Gouvernance : qui est responsable
1. Désigner le responsable de la protection des renseignements personnels
Pourquoi : Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. Si personne n'a rien décidé, c'est donc déjà vous — que vous le sachiez ou non.
Comment : Décidez qui assume le rôle. Si ce n'est pas la plus haute autorité, consignez la délégation par écrit (une résolution ou une lettre signée suffit).
Temps à prévoir : Quelques minutes pour décider; une heure pour la délégation écrite.
2. Publier le titre et les coordonnées du responsable sur votre site
Pourquoi : La loi exige que ces coordonnées soient publiées sur le site de l'entreprise. C'est le manquement le plus fréquent que nous mesurons : il touche la majorité des sites analysés dans notre étude.
Comment : Un titre (par exemple « Responsable de la protection des renseignements personnels ») et un moyen de le joindre, idéalement une adresse courriel dédiée, dans votre politique de confidentialité ou votre page contact.
Temps à prévoir : Environ 30 minutes.
3. Adopter des politiques de gouvernance internes
Pourquoi : L'entreprise doit encadrer la conservation et la destruction des renseignements, les rôles et responsabilités de son personnel, et le traitement des plaintes.
Comment : Un document proportionné à votre taille : qui a accès à quoi, combien de temps vous gardez chaque type de renseignement, comment vous les détruisez, et qui traite une plainte. Des informations détaillées sur ces politiques doivent aussi être publiées en termes simples sur votre site.
Temps à prévoir : Une demi-journée avec un modèle.
Connaître ses données
4. Faire l'inventaire des renseignements personnels que vous détenez
Pourquoi : La loi ne nomme pas d'« inventaire » comme tel, mais impossible de rédiger une politique fidèle, de fixer des durées de conservation ou de répondre à une demande d'accès sans savoir quoi vous détenez et où.
Comment : Un tableau suffit : quel renseignement (nom, courriel, NAS, historique d'achat…), à quelle fin, dans quel outil (CRM, infolettre, paie, boîte courriel), qui y a accès, combien de temps vous le gardez.
Temps à prévoir : Une demi-journée à une journée selon le nombre d'outils. Gabarit Excel gratuit : /registre-actifs-informationnels.
Votre site web
5. Publier une politique de confidentialité claire
Pourquoi : Les personnes doivent être informées, au moment de la collecte, des fins, des moyens et de leurs droits — en termes simples et clairs. Une politique d'avant 2023 ne couvre presque jamais ces exigences.
Comment : Ce que vous recueillez, pourquoi, combien de temps, qui y a accès (y compris les fournisseurs), si des renseignements sortent du Québec, et comment exercer ses droits. Elle doit refléter vos pratiques réelles, pas un modèle générique.
Temps à prévoir : Une demi-journée avec un modèle.
6. Obtenir le consentement avant les témoins de suivi
Pourquoi : Les technologies qui permettent d'identifier, de localiser ou de profiler une personne — Google Analytics, pixel Meta et semblables — doivent être désactivées par défaut, et la personne doit en être informée.
Comment : Une bannière de consentement qui permet de refuser aussi facilement que d'accepter, et qui bloque réellement les témoins non nécessaires tant que la personne n'a pas accepté. Une bannière qui informe sans bloquer ne suffit pas.
Temps à prévoir : Une à deux heures pour un webmestre.
Incidents, projets et fournisseurs
7. Tenir un registre des incidents de confidentialité
Pourquoi : Tout incident doit être consigné, même mineur. Si un incident présente un risque de préjudice sérieux, il faut aviser la Commission d'accès à l'information (CAI) et les personnes concernées. Le registre se conserve au moins 5 ans.
Comment : Créez le registre maintenant, même vide, avec une procédure courte : qui est alerté, comment évaluer le risque, qui avise la CAI. Un courriel envoyé au mauvais destinataire ou un portable volé sont des incidents.
Temps à prévoir : Une à deux heures pour le registre et la procédure. Marche à suivre : notre guide incident de confidentialité (/incident-confidentialite-loi-25).
8. Faire une évaluation des facteurs relatifs à la vie privée (EFVP) quand c'est requis
Pourquoi : Une EFVP est exigée pour tout projet d'acquisition, de développement ou de refonte d'un système impliquant des renseignements personnels, et avant de communiquer des renseignements à l'extérieur du Québec.
Comment : Au prochain changement de CRM, de logiciel de paie ou d'hébergeur, documentez les renseignements touchés, les risques et les mesures prises. Si un de vos outils héberge des données hors Québec, c'est le cas aujourd'hui.
Temps à prévoir : Proportionnel au projet : de une heure à quelques jours. Marche à suivre : notre guide EFVP (/efvp-loi-25).
9. Encadrer vos fournisseurs par écrit
Pourquoi : Quiconque traite des renseignements pour vous — hébergeur, CRM, outil d'infolettre, comptable — doit être encadré par une entente écrite qui protège ces renseignements.
Comment : Listez vos fournisseurs à partir de l'inventaire (point 4). Pour les grands services infonuagiques, l'entente de traitement des données existe déjà : il suffit de la repérer et de la conserver.
Temps à prévoir : Deux à trois heures pour la liste et les ententes.
Les droits des personnes
10. Être prêt à répondre aux demandes d'accès et de portabilité
Pourquoi : Toute personne peut demander à consulter, faire rectifier ou recevoir les renseignements qui la concernent. Vous avez 30 jours pour répondre. Depuis septembre 2024, elle peut aussi exiger ses renseignements informatisés dans un format structuré et couramment utilisé.
Comment : Une procédure d'une page : qui reçoit la demande, comment vérifier l'identité, où chercher (grâce à l'inventaire), comment répondre. Gardez une trace de chaque demande et de sa date.
Temps à prévoir : Une heure pour la procédure.
Cochez ce qui est fait
Ce qui reste décoché, c'est votre plan de travail.
Questions fréquentes
Par quel point de la checklist commencer?
Par les points 1 et 2 : désigner le responsable et publier ses coordonnées. Ce sont les obligations les plus anciennes (2022), les plus rapides à régler, et les plus souvent manquantes sur les sites que nous analysons.
Combien de temps faut-il pour cocher les 10 points?
Pour une petite entreprise aux pratiques simples, comptez quelques jours de travail répartis sur quelques semaines. L'inventaire (point 4) est le plus long, mais il accélère tout le reste.
Si je coche les 10 points, suis-je conforme à la Loi 25?
Vous aurez couvert l'essentiel pour une PME. Certaines situations demandent plus : décisions automatisées, biométrie, renseignements de mineurs, données sensibles. Cette checklist est informative et ne remplace pas un avis juridique.
Articles cités : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25. Source officielle : Commission d'accès à l'information du Québec. Cette checklist est informative et ne constitue pas un avis juridique.
Voyez en 30 secondes ce que votre site expose.
Le scan gratuit vérifie le responsable publié, la politique de confidentialité et les témoins déposés sans consentement.
Scanner mon site gratuitement