Loi 25 : ce qu'une PME du Québec doit vraiment faire

Ce guide est de l'information générale, pas un avis juridique. Pour une situation particulière — un secteur réglementé, un incident en cours, un litige — parle à un avocat.

C'est quoi, la Loi 25?

La Loi 25 est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée au Québec en 2021. Elle réécrit en profondeur les règles que les entreprises privées doivent suivre quand elles recueillent, utilisent, conservent ou communiquent des renseignements personnels. Un renseignement personnel, c'est toute information qui concerne une personne physique et permet de l'identifier, directement ou indirectement : un nom, un courriel, un numéro d'assurance sociale, un dossier d'employé, une adresse IP dans certains contextes. La plupart des dirigeants de PME pensent immédiatement à leurs clients, et oublient la moitié la plus sensible de leurs données : celles de leurs propres employés. Les dossiers d'embauche, les informations bancaires pour la paie, les dossiers médicaux liés à une invalidité, les évaluations de rendement — tout ça est visé, et c'est souvent ce qui est le moins bien protégé dans une petite entreprise, parce que ça traîne dans un dossier partagé auquel trop de gens ont accès.

Le point qui surprend le plus les dirigeants de PME : il n'y a pas de seuil. La loi ne s'applique pas seulement aux entreprises de plus de cinquante employés ou de plus d'un certain chiffre d'affaires. Si ton entreprise exerce ses activités au Québec et détient des renseignements sur des clients ou des employés — donc essentiellement toutes les entreprises — elle est visée. Le texte intégral est consultable sur Légis Québec et l'organisme qui en surveille l'application est la Commission d'accès à l'information du Québec (CAI).

Les trois vagues d'obligations

La loi est entrée en vigueur par étapes sur trois ans. Toutes les échéances sont passées : si tu lis ceci en te demandant s'il te reste du temps, la réponse est non — l'ensemble des obligations ci-dessous est en vigueur aujourd'hui.

La liste de vérification, dans l'ordre

Personne ne devient conforme en une journée. L'ordre ci-dessous est celui qu'on suit avec nos clients : il commence par ce qui est visible de l'extérieur — donc ce qu'un client, un employé ou la CAI peut vérifier en trente secondes — avant de descendre dans la plomberie.

1. Nommer un responsable de la protection des renseignements personnels. Par défaut, la loi désigne la personne ayant la plus haute autorité dans l'entreprise — souvent le président ou la présidente. Le rôle peut être délégué par écrit à quelqu'un d'autre, à l'interne ou à l'externe. Le titre et les coordonnées de cette personne doivent être publiés sur ton site web.
2. Publier une politique de confidentialité compréhensible. Elle doit être rédigée en termes simples et clairs, être diffusée sur ton site web, et expliquer quels renseignements tu recueilles, pourquoi, qui y a accès, combien de temps tu les conserves et comment exercer ses droits.
3. Tenir un registre des incidents de confidentialité. Chaque incident — courriel envoyé au mauvais destinataire, ordinateur portable perdu, rançongiciel, accès non autorisé — doit y être consigné, même s'il ne présente aucun risque de préjudice sérieux. C'est le document que la CAI demandera en premier si elle enquête.
4. Savoir quoi faire dans les 72 heures suivant un incident. Si un incident présente un risque de préjudice sérieux, tu dois aviser la CAI et les personnes concernées avec diligence. Ça suppose de savoir à l'avance qui décide, qui rédige l'avis et où sont les journaux d'accès. Improviser ça pendant une panne, c'est le pire moment.
5. Faire l'inventaire de tes renseignements personnels. Tu ne peux pas protéger ce que tu ne sais pas que tu détiens. Dresse la liste des systèmes qui contiennent des données sur tes clients et tes employés : CRM, comptabilité, paie, infonuagique, boîtes courriel, fichiers partagés, formulaires du site web.
6. Vérifier où sont hébergées tes données. Avant de communiquer des renseignements personnels à l'extérieur du Québec, tu dois réaliser une évaluation des facteurs relatifs à la vie privée. En pratique, ça touche presque toutes les PME, parce que la majorité des outils SaaS courants hébergent leurs données ailleurs.
7. Encadrer tes fournisseurs par contrat. Quand un tiers traite des renseignements personnels pour toi, le mandat doit être écrit et préciser les mesures de protection attendues. Ça vaut pour ton infogérant, ton service de paie et ton hébergeur.
8. Restreindre les accès au strict nécessaire. La loi impose des mesures de sécurité raisonnables. Concrètement : authentification multifacteur, gestionnaire de mots de passe, droits d'accès revus quand quelqu'un change de rôle, et retrait immédiat des accès au départ d'un employé.

