Loi 25 : le guide pratique pour dirigeants de PME
Toutes les obligations de la Loi 25 sont en vigueur, pour toutes les entreprises — pas seulement les grandes. Si vous avez des clients, des employés ou un formulaire de contact sur votre site, vous êtes concernés. Voici ce qui compte vraiment, sans jargon juridique, et par où commencer.
Depuis septembre 2024, la Loi 25 est entièrement en vigueur. Toutes les obligations, pour toutes les entreprises — pas seulement les banques, pas seulement les géants du web. Si votre entreprise a des clients, des employés ou un simple formulaire de contact sur son site, elle détient des renseignements personnels, et la Loi s'applique. Pourtant, dans bien des PME québécoises, la conformité oscille encore entre « on va s'en occuper cet automne » et « ça ne concerne pas une entreprise de notre taille ».
Ce guide résume ce qui vous concerne vraiment, sans jargon juridique — et surtout, par où commencer sans en faire un chantier de six mois.
La Loi 25 en une minute
La Loi 25 modernise la Loi sur la protection des renseignements personnels dans le secteur privé, en s'inspirant largement du RGPD européen. Un renseignement personnel, c'est toute information qui permet d'identifier une personne : le nom et le courriel d'un client, un dossier d'employé, un numéro de cellulaire dans votre CRM, les données recueillies par le formulaire de votre site web.
Point important : il n'y a pas de seuil de taille. Une entreprise de 5 employés a les mêmes obligations de principe qu'une de 5 000 — ce qui varie, c'est la proportionnalité des moyens, pas l'existence de l'obligation.
Les sept obligations qui touchent toutes les PME
1. Un responsable désigné — et affiché. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, qui peut déléguer la fonction par écrit. Le titre et les coordonnées de ce responsable doivent être publiés sur votre site web. C'est l'obligation la plus simple de toute la Loi, et une des plus souvent oubliées : une vérification de trente secondes que n'importe qui — client, journaliste, inspecteur — peut faire dès aujourd'hui.
2. Un registre des incidents — et une obligation de déclaration. Tout incident de confidentialité (accès, utilisation, communication ou perte non autorisée de renseignements personnels) doit être consigné dans un registre. Si l'incident présente un risque de préjudice sérieux, vous devez le déclarer à la Commission d'accès à l'information (CAI) et aviser les personnes concernées. Une boîte courriel compromise, un portable perdu, un rançongiciel : chacun peut être un incident de confidentialité au sens de la Loi.
3. Des politiques publiées. Des politiques et pratiques de gouvernance des renseignements personnels, rédigées en termes clairs et diffusées — concrètement, une politique de confidentialité digne de ce nom sur votre site, qui décrit ce que vous recueillez, pourquoi, et les droits des personnes.
4. Une évaluation avant les nouveaux projets. Toute acquisition, développement ou refonte de système impliquant des renseignements personnels exige une évaluation des facteurs relatifs à la vie privée (EFVP) — proportionnelle à la sensibilité des données. Choisir un nouveau CRM, adopter un outil infonuagique , brancher un chatbot sur vos données clients : chacun de ces gestes devrait déclencher le réflexe. Même chose avant de communiquer des renseignements hors du Québec.
5. Consentement et transparence. Le consentement doit être clair, libre, éclairé et demandé pour des fins spécifiques. Si vous utilisez des technologies d'identification, de localisation ou de profilage, il faut en informer les gens. Et les paramètres de confidentialité de vos outils doivent offrir le plus haut niveau de protection par défaut.
6. Minimisation et conservation. Ne recueillir que le nécessaire, puis détruire ou anonymiser les renseignements une fois la finalité accomplie. Attention : « finalité accomplie » ne veut pas dire « le lendemain de la transaction ». Les obligations légales, fiscales et contractuelles font partie de l'équation — un dossier d'employé, une facture, un contrat de service ont chacun leur durée de conservation légitime. La bonne pratique, c'est d'établir d'avance une politique (ou un calendrier) de conservation qui fixe une durée par type de renseignement, de la documenter, et de l'appliquer pour vrai. Ce qui n'est pas défendable, c'est la conservation par défaut, sans échéance et sans justification : la base de données de prospects de 2015 qui dort sur un vieux partage réseau n'est pas un actif, c'est un passif.
7. La portabilité. Depuis septembre 2024, toute personne peut exiger de recevoir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé.
