Publié le 26 août 2026
Loi 25 : ce qu'un dirigeant de PME doit avoir en place
La Loi 25 n'est pas une loi de plus pour les grandes entreprises : elle s'applique dès que votre entreprise recueille des renseignements personnels sur des personnes qui résident au Québec — clients, employés, candidats. La taille de l'entreprise ne change rien, et le siège social non plus : la loi suit la personne, pas l'adresse de votre bureau.
Ses obligations sont entrées en vigueur par vagues entre 2022 et 2024. Elles sont toutes en application aujourd'hui. Voici ce qu'un dirigeant doit concrètement avoir en place, dans l'ordre où on le vérifie en mandat.
Un responsable de la protection des renseignements personnels
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise — le président ou la présidente — qui porte ce rôle. Il peut être délégué par écrit à quelqu'un d'autre, à l'interne ou à l'externe. Dans les deux cas, le titre et les coordonnées du responsable doivent être publiés, normalement sur votre site web.
C'est la première chose qu'on regarde : si personne ne porte officiellement le dossier, rien d'autre ne suit.
Une politique de confidentialité publiée, et vraie
La politique doit dire, en termes simples, quels renseignements vous recueillez, pourquoi, qui y a accès, où ils sont hébergés et combien de temps vous les gardez. Elle doit être diffusée — sur le site, au moment de la collecte — et surtout correspondre à la réalité : une politique qui promet « aucun partage » pendant qu'un traceur publicitaire tourne sur le site est pire que pas de politique du tout.
Un registre des incidents de confidentialité
Tout incident impliquant des renseignements personnels — fuite, accès non autorisé, perte — doit être consigné dans un registre interne. Si l'incident présente un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information (CAI) et les personnes concernées.
Le registre s'ouvre avant l'incident, pas après : le jour où quelque chose arrive, ce n'est pas le moment d'inventer le processus.
Un consentement qui se tient
Le consentement doit être manifeste, libre, éclairé, et donné à des fins précises — demandé en termes simples et clairs, séparément de toute autre information. Une case précochée ou un consentement noyé dans des conditions d'utilisation ne passe pas. Pour un formulaire web, la vérification doit se faire côté serveur : un attribut « requis » dans le navigateur se contourne.
Des évaluations avant les projets, pas après
La loi exige une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant tout projet d'acquisition, de développement ou de refonte d'un système d'information qui touche des renseignements personnels — et avant de communiquer des renseignements personnels à l'extérieur du Québec.
Ce dernier point surprend souvent : utiliser un outil infonuagique hébergé aux États-Unis, c'est communiquer hors Québec. On y consacre un article complet.
Lire : Où vivent vos données quand vous utilisez un outil d'IACe qui s'est ajouté en 2024 : la portabilité
Depuis septembre 2024, une personne peut exiger de recevoir les renseignements personnels informatisés que vous détenez sur elle dans un format technologique structuré et couramment utilisé. Concrètement : si un client vous le demande, il faut pouvoir exporter ses données proprement, pas lui envoyer une capture d'écran.
Par où commencer
Si rien de tout ça n'est en place, l'ordre qui fonctionne : faire l'inventaire des renseignements personnels que vous détenez déjà (vous en avez plus que vous pensez), désigner le responsable, écrire la politique, ouvrir le registre. Le reste — évaluations, portabilité — se traite projet par projet.
Les sanctions prévues par la loi sont substantielles, mais ce n'est pas le vrai argument : vos clients confient leurs renseignements à votre entreprise, et la conformité est un état vérifiable qu'on peut leur montrer — pas une promesse.
Sources
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) — LégisQuébec
- Commission d'accès à l'information du Québec
Cet article résume notre lecture de la loi au moment de sa publication. Il ne remplace pas un avis juridique : pour votre situation précise, consultez un conseiller.