La Loi 25 s'applique-t-elle à une entreprise de 5 employés ?

Oui. La Loi 25 ne prévoit aucun seuil d'effectif ni de chiffre d'affaires. Toute entreprise qui exerce au Québec et recueille des renseignements personnels y est assujettie, qu'elle ait 3 employés ou 3 000. Seule l'obligation de publier les titre et coordonnées du responsable varie peu : elle s'impose à tous.

Faut-il embaucher quelqu'un pour être responsable de la protection des renseignements personnels ?

Non. La fonction revient par défaut à la personne ayant la plus haute autorité dans l'entreprise, qui peut la déléguer par écrit à un employé ou à un tiers. Dans une PME, c'est presque toujours une délégation interne à temps partiel, pas un poste créé.

Quelles sont les sanctions prévues ?

Deux régimes coexistent. Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, le plus élevé des deux. Les amendes pénales montent à 25 M$ ou 4 %. S'y ajoute un droit d'action privé avec des dommages punitifs d'au moins 1 000 $ par personne en cas d'atteinte intentionnelle ou de faute lourde.

Une évaluation des facteurs relatifs à la vie privée est-elle obligatoire ?

Elle l'est dans deux situations : tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels, et toute communication de renseignements personnels à l'extérieur du Québec. Changer de CRM ou d'hébergeur infonuagique déclenche donc l'obligation.

Par quoi commencer si on n'a rien fait du tout ?

Par la cartographie. Tant qu'on ne sait pas quels renseignements on détient, où ils vivent et qui y accède, aucun des autres chantiers ne peut être mené correctement : ni la politique de confidentialité, ni les durées de conservation, ni la réponse à une demande d'accès.

Loi 25 : par où commencer quand on est une PME

Pour une PME québécoise, la mise en conformité à la Loi 25 suit un ordre précis : nommer un responsable de la protection des renseignements personnels, cartographier les renseignements détenus, publier une politique de confidentialité en termes simples, refondre les mécanismes de consentement, tenir un registre des incidents de confidentialité, puis encadrer les fournisseurs par contrat. Ces six chantiers s'enchaînent — chacun suppose le précédent, et les attaquer dans le désordre fait perdre du temps.

Où en est la loi, exactement

La Loi 25 — officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — est entrée en vigueur par tranches : une première en septembre 2022, l'essentiel en septembre 2023, et la dernière en septembre 2024 avec le droit à la portabilité.

Autrement dit, il n'y a plus d'échéance à venir. Tout s'applique déjà. Les entreprises qui n'ont rien entrepris ne sont pas en retard sur un calendrier : elles sont en défaut.

Aucun seuil ne protège les petites structures. La loi vise toute entreprise exerçant au Québec qui recueille, détient, utilise ou communique des renseignements personnels — ceux de ses clients comme ceux de ses employés.

1. Nommer le responsable

Par défaut, la fonction revient à la personne ayant la plus haute autorité dans l'entreprise. Elle peut la déléguer par écrit, en tout ou en partie, à un membre du personnel ou à un tiers.

Ce n'est pas un poste à créer. Dans une PME, c'est une responsabilité attribuée à quelqu'un qui a déjà un rôle — direction générale, finances, TI. Ce qui compte, c'est que la délégation soit écrite et que les titre et coordonnées de cette personne soient publiés sur le site web.

C'est le chantier le plus rapide, et c'est aussi celui qui rend les autres possibles : sans responsable désigné, personne ne porte la suite.

2. Cartographier les renseignements détenus

C'est le vrai point de départ, et celui qu'on saute le plus souvent.

Il s'agit de répondre, par écrit, à six questions pour chaque catégorie de renseignements :

Question	Exemple de réponse
Quoi ?	Nom, courriel, téléphone, numéro d'assurance sociale
Pourquoi ?	Facturation, paie, infolettre, recrutement
Où ?	CRM, comptabilité infonuagique, boîte courriel, classeur papier
Qui y accède ?	Direction, comptabilité, sous-traitant en paie
Combien de temps ?	Durée de la relation + délai légal de conservation
Sort ensuite ?	Destruction ou anonymisation

Une PME découvre presque toujours, à cette étape, qu'elle détient des renseignements dont elle n'a plus l'usage — CV de candidatures refusées, anciens dossiers d'employés, listes d'infolettre héritées. La loi impose de les détruire ou de les anonymiser une fois la finalité accomplie.

Cette cartographie n'est pas un livrable de forme. C'est le document dont dépendent tous les suivants.

