Peut-on se conformer à la Loi 25 sans consultant ?

Oui, pour une petite entreprise qui traite peu de renseignements et aucun renseignement sensible. Le risque est de produire des documents génériques qui ne décrivent pas vos pratiques réelles.

Le coût est-il ponctuel ou récurrent ?

Les deux. La mise en place est ponctuelle. Le maintien est continu : registre des incidents, mises à jour, formation des nouveaux employés, ÉFVP pour chaque nouveau projet qui l'exige.

Faut-il obligatoirement un avocat ?

Non, pas pour chaque étape de la mise en place. Il est toutefois prudent d'en consulter un pour interpréter une obligation juridique complexe, négocier un contrat sensible, gérer un incident présentant un risque de préjudice sérieux, ou répondre à une plainte, une enquête ou un litige.

La Loi 25 vise-t-elle vraiment les PME ?

Oui. Elle s'applique à toute entreprise qui détient des renseignements personnels, peu importe sa taille.

Coût de la conformité à la Loi 25 pour une PME (2026)

Il n'existe pas de prix unique. Le coût dépend du volume et de la sensibilité des renseignements personnels que vous traitez, de votre point de départ et du niveau d'accompagnement choisi. Une petite PME qui utilise des gabarits et fait le travail à l'interne peut s'en tirer pour quelques centaines de dollars. Un accompagnement professionnel limité se chiffre généralement en milliers de dollars. Un mandat complet peut atteindre plusieurs dizaines de milliers de dollars lorsque l'entreprise traite des renseignements sensibles, utilise de nombreux fournisseurs ou doit se conformer rapidement.

Des offres qui ne sont pas comparables

Le marché québécois va de trousses autonomes, dont une est affichée à 150 $ (prix consulté le 18 septembre 2026, susceptible de changer), à des mandats de conseil de plusieurs dizaines de milliers de dollars. Des dirigeants de PME cités par Les Affaires en mars 2025 rapportaient notamment près de 40 000 $ en honoraires de consultants.

Ces montants ne se comparent pas. Une trousse fournit surtout des modèles. Un mandat complet peut inclure l'inventaire des renseignements, les entrevues, l'analyse des fournisseurs, les ÉFVP, la rédaction, la formation et la mise en œuvre.

Les trois niveaux d'accompagnement

Niveau	Ce qui est généralement inclus	Profil approprié
Autonome	Gabarits, guide, désignation du responsable, adaptation interne	Petite entreprise, peu de renseignements sensibles
Accompagnement ponctuel	Revue des écarts, validation des documents, aide sur les livrables prioritaires	PME avec une équipe interne disponible
Mandat complet	Inventaire, analyse des fournisseurs, politiques, ÉFVP, formation, plan d'action	Renseignements sensibles, nombreux systèmes ou échéance serrée

Ce que vous payez réellement

Le responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. La fonction peut être déléguée par écrit, et son titre et ses coordonnées doivent être publiés sur le site de l'entreprise. Ce poste coûte surtout du temps interne.
L'inventaire des renseignements personnels : ce que vous recueillez, où c'est conservé, qui y a accès. C'est souvent le poste le plus long.
La politique et les avis de confidentialité, y compris ceux du site web.
La gestion des incidents de confidentialité : tenir un registre des incidents et, lorsqu'un incident présente un risque de préjudice sérieux, aviser la Commission d'accès à l'information et les personnes concernées.
L'évaluation des facteurs relatifs à la vie privée (ÉFVP), lorsque la loi l'exige.
La révision des ententes avec les fournisseurs qui traitent vos renseignements.
La formation des employés.
Les mesures de sécurité TI, souvent budgétées à part.

Ce qui fait monter la facture

Des renseignements sensibles : santé, finances, données d'enfants, biométrie.
Des renseignements personnels communiqués ou confiés à l'extérieur du Québec. Faire appel à un fournisseur situé hors du Québec peut déclencher des obligations supplémentaires, notamment une ÉFVP, une vérification des protections offertes et une entente écrite. Il faut analyser la structure réelle du service, le lieu de traitement et les renseignements concernés, pas seulement l'adresse du fournisseur.
De nombreux systèmes et fournisseurs qui touchent aux renseignements.
Un site transactionnel, une collecte importante de données marketing ou l'utilisation de témoins et de technologies de suivi. Ces éléments élargissent le périmètre d'analyse, notamment pour les avis de confidentialité, les mécanismes de consentement et la gouvernance des données.
Une échéance serrée imposée par un client, un appel d'offres ou un incident.

Le coût de ne rien faire, sans exagération

Selon la Commission d'accès à l'information, deux régimes coexistent :

Sanctions administratives pécuniaires : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé.
Amendes pénales : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé.

Ce sont des plafonds légaux, pas des pénalités automatiques. Le « 2 % » ne signifie pas qu'une PME recevra une sanction équivalant à 2 % de son chiffre d'affaires. Il sert au calcul du maximum possible.

Pour une PME non conforme, le coût le plus probable est rarement une amende record. C'est plutôt une plainte, une enquête qui mobilise la direction, une ordonnance de correction et une décision publique qui nuit à la réputation.

Pour savoir par où commencer, voyez notre guide Loi 25 : par où commencer.

Comment obtenir un prix fiable

Un fournisseur ne peut pas vous donner un prix sérieux sans ces informations. Préparez :

Le nombre d'employés et de clients dont vous détenez des renseignements.
Les types de renseignements, et s'il y a des renseignements sensibles.
Vos principaux systèmes et fournisseurs, et le lieu où les données sont traitées.
Le déclencheur : exigence d'un client, appel d'offres, incident ou mise à niveau.
Votre échéance.

Demandez ensuite un prix par livrable plutôt qu'un taux horaire ouvert, et comparez plusieurs soumissions sur les mêmes livrables.

Ce texte est informatif et ne constitue pas un avis juridique. Loi25Soumission qualifie votre demande et l'oriente vers des cabinets partenaires ; il n'évalue pas votre conformité.

Combien coûte la conformité à la Loi 25 pour une PME ?