Ce que tu risques

La Loi 25 a considérablement relevé les sanctions. La CAI peut imposer des sanctions administratives pécuniaires, et des poursuites pénales sont possibles pour les manquements les plus graves, avec des plafonds calculés en pourcentage du chiffre d'affaires mondial. Ces montants maximaux visent évidemment les grandes organisations, et une PME ne se réveillera pas demain avec une amende à huit chiffres.

Le risque réel pour une PME est ailleurs, et il est plus banal. C'est le client corporatif qui exige ta politique de confidentialité et le nom de ton RPR avant de signer. C'est l'appel d'offres public que tu ne peux pas remplir parce qu'une section entière du questionnaire de sécurité reste vide. C'est l'assureur en cyberrisque qui pose les mêmes questions au renouvellement, et qui ajuste la prime ou refuse la couverture selon les réponses. C'est l'incident que tu dois déclarer sans avoir de registre, de journaux d'accès ni d'idée du nombre de personnes touchées, ce qui transforme une mauvaise journée en plusieurs semaines de reconstitution. Et c'est le droit d'action civile : une personne dont les renseignements ont été compromis peut réclamer des dommages, y compris punitifs. En pratique, la conformité rapporte du côté des ventes bien avant de servir en défense — ce qui est le meilleur argument pour s'y mettre sans attendre une mise en demeure.

Par où commencer si tu n'as rien fait

Si tu pars de zéro, ne tente pas de tout couvrir d'un coup. Trois gestes te sortent de la zone la plus exposée en moins d'une semaine.

Premièrement, désigne officiellement ton RPR et publie son titre et ses coordonnées sur ton site. C'est l'obligation la plus facile à vérifier de l'extérieur, et son absence est le premier signal qu'une entreprise n'a rien fait. Deuxièmement, publie une politique de confidentialité honnête : mieux vaut une page courte qui décrit fidèlement ce que tu fais qu'un document de dix pages copié d'un modèle américain qui ne correspond pas à tes pratiques. Troisièmement, crée ton registre des incidents — un tableur suffit pour commencer — et écris la procédure à suivre quand quelque chose arrive. Le reste, notamment l'inventaire des données et les ÉFVP, se construit ensuite sur plusieurs semaines.

Ce que la conformité exige côté technique

La Loi 25 est un texte juridique, mais la majorité de ce qu'elle demande se règle dans tes systèmes. L'obligation de prendre des mesures de sécurité raisonnables se traduit par des choses très concrètes : l'authentification multifacteur activée partout, un gestionnaire de mots de passe plutôt qu'un fichier partagé, des droits d'accès qui correspondent au rôle réel de chaque personne, des sauvegardes testées, et des journaux qui permettent de reconstituer qui a accédé à quoi.

C'est aussi ce qui rend la conformité atteignable pour une PME : ce ne sont pas des projets exotiques, ce sont les fondations d'une infrastructure TI bien tenue. L'entreprise qui a déjà une bonne hygiène technique est à quelques documents de la conformité. Celle qui partage un mot de passe d'administrateur par courriel depuis six ans a un vrai chantier devant elle — mais c'est un chantier qu'elle devrait faire de toute façon, loi ou pas.

Comment Patché t'accompagne

L'accompagnement Loi 25 est inclus dans notre tarif de base, sans supplément. Concrètement, on fait l'inventaire des systèmes qui contiennent des renseignements personnels, on met en place les mesures techniques — MFA, gestion des mots de passe, revue des accès, sauvegardes, journalisation —, on t'aide à monter ton registre des incidents et ta procédure de déclaration, et on forme ton équipe à reconnaître les situations à risque.

Ce qu'on ne fait pas : on n'est pas avocats et on ne rédige pas d'avis juridique. Pour la rédaction finale de ta politique, la validation de tes contrats de sous-traitance ou la gestion d'un incident qui tourne au litige, on travaille avec ton conseiller juridique ou on t'en réfère un. Consulte nos tarifs pour voir tout ce qui est inclus.