La Loi 25 (officiellement « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels ») est une loi québécoise adoptée le 22 septembre 2021 qui transforme radicalement la façon dont les entreprises doivent gérer les données personnelles.
La Loi 25 oblige les entreprises québécoises à protéger les renseignements personnels qu’elles collectent, à être transparentes sur leur utilisation, et à donner aux citoyens un contrôle accru sur leurs données. C’est l’équivalent québécois du RGPD européen.
Avant la Loi 25, le cadre juridique québécois datait de 1994 — bien avant l’ère des réseaux sociaux, du commerce en ligne et de l’intelligence artificielle. La loi vise à :
- Protéger les citoyens contre l’utilisation abusive de leurs données
- Responsabiliser les entreprises sur les informations qu’elles détiennent
- Aligner le Québec sur les standards internationaux (RGPD, CCPA)
- Renforcer la confiance dans l’économie numérique
Un renseignement personnel est toute information qui permet d’identifier directement ou indirectement une personne :
Pratiquement toutes les entreprises au Québec. Si vous avez des clients, des employés ou des fournisseurs dont vous conservez les informations — vous êtes concerné.
- Les PME de toutes tailles et tous secteurs
- Les travailleurs autonomes et micro-entreprises
- Les OBNL et organisations à but non lucratif
- Les grandes entreprises
- Les entreprises hors Québec qui font affaire avec des résidents québécois
| Type d’entreprise | Données collectées | Concernée? |
|---|---|---|
| Boutique en ligne | Noms, adresses, historique d’achats | Oui |
| Cabinet comptable | Données fiscales, NAS, revenus | Oui |
| Restaurant avec réservations | Noms, téléphones, courriels | Oui |
| Consultant indépendant | Liste de contacts clients | Oui |
| Gym / Centre sportif | Informations membres, paiements | Oui |
22 septembre 2022
En vigueur- Désigner un responsable de la protection des renseignements personnels
- Signaler les incidents de confidentialité présentant un risque sérieux à la CAI
- Aviser les personnes touchées par un incident
- Nouvelles règles pour communiquer des renseignements sans consentement à des fins de recherche
22 septembre 2023
En vigueur- Établir des politiques et pratiques de gouvernance
- Publier une politique de confidentialité sur votre site web
- Tenir un registre des incidents de confidentialité (conservation 5 ans)
- Réaliser des évaluations des facteurs relatifs à la vie privée (ÉFVP)
- Obtenir un consentement explicite pour les données sensibles
- Encadrer les décisions automatisées
- Paramètres de confidentialité au plus haut niveau par défaut
- Déclarer les banques biométriques 60 jours avant leur mise en service
22 septembre 2024
Complet- Droit à la portabilité : fournir les données dans un format structuré (CSV, JSON, XML)
- Répondre aux demandes d’accès et de rectification en 30 jours maximum
- Droit à l’effacement (droit à l’oubli) et à la désindexation
- Consentement parental obligatoire pour les moins de 14 ans
Désigner un responsable
Vous devez nommer une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise (PDG, propriétaire), mais vous pouvez déléguer cette fonction.
📋 À faire
- Nommer officiellement le responsable (par écrit si délégation)
- Publier son titre et ses coordonnées sur votre site web
- S’assurer qu’il a les ressources pour exercer ses fonctions
Politique de confidentialité
Vous devez publier une politique de confidentialité rédigée en termes simples et clairs sur votre site web (ou la rendre disponible autrement si vous n’avez pas de site).
Contenu obligatoire :
- Nom de l’entreprise et coordonnées du responsable
- Types de renseignements collectés et finalités
- Moyens de collecte utilisés
- Droits des personnes (accès, rectification, retrait du consentement)
- Règles de conservation et de destruction des données
- Rôles et responsabilités du personnel
- Processus de traitement des plaintes
- Transferts hors Québec, le cas échéant
Consentement
Le consentement doit être :
- Libre : pas de case pré cochée, pas de consentement forcé
- Éclairé : la personne comprend à quoi elle consent
- Spécifique : demandé pour chaque finalité distincte
- Manifeste : une action claire (le silence n’est pas un consentement)
Pour les données sensibles (santé, biométrie, opinions politiques, orientation sexuelle), le consentement doit être explicite, donné expressément et non déduit.
Registre des incidents de confidentialité
Vous devez tenir un registre de tous les incidents de confidentialité, même ceux qui ne présentent pas de risque sérieux.
Qu’est ce qu’un incident :
- Accès non autorisé à des données (piratage, erreur humaine)
- Utilisation non autorisée de renseignements
- Communication non autorisée (envoi au mauvais destinataire)
- Perte de données (clé USB perdue, disque dur volé)
Le registre doit contenir :
- Description des renseignements visés
- Circonstances de l’incident
- Date de prise de connaissance
- Nombre de personnes touchées
- Mesures prises pour réduire les risques
- Notifications effectuées (CAI, personnes concernées)
Si l’incident présente un risque sérieux de préjudice, vous devez aviser la CAI et les personnes concernées avec diligence. Le registre doit être conservé 5 ans minimum.
