La Loi 25 a pour but de moderniser la protection des renseignements personnels au Québec. Son application se fait en plusieurs phases, mais septembre 2025 marquera l’entrée en vigueur de ses dispositions finales et les PME doivent s’y préparer.
Chez S3, nous accompagnons nos clients dans leur conformité. Voici ce que vous devez savoir, en tant que PME québécoise, pour être prêt.
Qu’est-ce que la Loi 25 ?
La Loi 25 modernise la Loi sur la protection des renseignements personnels dans le secteur privé. Elle s’inspire du RGPD européen et impose de nouvelles obligations aux entreprises qui recueillent, utilisent ou conservent des données personnelles.
Elle concerne toutes les entreprises qui font affaire au Québec, peu importe leur taille.
Ce qui est déjà en vigueur (depuis 2022-2023)
- Nommer une personne responsable de la protection des renseignements personnels
- Aviser la CAI (Commission d’accès à l’information du Québec) et les personnes concernées en cas d’incident de confidentialité
- Tenir un registre des incidents
- Détruire les renseignements personnels lorsqu’ils ne sont plus nécessaires
- Divulguer les politiques de confidentialité sur votre site web
Ce qui entre en vigueur en septembre 2025
- Faire une évaluation des facteurs relatifs à la vie privée (EFVP) avant de collecter ou partager certaines données sensibles
- Encadrer les communications de renseignements personnels à l’étranger
- Permettre la portabilité des données (les utilisateurs peuvent demander une copie de leurs données dans un format lisible)
- Respecter le droit à l’effacement (« droit à l’oubli »)
- Documenter toutes vos politiques et pratiques en matière de données personnelles
Ces obligations peuvent paraître complexes, mais elles sont essentielles pour éviter des sanctions importantes.
Quelles sont les conséquences en cas de non-conformité ?
Les amendes prévues par la Loi 25 sont parmi les plus élevées au Canada :
- Jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial pour les cas graves
- Dommages moraux ou punitifs possibles en cas d’action collective
La CAI (Commission d’accès à l’information du Québec) a déjà commencé à mener des vérifications. Il ne s’agit plus de se préparer à la loi : elle s’applique déjà.
Que doivent faire les PME d’ici 2025 ?
Voici un plan d’action simple pour amorcer votre conformité :
- Nommer une personne responsable officiellement
- Faire l’inventaire des données personnelles que vous recueillez et conservez
- Mettre à jour vos politiques de confidentialité (site web, RH, ventes, etc.)
- Réviser vos ententes avec fournisseurs et sous-traitants (inclure des clauses sur la protection des données)
- Former vos employés sur les bonnes pratiques en matière de données personnelles
- Mettre en place une procédure en cas d’incident (fuite de données, courriel mal envoyé, etc.)
- Conserver une documentation claire en cas de vérification par la CAI (Commission d’accès à l’information du Québec)
Besoin d’un accompagnement pour la loi 25 ? Contactez-nous.
