Loi 25 pour les PME : Pourquoi maintenant

Si votre PME est établie au Québec ou dessert des clients québécois, la Loi 25 s’applique à vous — et les principales obligations sont déjà en vigueur. Les amendes atteignent 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Voici l’essentiel pour une équipe TI d’une à trois personnes.

La gestion des données personnelles n’est plus une simple question de bonnes pratiques informatiques : c’est devenu un impératif légal de premier plan. En tant qu’administrateur TI au sein d’une PME québécoise — ou d’une entreprise desservant des clients au Québec — la mise en conformité est désormais au cœur de vos opérations.

La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a pour objectif principal d’offrir un meilleur contrôle aux citoyens sur leurs renseignements personnels. Elle modernise la Loi sur la protection des renseignements personnels dans le secteur privé pour l’adapter à la réalité technologique d’aujourd’hui. Le Québec se positionne ainsi comme précurseur au Canada, en transposant plusieurs éléments inspirés du régime européen (le RGPD) à l’environnement québécois.

Cet article couvre ce qu’un admin TI de PME doit savoir : l’exposition financière, le calendrier d’application par phases, les obligations organisationnelles clés, les droits des personnes à honorer, l’horloge de 72 heures en cas d’incident, trois pièges fréquents, et une feuille de route sur 90 jours.

Pourquoi une PME doit s’en soucier : amendes et droit d’action

Les conséquences d’une non-conformité peuvent menacer la survie d’une PME. La Commission d’accès à l’information du Québec (CAI) dispose désormais de pouvoirs coercitifs importants, sur deux paliers :

• Amendes administratives maximales (sanctions administratives pécuniaires, SAP) : jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial de l’entreprise.
• Sanctions pénales : la Cour du Québec peut imposer des amendes allant jusqu’à 25 000 000 $ ou 4 % du chiffre d’affaires mondial.

De plus, les individus disposent d’un droit privé d’action leur permettant de réclamer des dommages-intérêts punitifs en cas d’atteinte intentionnelle ou résultant d’une faute lourde. Pour une petite entreprise, une seule infraction grave est un événement existentiel, pas une simple ligne comptable.

Le calendrier d’application par phases

L’adoption de la Loi 25 prévoit une entrée en vigueur graduelle. Les principales obligations sont déjà en vigueur depuis 2022, 2023 et 2024.

Phase 1 — 22 septembre 2022 (en vigueur). Obligation de désigner un responsable de la protection des renseignements personnels. Obligation de tenir un registre des incidents de confidentialité et de notifier la CAI ainsi que les personnes concernées en cas de risque de préjudice sérieux.

Phase 2 — 22 septembre 2023 (en vigueur). Adoption et publication des politiques de gouvernance sur le site Web de l’entreprise. Nouvelles règles pour le consentement (qui doit être manifeste, libre et éclairé). Obligation de réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant de transférer des données hors Québec. Mise en place des processus de destruction, d’anonymisation et du droit à la désindexation.

Phase 3 — 22 septembre 2024 (en vigueur). Mise en œuvre du droit à la portabilité des données, permettant aux individus de recevoir leurs données dans un format technologique structuré.

Les obligations organisationnelles clés

Nommer un responsable de la protection des renseignements personnels

En vertu de l’article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, la personne ayant la plus haute autorité au sein de l’organisation a la responsabilité de veiller au respect et à la mise en œuvre de la loi. Elle exerce la fonction de « responsable de la protection des renseignements personnels ». Cette fonction peut être déléguée par écrit, en tout ou en partie, à un autre membre du personnel. Le titre et les coordonnées de ce responsable doivent être publiés sur le site Web de l’entreprise.

Pour une PME, c’est souvent le propriétaire-dirigeant qui assume d’abord ce rôle, puis le délègue formellement par écrit à un admin TI ou à un responsable des opérations. La délégation écrite est ce qui rend la responsabilité exécutable et auditable.