3. Publier la politique de confidentialité

La loi exige des politiques et pratiques de gouvernance des renseignements personnels, et leur publication en termes simples et clairs sur le site web.

« Termes simples » est une exigence juridique, pas un conseil de rédaction. Une politique recopiée d'un modèle américain, écrite en jargon, ou qui décrit des pratiques que l'entreprise n'applique pas, ne satisfait pas l'obligation — et constitue en plus une déclaration inexacte.

La politique doit dire ce que la cartographie a établi : ce qui est recueilli, pourquoi, avec qui c'est partagé, combien de temps c'est conservé, et comment exercer ses droits.

4. Refondre le consentement

C'est le chantier qui touche le plus directement les formulaires, l'infolettre et le site web. Le consentement doit être :

manifeste, libre et éclairé, donné à des fins spécifiques ;
demandé pour chaque finalité, en termes simples ;
distinct de toute autre information — une demande de consentement noyée dans des conditions générales ne vaut pas ;
exprès lorsqu'il porte sur un renseignement sensible (santé, biométrie, situation financière).

Concrètement : plus de cases pré-cochées, plus de consentement global « j'accepte tout », et une trace de ce qui a été affiché à la personne au moment où elle a consenti.

Deux obligations voisines s'ajoutent souvent à cette étape : la confidentialité par défaut pour les produits ou services technologiques offerts au public, et l'information préalable lorsqu'une décision fondée exclusivement sur un traitement automatisé est rendue.

5. Tenir le registre des incidents

Toute entreprise doit tenir un registre des incidents de confidentialité — perte, vol, accès non autorisé, divulgation accidentelle.

Quand un incident présente un risque de préjudice sérieux, il faut aviser la Commission d'accès à l'information et les personnes concernées avec diligence, et prendre les mesures raisonnables pour réduire le risque.

L'erreur classique est de préparer ça le jour de l'incident. À ce moment-là, il est déjà trop tard pour décider qui évalue le risque, qui rédige l'avis et qui parle aux personnes touchées. Le registre et la procédure se montent à froid.

6. Encadrer les fournisseurs

La plupart des PME confient des renseignements personnels à des tiers : logiciel de paie, hébergeur, agence marketing, service de sauvegarde.

Deux obligations se combinent ici. La communication de renseignements personnels à l'extérieur du Québec exige au préalable une évaluation des facteurs relatifs à la vie privée. Et le mandat confié à un prestataire doit faire l'objet d'un écrit précisant les mesures de protection attendues.

Autrement dit, la conformité ne s'arrête pas aux murs de l'entreprise. Un fournisseur mal encadré est une exposition directe.

Ce que ça représente vraiment

Pour une PME de 10 à 50 employés sans antécédent en protection des renseignements personnels, les six chantiers demandent généralement entre quelques semaines et quelques mois — la cartographie et le consentement concentrant l'essentiel de l'effort.

Ce qui fait dérailler les projets n'est presque jamais la complexité juridique. C'est l'ordre : une politique de confidentialité rédigée avant la cartographie décrit des pratiques imaginaires, et il faut la refaire.

Les erreurs les plus fréquentes

Copier une politique trouvée en ligne. Elle décrira des pratiques qui ne sont pas les vôtres.
Traiter la Loi 25 comme un sujet TI. C'est d'abord un sujet de gouvernance : qui décide, qui accède, combien de temps on garde.
Oublier les renseignements des employés. Dossiers de paie, CV, évaluations et dossiers médicaux sont visés au même titre que les données clients.
Confondre avec le RGPD. Les deux régimes se ressemblent mais divergent sur le consentement, les délais et les sanctions. Une conformité RGPD ne vaut pas conformité Loi 25.
S'arrêter après la politique. La partie publiée est la plus visible, pas la plus lourde.

Et ensuite

Une fois les six chantiers ouverts, la conformité devient un entretien plutôt qu'un projet : mise à jour de la cartographie à chaque nouvel outil, évaluation avant chaque changement de système, revue annuelle des durées de conservation.

Beaucoup de PME mènent les premières étapes à l'interne et font appel à un cabinet spécialisé pour les parties qui engagent leur responsabilité — l'évaluation des facteurs relatifs à la vie privée, les contrats fournisseurs et la procédure d'incident.

Ce texte est informatif et ne constitue pas un avis juridique. Loi25Soumission qualifie votre demande et l'oriente vers des cabinets partenaires ; il n'évalue pas votre conformité.