Évaluation des facteurs relatifs à la vie privée (ÉFVP)
Une ÉFVP est obligatoire avant :
- Tout projet d’acquisition, développement ou refonte d’un système impliquant des données personnelles
- Toute communication de données hors Québec
- Toute communication sans consentement à des fins de recherche ou statistiques
Transferts hors Québec
Avant de transférer des données à l’extérieur du Québec (ex : serveurs aux États Unis, sous traitant en Europe), vous devez :
- Réaliser une ÉFVP
- Vérifier que le cadre juridique du pays offre une protection adéquate
- Conclure une entente écrite avec le destinataire
La Loi 25 prévoit des sanctions parmi les plus sévères au Canada. La CAI peut imposer des sanctions administratives, pénales et des poursuites civiles peuvent aussi s’ajouter.
Sanctions administratives pécuniaires
| Destinataire | Montant maximum |
|---|---|
| Entreprise | 10 millions $ ou 2 % du chiffre d’affaires mondial |
Sanctions pénales
| Destinataire | Montant |
|---|---|
| Personne physique | 5 000 $ à 100 000 $ |
| Entreprise | 15 000 $ à 25 millions $ ou 4 % du CA mondial |
| Récidive | Amendes doublées |
Dommages-intérêts
Les individus peuvent poursuivre l’entreprise pour atteinte à leur vie privée. Les dommages commencent à 1 000 $ par personne. En cas de recours collectif, les montants peuvent rapidement grimper.
La CAI adopte d’abord une approche pédagogique. Une entreprise qui démontre sa bonne foi et ses efforts de conformité pourrait voir ses sanctions allégées. L’important est de commencer les démarches.
Infractions courantes sanctionnées
- Collecter des données sans consentement valide
- Ne pas signaler un incident de confidentialité
- Refuser de répondre à une demande d’accès
- Ne pas avoir de politique de confidentialité
- Conserver des données plus longtemps que nécessaire
- Transférer des données hors Québec sans ÉFVP
La Loi 25 accorde plusieurs droits aux citoyens. Votre entreprise doit être en mesure d’y répondre :
Vous devez répondre aux demandes dans un délai de 30 jours. Ce délai peut être prolongé avec l’accord de la CAI, mais vous devez en informer le demandeur avant l’expiration du délai initial.
Décisions automatisées
Si vous utilisez des algorithmes ou de l’IA pour prendre des décisions concernant une personne (ex : approbation de crédit, tri de CV), vous devez :
- Informer la personne que la décision est automatisée
- Lui permettre de demander une révision humaine
- Expliquer les principaux facteurs ayant mené à la décision
Politique de confidentialité
- Doit être facilement accessible (lien en pied de page recommandé)
- Rédigée en langage clair et simple
- Doit informer des modifications lorsqu’elles surviennent
Bannière de consentement aux témoins (cookies)
La Loi 25 impose un régime opt in pour les cookies non essentiels.
- Les témoins non essentiels doivent être désactivés par défaut
- L’utilisateur doit pouvoir choisir quels types de cookies accepter
- Le bouton « Tout refuser » doit être aussi visible que « Tout accepter »
- L’utilisateur doit pouvoir modifier ses préférences à tout moment
- Google Analytics, Facebook Pixel, etc. : consentement requis
Coordonnées du responsable
Le titre et les coordonnées de votre responsable de la protection des renseignements personnels doivent être publiés sur votre site web.
Formulaires de collecte
- Informer l’utilisateur de la finalité de la collecte
- Indiquer si les données seront communiquées à des tiers
- Obtenir un consentement distinct pour chaque finalité
- Pas de case pré cochée pour l’infolettre ou le marketing
Notre diagnostic gratuit pour votre site web évalue votre situation en quelques minutes et vous indique par où commencer.
- Responsable désigné : une personne est officiellement responsable de la protection des renseignements personnels
- Coordonnées publiées : le titre et les coordonnées du responsable sont affichés sur votre site web
- Politique de confidentialité : publiée sur votre site, rédigée en langage clair
- Inventaire des données : vous savez quelles données vous collectez, pourquoi et où elles sont stockées
- Consentement explicite : obtenu avant toute collecte de données
- Bannière cookies : conforme, avec option de refus visible et cookies non essentiels désactivés par défaut
- Formulaires conformes : finalités expliquées clairement, aucune case pré cochée
- Données sensibles : consentement explicite pour santé, biométrie et autres données sensibles
- Registre des incidents : un registre est prêt à être utilisé
- Procédure de signalement : vous savez comment aviser la CAI et les personnes touchées
- Plan de réponse : un plan est en place en cas d’incident
- Processus d’accès : réponse possible aux demandes d’accès en 30 jours
- Processus de rectification : correction des renseignements sur demande
- Portabilité : données fournies en format structuré (CSV, JSON)
- Politiques internes : règles documentées pour la collecte, conservation et destruction
- Formation : l’équipe connaît ses obligations
- ÉFVP : vous savez quand et comment la réaliser
- Transferts hors Québec : évalués et encadrés par contrat
Vous avez des questions? Contactez-moi