La Loi 25 s’applique à toutes les entreprises du Québec qui recueillent des renseignements personnels, peu importe leur taille. Depuis septembre 2024, toutes ses obligations sont en vigueur. Les points essentiels : nommer un responsable, publier vos politiques, gérer les incidents et protéger les données avec des mesures de sécurité raisonnables.
Ce guide vulgarise la loi et les publications de la Commission d’accès à l’information (CAI). Il ne remplace pas un avis juridique.
Les trois étapes d’entrée en vigueur
| Date | Ce qui est entré en vigueur |
|---|---|
| 22 septembre 2022 | Responsable de la protection des renseignements personnels; gestion, déclaration et registre des incidents de confidentialité |
| 22 septembre 2023 | Politiques de gouvernance, évaluations des facteurs relatifs à la vie privée (EFVP), consentement et transparence, technologies de suivi, transferts hors Québec, destruction et anonymisation, sanctions |
| 22 septembre 2024 | Droit à la portabilité des données |
Vos obligations principales
- Un responsable désigné. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise. Elle peut déléguer par écrit. Son titre et ses coordonnées doivent être publiés sur votre site web (art. 3.1).
- Des politiques publiées. Conservation, destruction, rôles et traitement des plaintes, expliqués en termes simples (art. 3.2).
- Les incidents de confidentialité. Réduire le préjudice, tenir un registre de tous les incidents (conservé au moins 5 ans), et aviser la CAI et les personnes touchées s’il y a un risque de préjudice sérieux (art. 3.5 à 3.8).
- Les EFVP. Obligatoires pour tout projet de système d’information ou de service électronique, et avant tout transfert de renseignements hors Québec, y compris vers un service infonuagique (art. 3.3 et 17).
- Le consentement. Il doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé pour chaque fin (art. 14).
- Les technologies de suivi. Si un outil peut identifier, localiser ou profiler une personne, vous devez l’en informer, et la CAI indique que ces fonctions ne doivent pas être activées par défaut (art. 8.1). Pour les témoins (cookies) d’analyse, les juristes ne s’entendent pas encore : demander le consentement est la pratique prudente.
- La portabilité. Sur demande, remettre les renseignements qu’une personne vous a fournis dans un format structuré et courant (art. 27).
- La destruction. Détruire ou anonymiser les renseignements quand ils ne servent plus, sous réserve des délais légaux (art. 23).
Les sanctions, et ce qui se passe vraiment
| Type | Maximum pour une entreprise |
|---|---|
| Sanction administrative (CAI) | 10 M$ ou 2 % du chiffre d’affaires mondial, le plus élevé |
| Amende pénale | 25 M$ ou 4 % du chiffre d’affaires mondial, le plus élevé (doublée en récidive) |
| Dommages punitifs (poursuite civile) | Au moins 1 000 $ si la faute est intentionnelle ou lourde |
Ces maximums font peur, mais voici les faits. À notre connaissance, en octobre 2026, la CAI n’a publié aucune sanction pécuniaire contre une entreprise nommée. Selon le cadre de la CAI, les montants de base vont de 1 000 $ à 15 000 $ selon la gravité. En 2024-2025, la CAI a reçu 514 déclarations d’incidents et 549 plaintes. Méfiez-vous des « cas réels » d’amendes qui circulent sur certains sites : nous n’avons pu en vérifier aucun.
Le vrai risque pour une PME n’est pas l’amende maximale. C’est l’incident lui-même, puis l’obligation d’aviser vos clients.
La sécurité exigée
La loi demande des mesures de sécurité « raisonnables », adaptées à la sensibilité des renseignements (art. 10). Le guide de la CAI sur la prévention des incidents (janvier 2026) donne des exemples concrets :
- accès limités au strict nécessaire, avec journalisation;
- mots de passe forts et identification robuste;
- chiffrement des données, des communications et des appareils mobiles;
- pare-feu et mises à jour systématiques;
- formation du personnel;
- tests d’intrusion et de vulnérabilité;
- un plan d’intervention en cas d’incident.
La CAI rappelle qu’un incident est « fort probable » : il faut s’y préparer, pas l’espérer.
Votre liste de 12 actions
- Confirmer ou déléguer par écrit le responsable, et publier son titre et ses coordonnées sur le site.
- Adopter et publier vos politiques de gouvernance.
- Faire l’inventaire des renseignements personnels détenus et de leur sensibilité.
- Publier une politique de confidentialité claire et informer les gens au moment de la collecte.
- Revoir vos formulaires : un consentement par fin, consentement exprès pour les renseignements sensibles.
- Vérifier les témoins et outils de suivi de votre site.
- Faire une EFVP pour tout nouveau système et tout transfert hors Québec, incluant l’infonuagique.
- Ajouter des clauses de confidentialité aux contrats avec vos fournisseurs, y compris votre fournisseur TI.
- Mettre en place des mesures de sécurité raisonnables : accès, authentification, chiffrement, mises à jour, formation, tests.
- Écrire un plan d’intervention, tenir un registre des incidents et prévoir la déclaration à la CAI.
- Fixer des délais de conservation et une méthode de destruction sécuritaire.
- Être prêt à répondre aux demandes d’accès et de portabilité.
L’avantage UpSystems : la partie technique de la Loi 25
Les points 3, 9 et 10 sont techniques, et ce sont souvent ceux qui bloquent les PME. C’est notre métier.
- Audit de sécurité (300 $ à 2 500 $, 1 à 2 jours). On vérifie vos accès, vos sauvegardes et vos configurations, et vous recevez un plan de correction documenté.
- Test d’intrusion (dès 4 000 $). La preuve que vos mesures tiennent, avec un rapport en français que vous pouvez montrer à la CAI, à votre assureur ou à vos clients.
- Services gérés (dès 25 $ par utilisateur par mois). Mises à jour, surveillance et, en option, protection avancée des postes, surveillance 24/7 et formation anti-hameçonnage.
- On applique la loi chez nous aussi. Notre propre politique de confidentialité conforme à la Loi 25 est publiée sur notre site.
Pour la partie juridique (politiques, contrats, consentement), on travaille avec votre conseiller juridique. Réservez un appel de 30 minutes pour faire le point sur votre sécurité.
Questions fréquentes
La Loi 25 s’applique-t-elle aux petites entreprises?
Oui. La loi ne prévoit aucune exemption selon la taille.
Qui doit être responsable de la protection des renseignements personnels?
La personne ayant la plus haute autorité, sauf si elle délègue cette fonction par écrit.
Quelles sont les amendes de la Loi 25?
Jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial en sanction administrative, et 25 M$ ou 4 % en amende pénale. Aucune sanction pécuniaire contre une entreprise nommée n’a été publiée à ce jour.
Faut-il une bannière de témoins?
Les outils qui permettent d’identifier, de localiser ou de profiler doivent être désactivés par défaut. Pour les témoins d’analyse, l’interprétation varie; demander le consentement est la pratique prudente.
Que faire en cas d’incident de confidentialité?
Réduire le préjudice, l’inscrire au registre et, s’il y a un risque de préjudice sérieux, aviser la CAI avec son formulaire en ligne et les personnes touchées.
La Loi 25 oblige-t-elle à faire un test d’intrusion?
Non, mais la CAI le cite comme moyen de vérifier vos mesures de sécurité.