dans ses systèmes informatiques. Votre conformité dépend donc en bonne partie de votre TI.

Où se trouvent vos renseignements personnels?

Avant de protéger, il faut savoir quoi protéger. Dans une PME typique, les renseignements personnels se trouvent dans :

• Microsoft 365 (anciennement Office 365) : boîtes courriel, OneDrive, SharePoint et Teams;
• les partages de fichiers sur un serveur ou un NAS au bureau;
• le CRM, le logiciel comptable ou de paie, et les outils de RH;
• les portables et téléphones des employés, parfois personnels;
• les sauvegardes, qui contiennent une copie de tout le reste.

Les mesures de sécurité qui comptent

• Contrôle des accès : chaque employé n'accède qu'à ce dont il a besoin, et les comptes des employés qui quittent sont fermés le jour même.
• Authentification multifacteur (MFA) sur Microsoft 365, l'accès à distance et les applications critiques. C'est la mesure qui bloque la plupart des prises de contrôle de comptes.
• Chiffrement des portables et des appareils mobiles, gérés avec un outil comme Microsoft 365 et Intune, pour qu'un appareil perdu ne devienne pas un incident à déclarer.
• Journalisation : conserver les journaux d'activité (connexions, accès aux fichiers) pour pouvoir reconstituer ce qui s'est passé lors d'un incident.
• Sauvegardes protégées et testées : des copies immuables qu'un rançongiciel ne peut pas chiffrer, et des tests de restauration réguliers.
• Détection et réponse : une surveillance 24/7 qui repère une intrusion avant que les renseignements soient exfiltrés.
• Formation : l'hameçonnage reste la porte d'entrée la plus fréquente. Des employés formés sont votre première ligne de défense.
• Conservation et destruction : des règles de rétention appliquées dans Microsoft 365 et sur les serveurs, et une destruction sécuritaire des vieux équipements.

Être prêt pour un incident

Un plan de réponse aux incidents d'une ou deux pages suffit souvent pour une PME : qui appeler, comment isoler un poste ou un compte, qui évalue le risque de préjudice sérieux, qui avise la CAI et les personnes concernées, et comment l'incident est inscrit au registre. Ce plan doit être connu avant l'incident, pas improvisé pendant.

Si vous confiez votre TI à un fournisseur, il traite des renseignements personnels pour vous. La loi permet de lui communiquer ces renseignements sans le consentement des personnes, à condition qu'un contrat écrit précise les mesures de protection. Vous restez toutefois responsable : vérifiez que ce contrat existe.

Liste de vérification Loi 25 pour les PME

Utilisez cette liste pour faire le point. Chaque élément non coché est une action à planifier.

• Nommer par écrit le responsable de la protection des renseignements personnels et publier son titre et ses coordonnées sur votre site web.
• Dresser l'inventaire des renseignements personnels que vous détenez (clients, employés, fournisseurs) et des systèmes où ils se trouvent.
• Rédiger et publier vos politiques de gouvernance des renseignements personnels, en termes simples et clairs.
• Publier une politique de confidentialité si vous recueillez des renseignements par un site web, un formulaire ou une application.
• Créer un registre des incidents de confidentialité, même s'il est vide pour l'instant.
• Écrire une procédure d'incident : qui évalue le risque de préjudice sérieux, qui avise la CAI et les personnes concernées.
• Revoir vos formulaires et vos demandes de consentement : une fin précise par demande, des termes clairs, un consentement exprès pour les renseignements sensibles.
• Régler vos produits et services technologiques au niveau de confidentialité le plus élevé par défaut.
• Vérifier les outils de suivi de votre site web et la façon dont les visiteurs sont informés et peuvent les activer.
• Réaliser une EFVP avant tout nouveau système qui traite des renseignements personnels et avant toute communication hors du Québec.
• Faire signer une entente écrite à vos fournisseurs qui traitent des renseignements pour vous (TI, paie, CRM, infonuagique).
• Fixer des durées de conservation, puis détruire ou anonymiser ce qui n'est plus nécessaire.
• Limiter les accès au strict nécessaire et activer l'authentification multifacteur partout où c'est possible.
• Chiffrer les portables et les appareils mobiles, et tester la restauration de vos sauvegardes.
• Former vos employés à la Loi 25 et à la reconnaissance de l'hameçonnage.
• Préparer la façon de répondre aux demandes d'accès, de rectification, de désindexation et de portabilité.

