Loi 25 et RGPD : parallélisme et programme conjoint pour une PME

La Loi 25 s’est inspirée du RGPD. Les deux régimes partagent un responsable de la protection, une analyse d’impact, un registre d’incidents, et un droit à la portabilité. Une PME québécoise qui traite des données de personnes européennes — clients UE, employés UE — est soumise aux deux, et court le risque de tenir deux programmes parallèles. Les artefacts se fusionnent ; les écarts s’isolent.

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25) modernise le cadre québécois en transposant plusieurs éléments déjà présents au régime européen (RGPD). Pour une PME soumise aux deux — toute organisation québécoise qui traite des données personnelles de personnes concernées par le RGPD — la duplication est évitable. Le contenu ci-dessous est ancré dans le guide primaire Cybereco sur la Loi 25 et le résumé canonique du RGPD ; confirmez les libellés exacts contre les textes officiels (CAI / LégisQuébec pour la Loi 25 ; EUR-Lex pour le RGPD).

Pourquoi une PME se retrouve avec les deux

La Loi 25 s’applique à toute organisation du secteur privé qui détient des renseignements personnels au Québec — clients et employés québécois. Le RGPD s’applique dès qu’une organisation traite des données personnelles de personnes concernées par le RGPD — ce qui inclut, pour une PME québécoise, tout client ou employé situé dans l’UE, ou tout traitement offert à des personnes dans l’UE (article 3 du RGPD). Une PME qui vend à l’Europe, qui emploie du personnel européen, ou qui opère un site accessible et marketed to l’UE est soumise aux deux. La correction est un programme conjoint, non deux pistes séparées.

La correspondance concept par concept

Les écarts qui ne se fusionnent pas

• **L’horloge de notification.** Le RGPD impose 72 heures à l’autorité ; la Loi 25 impose « au plus tôt » sans délai chiffré. La cible interne de 72 heures satisfait les deux — voir incidents de confidentialité — mais la règle RGPD est le plancher, pas celle de la Loi 25.
• **Le seuil de notification.** RGPD : risque pour les droits et libertés (art 33), puis haut risque pour la communication aux personnes (art 34). Loi 25 : risque de préjudice serieux, qui déclenche à la fois la notification à la CAI et aux personnes. Un incident peut déclencher la notification Loi 25 mais pas la notification RGPD, ou inversement ; l’évaluation est menée pour chaque régime.
• **L’autorité de contrôle.** RGPD : l’autorité de contrôle de l’État membre (ou le CEPDP au niveau UE). Loi 25 : la Commission d’accès à l’information du Québec (CAI). Deux destinataires de notification distincts.
• **Le champ d’application.** La Loi 25 suit les renseignements personnels détenus au Québec ; le RGPD suit les personnes concernées dans l’UE. Un même traitement peut relever d’un régime et pas de l’autre.
• **Le DPD obligatoire sous seuil (RGPD).** Le RGPD rend le DPD obligatoire pour certaines organisations (plus de 250 employés par défaut, ou traitement à risque). La Loi 25 rend le responsable obligatoire pour *toutes* les organisations sans seuil. La Loi 25 est donc le plancher — si vous devez nommer quelqu’un sous la Loi 25, et que le RGPD ne l’exige pas, la nomination tient pour les deux.

Le programme conjoint : un jeu d’artefacts partagés

1. Un titulaire de fonction unique. Le responsable de la protection des renseignements personnels (art 3.1) assume aussi le rôle de DPD RGPD. Une nomination, une page de coordonnées publiées, un point de contact. Voir responsable de la protection. 2. Un registre unifié. Le RoPA RGPD (art 30) et l’inventaire Loi 25 fusionnent en un registre unique — une ligne par activité de traitement, avec les colonnes des deux régimes (finalité, base légale RGPD, mesures de sécurité, destinataires, transferts, conservation). Voir RGPD article 30 RoPA. 3. Une analyse d’impact. L’EFVP Loi 25 et l’AIPD RGPD (art 35) sont menées comme une seule analyse, avec deux coupures de rapport. Voir modèle d’AIPD. 4. Un registre d’incidents et une procédure de réponse. Un registre d’incidents de confidentialité (Loi 25) qui est aussi le registre des fuites RGPD. Une procédure de réponse aux incidents qui déroule les deux chemins de notification (CAI + personnes si préjudice serieux ; autorité RGPD sous 72 h + personnes si haut risque). Voir incidents Loi 25 et droits des personnes et horloge 72 heures RGPD. 5. Un processus de traitement des demandes. Les droits d’accès, rectification, opposition, portabilité — présents dans les deux régimes — sont gérés par un processus unique couvrant l’ensemble des droits, quelle que soit la juridiction de la personne. 6. Une matrice de transferts. Chaque transfert hors Québec (EFVP) et hors UE (garanties appropriées RGPD) est évalué par destination. Une destination (par exemple, un hébergeur américain) déclenche l’EFVP Loi 25 et les Clauses contractuelles types RGPD — une évaluation, deux garanties documentées.

La cadence : aligner les années

Les deux régimes se prêtent à un battement annuel : rafraîchir le registre unifié, revoir les analyses d’impact pour les traitements à haut risque, tester la procédure de réponse aux incidents une fois par an (un tabletop qui exerce les deux chemins de notification), et revoir la matrice de transferts. Si l’organisation exploite aussi ISO 27001, ce battement s’aligne sur l’audit interne SMSI (clause 9.2) — un audit qui alimente la conformité Loi 25, RGPD, et ISO 27001. Voir l’implémentation conjointe RGPD / ISO 27001.

Comment cela s’intègre dans la série

C’est le pont à pilier croisé entre le pilier Loi 25 et le pilier RGPD. Il suppose que vous avez lu le responsable de la protection et les incidents de confidentialité côté Loi 25, et le RoPA article 30, les droits des personnes et l’horloge 72 heures, et l’AIPD côté RGPD. La checklist de démarrage Loi 25 peut être bâtie comme un sous-ensemble du programme conjoint.

Que faire ensuite

Si vous êtes soumis aux deux régimes, le premier geste est la table de correspondance ci-dessus, remplie avec vos traitements réels — une ligne par activité, avec les exigences Loi 25 et RGPD côte à côte. Nommez un titulaire de fonction unique. Fusionnez le registre Loi 25 et le RoPA RGPD en un registre unifié. Alignez la procédure de réponse aux incidents sur les deux chemins de notification, avec la cible interne de 72 heures. Le programme conjoint réduit deux pistes à une ; les écarts (autrité destinataire, seuil, horloge) s’isolent comme des branches d’une procédure commune.

Soumis à la Loi 25 et au RGPD et vous ne savez pas où les deux se chevauchent ? Réservez un **démarrage de programme Loi 25** de 45 minutes — nous bâtissons la table de correspondance pour vos traitements, fusionnons le registre et la procédure d’incidents, et définissons la cible de notification unifiée. Bilingue FR/EN, sans engagement.

→ /loi-25-starter/ · /contact · téléchargez la checklist de démarrage Loi 25 pour PME