Comment choisir une firme d'accompagnement pour la Loi 25 : 7 critères

1. Le bon professionnel pour le bon problème

Trois métiers accompagnent la conformité à la Loi 25, et ils ne sont pas interchangeables :

Pour de l'information générale, un consultant peut vous expliquer les obligations applicables. Pour un avis juridique personnalisé, l'interprétation d'une disposition dans votre situation, la rédaction ou la négociation d'un contrat, une plainte, une enquête ou un litige, faites intervenir un avocat ou un autre professionnel légalement autorisé.

En cas d'incident, les rôles se complètent : la firme TI contient et analyse l'incident technique, le consultant aide à appliquer la procédure et à documenter l'événement, et l'avocat analyse les obligations juridiques, les avis à transmettre et les communications à risque.

La question n'est donc pas « avocat ou consultant ? », mais « quelle partie du problème dois-je régler en premier ? ».

2. L'expérience dans votre secteur

Une clinique, un concessionnaire et une firme de logiciels n'ont ni les mêmes renseignements ni les mêmes risques. Demandez des exemples de mandats réalisés dans votre secteur, même anonymisés.

3. Des livrables écrits et nommés, y compris après le mandat

Avant de signer, demandez la liste exacte des documents que vous aurez en main à la fin : inventaire des renseignements, politique de confidentialité, procédure et registre des incidents, ÉFVP, plan de formation. « Accompagnement » n'est pas un livrable.

La conformité se maintient aussi dans le temps : nouveaux employés, nouveaux logiciels, incidents. Demandez ce qui est prévu après la mise en place, et à quel coût.

4. Un prix par livrable

Un taux horaire sans plafond vous fait porter tout le risque. Un prix forfaitaire par livrable vous permet de comparer les soumissions entre elles. Voyez aussi combien coûte la conformité à la Loi 25.

5. Un transfert de connaissances

Par défaut, la personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction par écrit, en tout ou en partie, mais l'entreprise demeure responsable du respect de la loi. Exigez que votre équipe sache faire vivre les documents une fois le mandat terminé.

6. La protection de vos propres renseignements par la firme

Une firme de conformité peut avoir accès à vos contrats, dossiers clients, données RH, informations financières ou captures d'écran de vos systèmes. Demandez-lui :

• quelles données elle vous demande, et pourquoi ;
• où elles sont conservées, et qui y a accès ;
• si des sous-traitants interviennent ;
• comment les données sont détruites à la fin du mandat ;
• si elle utilise des outils d'IA générative, et si vos informations peuvent servir à les entraîner.

Une firme qui hésite sur ces questions vous donne sa réponse.

7. Les signaux d'alarme

• Une prétendue « certification officielle Loi 25 » délivrée par la Commission d'accès à l'information. La Commission publie de l'information et des outils ; examinez avec soin ce que couvre réellement toute certification privée ou attestation commerciale.
• Une garantie « zéro amende » : personne ne peut la donner.
• Une analyse gratuite qui débouche uniquement sur la vente d'un logiciel, sans livrables ni explication des priorités.
• Des gabarits européens (RGPD) livrés sans adaptation au droit québécois.
• Aucune question sur vos pratiques réelles avant de vous proposer un prix.

Les questions à poser en première rencontre

1. Quels mandats avez-vous réalisés dans mon secteur ?
2. Quels documents aurai-je en main à la fin, précisément ?
3. Quel est le prix par livrable ?
4. Qui fait le travail : vous ou un sous-traitant ?
5. Comment protégez-vous les renseignements que je vous confie ?
6. Comment mon équipe maintiendra-t-elle la conformité après le mandat ?