C'est quoi, la Loi 25?
La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est la réforme majeure du droit québécois de la vie privée, adoptée en septembre 2021.
Elle modernise des règles qui dataient des années 1990 — une époque sans infolettres, sans témoins publicitaires et sans infonuagique. Son principe central : les renseignements personnels que votre entreprise recueille (noms, courriels, adresses, données de navigation, etc.) appartiennent aux personnes concernées, et votre entreprise en est responsable à chaque étape — collecte, utilisation, conservation, destruction.
Elle est souvent comparée au RGPD européen, et la parenté est réelle : consentement renforcé, transparence, droits des individus, sanctions dissuasives. Mais la Loi 25 a ses exigences propres — d'où l'importance d'un outil pensé pour elle, pas d'un modèle RGPD traduit.
À qui elle s'applique
Réponse courte : à votre entreprise, presque certainement.
La loi vise toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels au Québec — peu importe sa taille, son chiffre d'affaires ou son secteur. Le travailleur autonome avec un formulaire de contact est visé au même titre que la multinationale.
Vous êtes concerné si vous avez, par exemple :
- un site web avec un formulaire de contact ou une infolettre;
- une liste de clients avec noms et coordonnées;
- des employés (dossiers RH, paie);
- des outils d'analyse ou de publicité sur votre site (Google Analytics, pixel Meta, etc.);
- un CRM, une boutique en ligne ou un système de facturation.
Et attention : les entreprises situées hors Québec qui font affaire avec des Québécois peuvent aussi être visées. Il n'y a pas d'échappatoire géographique simple.
Les obligations, phase par phase
La loi est entrée en vigueur graduellement. Voici ce que chaque phase a ajouté — et qui s'applique aujourd'hui en totalité.
La gouvernance de base
Les fondations : quelqu'un doit être responsable, et les incidents doivent être gérés.
- Désigner un responsable de la protection des renseignements personnels (RPRP) — par défaut, la personne ayant la plus haute autorité (donc vous, si vous êtes fondateur), avec possibilité de déléguer par écrit. Son titre et ses coordonnées doivent être publiés sur votre site.
- Tenir un registre des incidents de confidentialité et déclarer à la Commission d'accès à l'information (CAI) et aux personnes concernées tout incident présentant un risque de préjudice sérieux.
- Divulguerle recours à des technologies d'identification biométrique.
Le gros morceau
La majorité des obligations sont arrivées ici. C'est la phase qui touche votre site web, vos formulaires et vos pratiques quotidiennes.
- Politique de confidentialité rédigée en termes simples et clairs, publiée sur votre site.
- Politiques et pratiques de gouvernance internes encadrant la conservation, la destruction et les rôles.
- Consentement manifeste, libre, éclairé et à des fins spécifiques — avec consentement distinct pour les fins secondaires.
- Paramètres de confidentialité par défaut au niveau le plus élevé pour les produits et services technologiques offerts au public — ce qui touche directement les témoins (cookies) non nécessaires.
- Évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte de système impliquant des renseignements personnels, et avant toute communication de renseignements hors Québec.
- Transparence sur les décisions automatisées et les technologies de localisation ou de profilage.
- Destruction ou anonymisation des renseignements une fois les fins accomplies.
La portabilité
- Droit à la portabilité :toute personne peut exiger de recevoir les renseignements personnels informatisés qu'elle vous a fournis dans un format technologique structuré et couramment utilisé — ou demander leur transfert à un tiers.
Les documents et registres obligatoires
La conformité Loi 25, concrètement, c'est en bonne partie de la documentation tenue à jour. Voici l'essentiel du classeur.
- Registre des incidents de confidentialité — chaque incident, même mineur, doit y être consigné avec sa date, sa nature, et les mesures prises.
- Politique de confidentialité publique — en langage clair, accessible depuis votre site.
- Politiques de gouvernance internes — conservation, destruction, rôles et responsabilités, traitement des plaintes.
- EFVP documentées— pour chaque projet ou communication hors Québec qui l'exige.
- Suivi des demandes d'accès et de rectification — la loi impose un délai de réponse de 30 jours.
- Ententes avec les tiers et fournisseurs — quiconque traite des renseignements pour vous (hébergeur, CRM, comptable) doit être encadré par écrit.
Les sanctions : ce que ça coûte de l'ignorer
La Loi 25 a donné à la CAI des pouvoirs de sanction parmi les plus sévères en Amérique du Nord.
Jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, selon le plus élevé — imposées directement par la CAI, sans procès.
Jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial pour les infractions les plus graves, via poursuite pénale.
Soyons réalistes : la CAI ne commencera pas par imposer 25 M$ à une PME de cinq employés. Le risque concret pour une PME, c'est plutôt une plainte d'un client ou d'un ex-employé, une demande de la CAI à laquelle il faut répondre avec des registres inexistants, une atteinte réputationnelle, et un rattrapage de conformité fait dans l'urgence — au tarif de l'urgence. La diligence documentée est aussi un facteur atténuant explicite : pouvoir démontrer ses efforts change complètement la posture.
Liste de vérification pour PME
Cochez ce qui est déjà fait chez vous. Ce qui reste, c'est votre plan de travail.
Questions fréquentes
Je n'ai que 3 employés. Sérieusement, ça s'applique à moi?
Oui — la loi ne prévoit aucun seuil de taille. Cela dit, l'effort de conformité est proportionnel : une petite structure avec des pratiques simples se conforme beaucoup plus vite qu'une entreprise de 200 employés. C'est une question de jours, pas de mois.
Google Analytics et le pixel Meta, c'est légal?
Utilisables, mais encadrés : ces outils déposent des témoins de suivi qui exigent un consentement préalable, et ils peuvent impliquer des communications de renseignements hors Québec — ce qui déclenche des obligations d'évaluation. Concrètement : bannière de consentement conforme, témoins bloqués avant accord, et mention dans votre politique.
Ma politique de confidentialité date de 2020. Elle compte encore?
Probablement pas : les exigences de la phase 2023 (langage clair, fins spécifiques, droits des personnes, responsable identifié, témoins) n'existaient pas en 2020. Une politique pré-Loi 25 est presque certainement à refaire.
Le RGPD et la Loi 25, c'est pareil? Je suis déjà « conforme RGPD ».
C'est une excellente base, mais non : la Loi 25 a ses propres mécanismes (EFVP à la québécoise, régime d'incidents propre, exigences de la CAI, portabilité définie différemment). Une conformité RGPD copiée-collée laisse des trous — souvent précisément là où la CAI regarde.
Par où je commence, concrètement?
Trois gestes dans l'ordre : (1) désignez le responsable — c'est une décision de cinq minutes; (2) faites l'inventaire de vos renseignements personnels; (3) passez le scan gratuit pour voir ce que votre site expose publiquement. Ensuite, l'audit guidé transforme le tout en plan d'action priorisé.
Vous savez maintenant ce que la loi exige. Voyez où vous en êtes.
Le scan gratuit vérifie votre site en 30 secondes, et l'audit guidé transforme ce guide en plan d'action pour votre entreprise.
Scanner mon site gratuitement