Transparence et consentement

Le consentement demeure la pierre angulaire de la collecte de données. Selon les articles 4 et suivants, le consentement doit être demandé en termes simples et clairs, de façon distincte de toute autre information, et pour des fins spécifiques. Lorsqu’une PME traite des renseignements personnels sensibles — informations médicales, numéro d’assurance sociale — le consentement doit être manifesté de façon expresse, par exemple en cochant une case de façon positive (opt-in). Un consentement pré-coché ou implicite ne suffit pas pour les données sensibles.

L’évaluation des facteurs relatifs à la vie privée (EFVP)

L’EFVP est une démarche préventive obligatoire lors de tout projet d’acquisition, de développement ou de refonte de système d’information impliquant des renseignements personnels. De plus, selon l’article 17, une EFVP est exigée avant de communiquer des données à l’extérieur du Québec. Elle doit évaluer :

• la sensibilité des renseignements personnels ;
• la finalité de leur utilisation ;
• les mesures de protection associées ;
• le régime juridique de l’endroit où les données sont transférées.

L’anonymisation et la destruction

Lorsque les renseignements ne servent plus à leur finalité initiale et que la période de conservation légale est échue, ils doivent être détruits ou anonymisés. Attention : pour être qualifiée d’anonymisation au sens de la loi, le procédé technique doit être irréversible et ne plus jamais permettre d’identifier la personne, directement ou indirectement. Une pseudonymisation réversible n’est pas une anonymisation.

Les droits des personnes concernées

La Loi 25 donne de nouveaux leviers aux citoyens pour contrôler leurs informations, que votre PME doit être prête à honorer :

• Accès et rectification — les individus ont le droit d’être informés du traitement de leurs données et de demander des rectifications via un processus de plainte simple et clair, publié sur votre site Web.
• Oubli et désindexation — selon l’article 28.1, une personne peut exiger que vous cessiez la diffusion de ses renseignements ou que vous désindexiez tout hyperlien rattaché à son nom si cela lui cause un préjudice grave, sous réserve de certaines conditions (intérêt public, personne mineure, exactitude des données). Le responsable doit fournir une attestation écrite confirmant la désindexation.
• Portabilité — en vertu de l’article 27, les PME doivent confirmer l’existence de renseignements informatisés et les communiquer à la personne concernée, sur demande, dans un format technologique structuré et couramment utilisé (CSV, JSON, XML).
• Décisions fondées sur l’automatisation / le profilage — les PME doivent documenter et répertorier toutes les situations où elles utilisent des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé, et pouvoir expliquer les raisons, facteurs et paramètres ayant mené à cette décision.

La Loi 25 exige que ces requêtes soient traitées dans un délai raisonnable. À la différence du RGPD européen qui fixe un délai formel d’un mois, la Loi 25 n’énonce pas de nombre de jours précis — mais « délai raisonnable » signifie disposer d’un processus interne prêt à répondre, pas improviser à la première demande.

<!– block-cluster-cta –>

Notification d’un incident de confidentialité : l’horloge de 72 heures

La gestion des incidents est strictement encadrée par les articles 3.5 à 3.8 de la Loi sur la protection des renseignements personnels dans le secteur privé. Un incident de confidentialité englobe l’accès, l’utilisation ou la communication non autorisée de renseignements personnels, ainsi que leur perte.

• Le registre obligatoire — toute PME doit tenir à jour un registre de tous les incidents de confidentialité. La CAI peut exiger de consulter ce registre à tout moment.
• La notification (CAI et personnes concernées) — si l’incident présente un risque de préjudice sérieux (vol d’identité, atteinte au dossier de crédit ou à la réputation), l’entreprise a l’obligation légale d’aviser la CAI ainsi que les personnes touchées.
• Le délai — le signalement et l’investigation doivent se faire de manière critique ; une mention spécifique souligne un délai de 72 heures pour réagir aux incidents de confidentialité.

Un point crucial : un « incident » n’est pas seulement un piratage majeur. La perte d’une clé USB non chiffrée ou l’envoi d’un courriel contenant des informations personnelles à la mauvaise adresse constituent des incidents de confidentialité à consigner.

