Loading...
La Loi 25 a réécrit par étapes, de 2022 à 2024, les règles québécoises de protection des renseignements personnels dans le secteur privé. Voici ce que la loi exige réellement, ce que la non-conformité peut coûter et une liste d'actions priorisées pour les PME.
Si votre organisation fait affaire au Québec et détient des renseignements personnels — sur des clients, des employés, des prospects ou des fournisseurs —, la Loi 25 s'applique à vous, que vous ayez 5 ou 5 000 employés. Ce guide explique ce qu'est la loi, ce qu'elle exige et les gestes concrets que la plupart des PME doivent encore poser. Il s'agit d'information générale et non d'un avis juridique ; des liens vers le texte de loi et les guides de la Commission d'accès à l'information (CAI) figurent tout au long de l'article.
« Loi 25 » est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, chapitre 25 des Lois du Québec de 2021 — d'où son nom. Déposée sous le nom de projet de loi 64, elle a été adoptée le 21 septembre 2021 et sanctionnée le 22 septembre 2021. Plutôt que de créer une nouvelle loi, elle a réécrit les lois québécoises existantes, principalement la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), soit la loi que les entreprises privées doivent concrètement respecter. Les numéros d'articles ci-dessous renvoient à cette loi.
L'organisme de surveillance est la Commission d'accès à l'information du Québec (CAI). Elle peut enquêter de sa propre initiative ou à la suite d'une plainte, dépêcher des inspecteurs, rendre des ordonnances, imposer des sanctions administratives pécuniaires et intenter des poursuites pénales.
Les obligations sont arrivées en trois grandes vagues, à un an d'intervalle :
Tout est maintenant en vigueur. Le règlement sur l'anonymisation prévu par la loi s'applique depuis le 30 mai 2024. En date d'octobre 2026, les obligations et les sanctions n'ont pas été modifiées depuis 2023, même si le rapport quinquennal de la CAI de juin 2026 propose d'autres changements.
Voici les obligations les plus importantes pour une entreprise type.
Par défaut, il s'agit de la personne ayant la plus haute autorité au sein de votre organisation — le chef de la direction ou le propriétaire. La fonction peut être déléguée par écrit, en tout ou en partie, à toute personne. Le titre et les coordonnées du responsable doivent être publiés sur votre site Web ou, si vous n'en avez pas, rendus accessibles par tout autre moyen approprié.
Vous devez établir et mettre en œuvre des politiques et des pratiques encadrant les renseignements personnels tout au long de leur cycle de vie : les rôles et les responsabilités de votre personnel, un processus de traitement des plaintes et un cadre de conservation et de destruction. Elles doivent être proportionnées à la nature et à l'importance de vos activités et approuvées par le responsable, et une information détaillée à leur sujet doit être publiée en termes simples et clairs sur votre site Web.
Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels, et le responsable doit être consulté dès le début du projet. Une EFVP est aussi requise avant de communiquer des renseignements personnels à l'extérieur du Québec — y compris lorsque vous en confiez le stockage ou le traitement à un fournisseur situé hors de la province. L'évaluation doit tenir compte de la sensibilité des renseignements, des fins, des mesures de protection (y compris contractuelles) et du régime juridique de la destination ; la communication ne peut avoir lieu que si les renseignements bénéficient d'une protection adéquate, et elle doit faire l'objet d'une entente écrite. Pour la CAI, « à l'extérieur du Québec » inclut les autres provinces canadiennes, et pas seulement les autres pays.
Lorsque vous recueillez des renseignements personnels, vous devez informer la personne, en termes simples et clairs, des fins, des moyens de collecte, de ses droits d'accès et de rectification, de son droit de retirer son consentement et, le cas échéant, du nom du tiers pour qui la collecte est faite, des personnes à qui il est nécessaire de communiquer les renseignements et de la possibilité qu'ils soient communiqués à l'extérieur du Québec. Si vous utilisez une technologie permettant d'identifier, de localiser ou de profiler une personne, vous devez l'en informer au préalable et lui indiquer comment activer ces fonctions. Si vous recueillez des renseignements personnels par un moyen technologique, vous devez publier sur votre site Web une politique de confidentialité rédigée en termes simples et clairs, ainsi que tout avis de modification.
Le consentement doit être manifeste, libre et éclairé, donné à des fins spécifiques et demandé pour chacune de ces fins, en termes simples et clairs. Une demande de consentement écrite doit être présentée distinctement de toute autre information. Lorsque le consentement est requis pour utiliser des renseignements sensibles — médicaux, biométriques ou autrement intimes, ou sensibles en raison de leur contexte — à une autre fin que celle de leur collecte, ou pour les communiquer à un tiers, ce consentement doit être manifesté de façon expresse. Les renseignements concernant un mineur de moins de 14 ans ne peuvent être recueillis auprès de lui sans le consentement du titulaire de l'autorité parentale ou du tuteur, sauf si la collecte est manifestement au bénéfice du mineur.
Si vous offrez au public un produit ou un service technologique disposant de paramètres de confidentialité, ceux-ci doivent assurer par défaut le plus haut niveau de confidentialité, sans aucune intervention de l'utilisateur. Les paramètres des témoins de connexion du navigateur sont expressément exclus de cette règle — mais l'obligation d'informer les personnes des technologies d'identification, de localisation et de profilage demeure.
