La Loi 25 n’est plus une échéance à venir : ses obligations sont en vigueur, et elles visent toute entreprise qui recueille des renseignements personnels au Québec. Une liste de clients, des dossiers d’employés, des candidatures reçues par courriel : il n’en faut pas plus pour être concerné.
Pour bien des PME, la question n’est donc pas de savoir si la loi s’applique, mais par où commencer. Voici ce qui doit réellement être en place.
La Loi 25 s’applique-t-elle à votre entreprise?
Oui, dès que votre entreprise recueille, détient, utilise ou communique des renseignements personnels au Québec. La loi ne prévoit aucun seuil de taille : la PME de trois employés y est soumise au même titre que la grande société.
Les renseignements visés ne se limitent pas aux données de vos clients. Les dossiers de vos employés, les curriculum vitae des candidats et les coordonnées recueillies par votre site web ou votre infolettre sont tous des renseignements personnels au sens de la loi.
Quelles obligations sont déjà en vigueur?
L’essentiel du régime s’applique dès maintenant. Concrètement, votre entreprise doit aujourd’hui :
- désigner un responsable de la protection des renseignements personnels : par défaut, c’est le plus haut dirigeant, qui peut déléguer la fonction par écrit; le titre et les coordonnées du responsable doivent être publiés, notamment sur votre site web;
- tenir un registre des incidents de confidentialité et, lorsqu’un incident présente un risque de préjudice sérieux, aviser la Commission d’accès à l’information et les personnes concernées;
- publier une politique de confidentialité claire, rédigée en termes simples;
- encadrer la collecte par un consentement valable : sur votre site web, les témoins non essentiels doivent être désactivés par défaut, d’où le bandeau de consentement;
- réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant certains projets et avant de communiquer des renseignements hors du Québec;
- respecter le droit à la portabilité des données, en vigueur depuis 2024;
- ne recueillir que le nécessaire, puis détruire ou anonymiser les renseignements une fois leur finalité accomplie.
Que risque votre entreprise en cas de manquement?
Des sanctions parmi les plus sévères au pays. La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé.
Les infractions pénales, elles, exposent l’entreprise à des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. La loi crée aussi un droit privé d’action : une personne lésée peut réclamer des dommages-intérêts, punitifs lorsque l’atteinte est intentionnelle ou résulte d’une faute lourde.
Au-delà des chiffres, le processus lui-même coûte cher : enquête, demandes de documents, mesures correctrices, le tout pendant que la direction est mobilisée ailleurs qu’à faire croître l’entreprise.
À retenir
Le responsable désigné
Par défaut, c’est le plus haut dirigeant de l’entreprise. La fonction peut être déléguée par écrit à un membre de l’équipe ou à un prestataire externe.
Son titre et ses coordonnées doivent être publiés, notamment sur votre site web. Une adresse courriel dédiée simplifie le suivi des demandes.
Le registre des incidents
Tout incident de confidentialité doit y être consigné, même mineur : accès non autorisé, perte, envoi au mauvais destinataire.
Si l’incident présente un risque de préjudice sérieux, l’avis à la Commission d’accès à l’information et aux personnes concernées est obligatoire.
Les témoins et le consentement
Les témoins non essentiels de votre site web doivent rester désactivés tant que le visiteur n’a pas consenti.
Un bandeau qui active les témoins par défaut, ou qui ne permet pas de les refuser réellement, ne respecte pas la loi.
Pourquoi la conformité est-elle aussi un avantage d’affaires?
Parce qu’elle devient un argument commercial. Les grands donneurs d’ordres et les organismes publics exigent de plus en plus de leurs fournisseurs des garanties concrètes en matière de protection des renseignements personnels; une conformité documentée ouvre des portes dans les appels d’offres.
L’effet est encore plus direct dans les transactions. Lorsqu’une entreprise se vend, la vérification diligente de l’acheteur examine désormais la conformité à la Loi 25 au même titre que les états financiers. Sur le terrain, une entreprise non conforme devient un risque chiffré : ajustement du prix, retenue d’une partie du paiement, garanties supplémentaires exigées du vendeur.
À l’inverse, un dossier de conformité bien tenu rassure l’acheteur, accélère la transaction et protège la valeur que vous avez bâtie.
Pourquoi consulter pour votre conformité à la Loi 25?
Parce que la conformité ne se règle pas en téléchargeant une politique type. Chaque entreprise recueille des renseignements différents, à des fins différentes, avec des outils différents : la démarche doit partir de votre réalité, pas d’un modèle générique.
Un accompagnement juridique permet d’établir les priorités : cartographier les renseignements détenus, désigner et outiller le responsable, mettre en place le registre, revoir la politique de confidentialité et le bandeau de témoins, préparer les EFVP lorsque nécessaire.
Chez Meka Avocat, nous accompagnons des entreprises québécoises de toutes tailles dans leur mise en conformité, avec une approche pragmatique : concentrer les efforts là où le risque est réel, et documenter chaque étape.
Questions fréquentes
La Loi 25 s’applique-t-elle aux petites entreprises?
Oui. La loi vise toute entreprise qui recueille des renseignements personnels au Québec, quelle que soit sa taille, y compris sur ses employés, ses clients et les visiteurs de son site web.
Quelles obligations sont déjà en vigueur?
La désignation d’un responsable de la protection des renseignements personnels et la publication de ses coordonnées, la tenue d’un registre des incidents de confidentialité et l’obligation de les déclarer, une politique de confidentialité claire, le consentement pour les témoins non essentiels, et le droit à la portabilité des données.
Que risque une entreprise qui ne se conforme pas?
Des sanctions administratives pécuniaires et des amendes pénales dont les plafonds sont élevés, ainsi qu’un droit d’action privé en dommages. Le risque de réputation, lors d’un incident rendu public, est souvent le plus coûteux.
Par où commencer une mise en conformité?
Par la cartographie des renseignements détenus, leur emplacement et les personnes qui y ont accès. Le reste, les politiques, le registre et les clauses contractuelles avec les fournisseurs, découle de cet inventaire.
Où en est votre conformité?
Que votre démarche soit entamée ou encore à faire, un diagnostic permet d’identifier rapidement les écarts et de bâtir un plan d’action réaliste. Mieux vaut le faire maintenant qu’au milieu d’un incident de confidentialité, ou d’une vérification diligente.
La conformité à la Loi 25 rejoint les autres obligations documentaires de l’entreprise. Elle se prépare avec la même rigueur qu’une vérification diligente, et devient un point d’examen dès qu’une transaction s’annonce : un acheteur regarde aujourd’hui vos pratiques de gestion des renseignements personnels, et notre service de conseiller juridique externe.
Planifier une consultation
Avocat, membre du Barreau du Québec depuis 2014, fondateur de MEKA AVOCAT. Ce texte présente de l’information juridique générale : il décrit des règles qui s’appliquent au plus grand nombre, non la solution d’un cas particulier, et ne remplace pas un avis sur votre situation.