Trois pièges à éviter

1. Rédiger des politiques sans faire l’inventaire des données. Beaucoup d’entreprises créent des politiques de confidentialité « génériques » sans savoir où se trouvent réellement leurs données. La solution : dressez d’abord une cartographie complète. Identifiez où sont les données (serveurs, TI, infonuagique, fournisseurs externes), qui y a accès, et détruisez sans délai l’information qui n’est plus requise pour les opérations.
2. Confondre « suppression » et « anonymisation irréversible ». Effacer le nom d’un client dans une base de données ne suffit pas à l’anonymiser. La loi exige que l’anonymisation soit permanente et que personne ne puisse identifier l’individu, directement ou indirectement. Privilégiez des pratiques reconnues utilisant la cryptographie robuste, ou faites affaire avec un tiers compétent en la matière.
3. Ne pas journaliser tous les incidents de confidentialité. Croire que seuls les ransomwares majeurs doivent être consignés est une erreur. Intégrez un gabarit simple (tableau ou chiffrier) pour capturer les détails de chaque anomalie, et documentez rigoureusement votre évaluation du « risque de préjudice sérieux » avec votre équipe légale pour justifier si une notification externe est requise ou non.

Vos 90 premiers jours

Un admin TI peut structurer la conformité Loi 25 en un plan phasé sur 90 jours :

Phase 1 — Les fondations de gouvernance (jours 1 à 30). La haute direction assume ou délègue formellement par écrit le rôle de responsable de la protection des renseignements personnels. Affichez immédiatement le titre et les coordonnées de cette personne sur votre site Web. Mettez en place le registre des incidents de confidentialité et définissez une échelle de sévérité pour évaluer les préjudices sérieux.

Phase 2 — Cartographie et politiques (jours 31 à 60). Réalisez l’inventaire des renseignements collectés, de leurs lieux de stockage (à l’interne comme chez les sous-traitants tiers) et des contrôles d’accès actuels. Sur la base de cet inventaire, rédigez des politiques claires concernant la collecte, l’utilisation, la conservation et la destruction des données. Adaptez vos formulaires (physiques et en ligne) pour que les consentements soient demandés de façon distincte, claire, et nécessitent une action positive (opt-in).

Phase 3 — Opérationnalisation et droits des utilisateurs (jours 61 à 90). Déployez une formation obligatoire pour tous les employés afin qu’ils comprennent le cycle de vie des données et sachent identifier un incident. Mettez en place un modèle documenté d’EFVP pour chaque nouveau projet TI ou transfert de données hors Québec. Élaborez et publiez votre processus de traitement des plaintes, assurez-vous d’avoir les outils pour extraire des données au format JSON/CSV pour la portabilité, et documentez vos processus de désindexation et d’anonymisation.

CTA

La conformité Loi 25 pour une PME n’est pas un labyrinthe juridique. C’est nommer un responsable, publier ses coordonnées, tenir un registre d’incidents et bâtir une réponse en 72 heures. Réservez un démarrage de programme Loi 25 de 45 minutes — bilingue FR/EN, sans engagement — ou téléchargez la checklist de démarrage Loi 25 pour PME.

Sources

• Guide Cybereco sur la Loi 25 (FR, source primaire) — définition et objet de la Loi 25, inspiration RGPD, structure d’amendes à deux paliers (SAP 10 M$/2 % + sanctions pénales 25 M$/4 % + droit privé d’action punitif), calendrier par phases 22 sept. 2022/2023/2024 avec obligations par phase, art. 3.1 responsable de la protection des RP et délégation écrite, consentement art. 4+ (manifeste/libre/éclairé, opt-in pour sensible), EFVP art. 17 avant transfert hors Québec et critères d’évaluation, anonymisation irréversible, droits art. 27 (portabilité) et art. 28.1 (désindexation), décisions automatisées, incidents art. 3.5-3.8 (registre + notification CAI/personnes si préjudice sérieux), trois pièges et plan sur 90 jours.
• Article cluster : incidents de confidentialité — délai de 72 h — le délai de 72 heures pour réagir aux incidents de confidentialité (notification à la CAI et aux personnes).
• Résumé pratique consolidé du RGPD (EPSU, parallèle européen) — utilisé uniquement comme comparateur : le délai de réponse formel d’un mois du RGPD et la notification à l’autorité dans les 72 heures, pour situer la Loi 25 par rapport au régime européen.