Si vous rendez une décision concernant une personne en vous fondant exclusivement sur un traitement automatisé — une décision de crédit, un tri de candidatures, une règle de tarification —, vous devez l'en informer au plus tard au moment de lui communiquer la décision. Sur demande, vous devez lui indiquer les renseignements personnels utilisés, les raisons ainsi que les principaux facteurs et paramètres ayant mené à la décision, et son droit de faire rectifier ces renseignements ; elle doit aussi pouvoir présenter ses observations à un membre de votre personnel en mesure de réviser la décision.
Lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, vous devez le détruire ou, pour l'utiliser à des fins sérieuses et légitimes, l'anonymiser, sous réserve d'un délai de conservation prévu par une loi. Un renseignement est anonymisé lorsqu'il est, en tout temps, raisonnable de prévoir dans les circonstances qu'il ne permet plus, de façon irréversible, d'identifier directement ou indirectement la personne. Le règlement sur l'anonymisation en vigueur depuis le 30 mai 2024 en fixe la méthode : des fins établies, la supervision par une personne qualifiée, une analyse des risques de réidentification, une réévaluation périodique et un registre.
Les personnes ont un droit d'accès aux renseignements personnels que vous détenez à leur sujet. Depuis le 22 septembre 2024, elles peuvent aussi demander que les renseignements informatisés recueillis auprès d'elles — et non ceux que vous avez créés ou déduits — leur soient communiqués, ou soient transmis à une autre personne ou à un organisme autorisé par la loi à les recueillir, dans un format technologique structuré et couramment utilisé, sauf si cela soulève des difficultés pratiques sérieuses.
Un incident de confidentialité est tout accès, toute utilisation ou toute communication non autorisés de renseignements personnels, leur perte ou toute autre atteinte à leur protection. Lorsqu'un incident survient, vous devez prendre les mesures raisonnables pour diminuer les risques de préjudice et éviter que de nouveaux incidents se produisent, et évaluer s'il présente un risque de préjudice sérieux, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité qu'ils soient utilisés à des fins préjudiciables. Si c'est le cas, vous devez aviser la CAI avec diligence, ainsi que les personnes concernées. Chaque incident — qu'il présente ou non un risque de préjudice sérieux — doit être consigné dans un registre tenu à jour, dont chaque inscription est conservée au moins cinq ans après la prise de connaissance de l'incident. Vous demeurez responsable même lorsqu'un fournisseur détient les données. La CAI met à disposition un formulaire de déclaration d'incident en ligne et, depuis janvier 2026, un guide et une liste de contrôle de prévention des incidents pour les entreprises.
La loi ne prescrit aucune technologie précise. Elle exige des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. En pratique, c'est là que se trouve l'essentiel du travail d'ingénierie : contrôle des accès et authentification multifacteur, chiffrement, sauvegardes, détection et réponse aux terminaux (EDR), journalisation et contrats avec vos fournisseurs.
Vérifier ou confirmer l'identité d'une personne au moyen de la biométrie exige son consentement exprès et une divulgation préalable à la CAI, que vous constituiez ou non une banque de données. La création d'une banque de caractéristiques ou de mesures biométriques doit être divulguée à la CAI au moins 60 jours avant sa mise en service. En février 2025, dans la première ordonnance rendue en vertu de l'article 45, la CAI a interdit à Metro inc. de mettre en service une banque de données de reconnaissance faciale, faute du consentement exprès qu'exige l'article 44 pour vérifier l'identité au moyen de la biométrie. Metro a contesté cette décision devant la Cour du Québec.
La CAI est active : elle a reçu 514 avis d'incidents de confidentialité en 2024-2025, une hausse de 16 % par rapport à l'année précédente, dont 80 % provenant du secteur privé. Les mesures d'application que la CAI a rendues publiques jusqu'ici sont des enquêtes et des ordonnances, comme la décision visant Metro — mais ses pouvoirs de sanction sont pleinement en vigueur.
Voici l'ordre que nous recommandons à une entreprise qui part de peu ou de rien. Les points 1 à 5 comblent les écarts visibles de l'extérieur, souvent les premiers qu'examinent la CAI, les assureurs et les clients ; les points 6 à 10 prennent plus de temps et dépendent de la façon dont vous traitez les données.
La conformité ne tient que lorsque les politiques, les contrôles techniques et les opérations quotidiennes disent la même chose. Le service Conformité et vie privée de WeduLabs couvre les analyses d'écarts et les EFVP liées à la Loi 25, la documentation de gouvernance et de gestion des incidents, et les contrôles de sécurité qui appuient le tout — mis en œuvre par les ingénieurs qui exploitent vos systèmes. Si vous souhaitez un second regard sur votre situation, contactez-nous et un ingénieur vous répondra.
Cet article présente de l'information générale sur le droit québécois en date du 29 octobre 2026. Il ne constitue pas un avis juridique. Pour un avis adapté à votre situation, consultez un avocat membre du Barreau du Québec.
Les systèmes IA ne sont pas de simples outils — ce sont des surfaces d'attaque. Comprendre l'injection de prompts, l'exfiltration de données et l'accès à moindre privilège pour l'IA est désormais une exigence commerciale fondamentale.
De NIS2 et DORA aux attaques propulsées par l'IA et à l'adoption du Zero Trust, les forces qui transforment la cybersécurité exigent une réponse stratégique. Voici ce que les dirigeants informatiques britanniques doivent savoir.
Découvrez comment implémenter les principes de sécurité Zero Trust dans votre organisation, de la vérification d'identité à la micro-segmentation.
Nos ingénieurs sont disponibles pour une consultation gratuite. Pas de discours commercial — juste une conversation technique honnête.