La Loi 25 s’applique à toute entreprise qui exerce des activités au Québec et qui détient des renseignements personnels. Pas seulement aux grandes organisations, pas seulement à celles du secteur public : à peu près tout le monde, y compris une PME de dix personnes avec un formulaire de contact et une infolettre.
Voici ce qu’il faut avoir en place, dans l’ordre où on le vérifie quand on audite une organisation.
1. Un responsable de la protection des renseignements personnels
C’est la première obligation, et la plus simple à régler. Par défaut, la loi désigne la personne ayant la plus haute autorité dans l’organisation. Cette fonction peut être déléguée par écrit à quelqu’un d’autre.
Le titre et les coordonnées de cette personne doivent être publiés sur votre site. C’est le point le plus souvent manquant : la personne est nommée à l’interne, mais rien n’apparaît en ligne.
2. Une politique de confidentialité qui décrit la réalité
Pas un gabarit générique traduit de l’anglais. La politique doit indiquer quels renseignements vous recueillez, à quelles fins, à qui vous les communiquez, combien de temps vous les conservez, et comment exercer ses droits.
Le test simple : ouvrez votre politique et votre liste réelle d’outils. Si votre politique ne mentionne ni votre plateforme d’infolettre, ni votre outil d’analytique, ni votre système de billetterie, elle ne décrit pas la réalité.
3. Un consentement réellement libre et éclairé
- Demandé séparément pour chaque finalité, pas groupé dans une case unique
- Formulé en termes simples et clairs
- Jamais préactivé par défaut pour une finalité secondaire
- Aussi facile à retirer qu’à donner
Concrètement : une case à cocher « j’accepte tout » qui couvre à la fois la réponse à une demande de contact et l’inscription à une infolettre commerciale ne tient pas. Ce sont deux finalités distinctes.
4. Un registre des incidents de confidentialité
Tout incident doit être consigné, qu’il soit grave ou non. En cas de risque de préjudice sérieux, il faut aviser la Commission d’accès à l’information et les personnes concernées avec diligence.
L’erreur classique : ne rien avoir prévu avant qu’un incident survienne. Un registre vide mais existant, avec une procédure d’une page qui dit qui fait quoi dans les 24 premières heures, vaut infiniment mieux que rien.
5. Une évaluation des facteurs relatifs à la vie privée
Requise pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui traite des renseignements personnels. Une refonte de site avec formulaires et compte client entre dans cette catégorie.
Cette évaluation est aussi obligatoire avant de communiquer des renseignements hors du Québec — ce qui inclut la plupart des services infonuagiques américains. Peu d’organisations l’ont faite.
6. La transparence sur les décisions automatisées
Si une décision qui concerne une personne est prise uniquement par un traitement automatisé, il faut l’en informer et lui permettre de faire valoir ses observations. Avec l’arrivée des outils d’IA générative dans les processus internes, cette obligation devient beaucoup plus concrète qu’elle ne l’était en 2023.
7. Le droit à la portabilité
Une personne peut demander que ses renseignements lui soient communiqués dans un format technologique structuré et couramment utilisé. En pratique : êtes-vous capable d’extraire tout ce que vous détenez sur un individu, depuis tous vos systèmes, dans un délai raisonnable? Pour beaucoup d’organisations, la réponse honnête est non.
Ce que ça donne côté site web
- Bandeau de témoins. Les témoins non essentiels ne se déposent qu’après consentement. Un bandeau purement informatif qui charge déjà l’analytique et les pixels publicitaires ne remplit pas l’obligation.
- Formulaires. Une mention claire de la finalité, un lien vers la politique, et pas de champs recueillis « au cas où ».
- Conservation. Des données de formulaire qui dorment dans une base depuis quatre ans sans durée de conservation définie sont un problème.
- Sous-traitants. Vos contrats avec les fournisseurs qui traitent des renseignements pour vous doivent encadrer cette communication.
Les sanctions, sans dramatiser
Le régime prévoit des sanctions administratives pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et des amendes pénales jusqu’à 25 M$ ou 4 %. Ces montants sont des plafonds, pas des tarifs, et visent des manquements graves.
Dans les faits, le risque le plus probable pour une PME n’est pas l’amende. C’est le contrat perdu : de plus en plus d’appels d’offres et de contrats de services exigent une attestation de conformité. Ne pas pouvoir répondre à cette question coûte des mandats bien avant qu’un inspecteur ne se manifeste.
Par où commencer
Si vous ne devez faire qu’une chose cette semaine : dressez la liste de tous les outils qui touchent des renseignements personnels dans votre organisation. Infolettre, CRM, analytique, billetterie, paie, formulaires, sauvegardes. Cette liste est la fondation de tout le reste, et la plupart des organisations ne l’ont jamais écrite.
Notre vérificateur Loi 25 gratuit vous donne en dix questions un portrait de votre situation et les trois lacunes à corriger en priorité. Pour un accompagnement, voyez notre page conformité Loi 25.
Précision utile : cet article décrit des obligations techniques et organisationnelles telles qu’on les rencontre en mandat. Ce n’est pas un avis juridique. Pour une interprétation qui engage votre organisation, parlez à un conseiller juridique.