Par où commencer?

Si la liste vous semble longue, procédez en trois temps :

• Les bases légales : nommez le responsable, créez le registre des incidents et publiez vos politiques. Ce sont les obligations les plus visibles, celles qu'un client ou la CAI vérifiera en premier.
• Le portrait des risques : faites l'inventaire de vos renseignements et de vos systèmes, et repérez les écarts (accès trop larges, pas de MFA, sauvegardes non testées, données conservées sans raison).
• Les correctifs et le suivi : corrigez les écarts par ordre de risque, formez votre équipe, et revoyez le tout au moins une fois par année ou à chaque nouveau projet.

FAQ

La Loi 25 s'applique-t-elle aux petites entreprises?

Oui, la Loi 25 s'applique à toutes les entreprises qui détiennent des renseignements personnels au Québec, quelle que soit leur taille. Une PME de cinq employés doit, elle aussi, avoir un responsable, un registre des incidents et des politiques publiées. Les mesures doivent toutefois être proportionnées : une petite entreprise n'a pas besoin du même appareil qu'une grande banque.

Qui doit être le responsable de la protection des renseignements personnels?

Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise. Elle peut déléguer cette fonction par écrit à un membre du personnel qui connaît bien les activités et les systèmes de l'entreprise. Le titre et les coordonnées du responsable doivent figurer sur votre site web.

Que faire si un employé envoie un courriel contenant des renseignements personnels à la mauvaise personne?

Il s'agit d'un incident de confidentialité qui doit être inscrit au registre. Prenez d'abord des mesures pour limiter les dégâts, comme demander au destinataire de supprimer le message. Évaluez ensuite si l'incident présente un risque de préjudice sérieux; si c'est le cas, avisez la CAI et les personnes concernées.

Peut-on héberger nos données hors du Québec, par exemple dans Microsoft 365?

Oui, la Loi 25 n'interdit pas l'hébergement hors du Québec. Avant de communiquer des renseignements personnels à l'extérieur du Québec, vous devez toutefois réaliser une EFVP qui démontre qu'ils bénéficieront d'une protection adéquate, et encadrer la communication par une entente écrite. Vérifiez aussi la région d'hébergement de vos données et les paramètres de sécurité de votre locataire Microsoft 365.

Quelles sont les amendes prévues par la Loi 25?

Les sanctions administratives de la CAI peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les amendes pénales pour une entreprise vont de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, et doublent en cas de récidive.

Faut-il une bannière de témoins (cookies) sur notre site web?

Si votre site utilise des outils qui permettent d'identifier, de localiser ou de profiler les visiteurs, la Loi 25 exige de les en informer et de leur indiquer comment activer ces fonctions. En pratique, beaucoup d'entreprises utilisent une bannière qui laisse le visiteur accepter ou refuser les témoins non essentiels. Faites valider votre configuration selon les outils que vous utilisez.

Notre fournisseur TI est-il visé par la Loi 25?

Votre fournisseur TI traite des renseignements personnels en votre nom, mais c'est votre entreprise qui reste responsable. La loi exige un contrat écrit qui précise les mesures de protection que le fournisseur doit respecter. Un bon fournisseur TI vous aide aussi à mettre en place les mesures techniques : MFA, chiffrement, journalisation, sauvegardes et réponse aux incidents.

Ce guide présente la Loi 25 de façon générale et ne constitue pas un avis juridique. Pour une situation précise, consultez un avocat.

Obtenez un portrait de votre conformité à la Loi 25

Nexxo aide les PME du Québec à se conformer à la Loi 25 : audit de conformité et analyse des écarts, rédaction des politiques, évaluations des facteurs relatifs à la vie privée, formation des employés et suivi continu. Notre équipe s'occupe aussi du volet technique avec la cybersécurité : MFA, chiffrement, sauvegardes protégées et surveillance 24/7. Découvrez notre service de conformité des données privées, ou notre offre de conformité Loi 25 à Montréal, et demandez une évaluation gratuite. Pour aller plus loin, lisez aussi comment l'IA peut automatiser une partie de la conformité Loi 25.