Les sanctions — et la vraie exposition
Les chiffres qui font les manchettes : sanctions administratives pouvant atteindre 10 millions $ ou 2 % du chiffre d'affaires mondial, sanctions pénales jusqu'à 25 millions $ ou 4 % du chiffre d'affaires mondial, et un droit privé d'action avec dommages-intérêts punitifs d'au moins 1 000 $ par personne.
Soyons honnêtes : la CAI ne distribue pas des amendes de 10 millions aux PME à la chaîne — son approche privilégie d'abord l'accompagnement et la correction. La vraie exposition d'une PME est ailleurs : l'incident mal géré. La boîte courriel compromise qui devient un incident à déclarer, l'impossibilité de démontrer que des « mesures de sécurité raisonnables » étaient en place, la perte de confiance des clients à qui il faut annoncer la fuite — et l'assureur qui épluche vos pratiques au moment de la réclamation.
La Loi 25 est une loi de cybersécurité déguisée
Le cœur opérationnel de la Loi tient dans trois mots : « mesures de sécurité raisonnables ». Or, ces mesures, ce sont exactement les fondamentaux dont nous parlons dans cette série : l'authentification multifacteur , le chiffrement des appareils, le contrôle des accès selon le principe du moindre privilège , les sauvegardes testées , la journalisation, la révocation des accès au départ des employés et l'encadrement des outils d'IA que vos équipes utilisent déjà.
Autrement dit : la conformité et la cybersécurité ne sont pas deux chantiers parallèles. C'est le même chantier, vu de deux fenêtres. Un ex-employé qui accède encore à vos dossiers clients , un faux courriel du président qui détourne un virement contenant des données personnelles, un rançongiciel qui exfiltre votre base clients : chacun est à la fois un incident de sécurité et un incident de confidentialité au sens de la Loi.
Par où commencer : le plan 30 jours
Semaine 1 — Le responsable. Nommer le responsable de la protection des renseignements personnels, documenter la délégation, publier titre et coordonnées sur le site web. Une heure de travail, une obligation réglée.
Semaine 2 — L'inventaire. Cartographier les renseignements personnels : quelles données, dans quels systèmes, qui y a accès. L'exercice recoupe directement l'inventaire des accès dont nous parlions au sujet des départs d'employés — faites d'une pierre deux coups. Un audit de sécurité fait souvent la moitié du travail.
Semaine 3 — Les documents. Une politique de confidentialité claire sur le site, un gabarit de registre des incidents, et une procédure de déclaration d'une page : qui évalue, qui appelle la CAI, qui avise les clients — y compris si ça arrive un samedi .
Semaine 4 — Les mesures. Valider les fondamentaux de sécurité ( MFA partout , sauvegardes testées et plan de reprise à jour , chiffrement des portables, accès révoqués aux départs) et intégrer le réflexe EFVP à tout achat d'outil qui touche des données personnelles.
Pas besoin d'un avocat à temps plein ni d'une transformation d'entreprise : de la méthode, des gabarits, et une équipe TI qui parle les deux langages — celui de la conformité et celui de la sécurité.
Le mot de la fin
La Loi 25 traîne une réputation de montagne bureaucratique. En pratique, l'essentiel de la conformité repose sur des gestes que vous devriez poser de toute façon pour protéger votre entreprise : savoir quelles données vous détenez, en limiter l'accès, les sécuriser, et savoir quoi faire quand ça tourne mal. Le reste, c'est de la documentation.
Chez MMO Techno, nous intégrons les exigences de la Loi 25 directement dans nos services TI gérés : inventaire des données et des accès, mesures de sécurité documentées, registre et procédure d'incident, et accompagnement lors des évaluations — pour que la conformité soit un sous-produit de votre sécurité, pas un projet de plus.
Si la CAI vous écrivait demain au sujet d'un incident, sauriez-vous produire votre registre, nommer votre responsable et démontrer vos mesures de sécurité — ou faudrait-il commencer par les créer?
Si la réponse vous laisse songeur, on peut en parler. Contactez-nous : on regarde ensemble où vous en êtes, ce qui manque, et par quoi commencer — sans engagement et sans vous vendre un projet de six mois.
Cet article vulgarise les grandes lignes de la Loi 25 à des fins d'information et ne constitue pas un avis juridique. Pour l'interprétation de vos obligations spécifiques, consultez un conseiller juridique.