LPRPDE vs Loi 25 vs RGPD : la carte de conformité transfrontalière pour les PME

Si votre PME canadienne vend à des clients québécois et européens, trois régimes de confidentialité peuvent s’appliquer simultanément à la même base de données. Ils ne s’entendent pas sur l’horloge d’atteinte, sur le responsable à désigner, ni sur le délai de réponse à une demande d’accès. Voici la carte comparative, ancrée dans le texte des lois et règlements, pour construire un programme qui satisfait les trois.

Vous avez lu l’introduction à la LPRPDE pour les PME et l’analyse approfondie LPRPDE : consentement et finalité. Cet article transversal est la carte pour les PME qui franchissent les frontières. Une entreprise SaaS québécoise avec des clients européens peut être assujettie à la LPRPDE (activité commerciale fédérale), à la Loi 25 (secteur privé québécois) et au RGPD (traitement dans l’UE/EEE avec portée extraterritoriale) sur les mêmes renseignements personnels. Cet article compare les trois sur les dix axes que l’équipe informatique conçoit réellement, et se termine par un ensemble d’artéfacts de programme conjoint qui satisfait le dénominateur commun le plus strict.

Champ d’application

LPRPDE régit la collecte, l’utilisation et la communication de renseignements personnels dans le cadre d’activités commerciales partout au Canada (entreprises fédérales et flux interprovinciaux/internationaux), peu importe la taille de l’organisation. Une exemption provinciale « essentiellement similaire » existe pour les organisations opérant entièrement en Alberta, en Colombie-Britannique et au Québec, mais le franchissement des frontières provinciales vous ramène sous la LPRPDE.

Loi 25 modifie la Loi sur la protection des renseignements personnels dans le secteur privé. Elle s’applique à toute organisation du secteur privé détenant des renseignements personnels au Québec — il n’y a pas de porte d’activité commerciale ni d’exemption pour les petites entreprises. Elle est entrée en vigueur en trois phases : 22 septembre 2022, 22 septembre 2023 et 22 septembre 2024.

RGPD s’applique au traitement des données à caractère personnel des personnes concernées dans l’UE/EEE, quel que soit le lieu d’établissement du responsable (article 3 — portée territoriale, branches établissement et ciblage). Il atteint une PME canadienne qui offre des biens ou services à, ou surveille le comportement de, personnes dans l’UE.

Le chevauchement est réel, pas hypothétique : une PME québécoise avec une clientèle européenne peut être assujettie aux trois à la fois.

Régulateur et responsable

Pour l’informatique, le dénominateur commun le plus strict est : désigner un responsable nommé, publier ses coordonnées, documenter la délégation par écrit. Cela satisfait la Loi 25 et le RGPD ; le 4.1 de la LPRPDE est satisfait par effet.

Notification d’atteinte — l’horloge qui n’existe pas vs celle qui existe

C’est l’axe où les trois régimes divergent le plus, et où le mythe des « 72 heures » doit être corrigé.

LPRPDE : signaler une atteinte aux mesures de sécurité au CPVP et aviser les personnes touchées dès que possible lorsqu’il est raisonnable de croire que l’atteinte crée un « risque réel de préjudice grave » (RPRP). Il n’y a pas d’horloge en heures. Chaque atteinte aux mesures de sécurité doit être consignée — pas seulement les atteintes signalables — et le CPVP peut exiger le registre.

Loi 25 : Les articles 3.5 à 3.8 exigent un registre des incidents de confidentialité pour chaque incident, et la notification à la CAI et aux personnes touchées lorsque l’incident présente un risque de préjudice grave. Comme la LPRPDE, il n’y a pas de délai chiffré — l’obligation est d’agir promptement. (Le cadrage populaire des « 72 heures » est un emprunt au RGPD, pas le texte québécois.)

RGPD : L’article 33 exige de notifier l’autorité de contrôle sans tarder injustifiément et, lorsque c’est possible, au plus tard 72 heures après avoir pris connaissance de l’atteinte. L’article 34 exige d’aviser les personnes concernées sans tarder injustifiément lorsque l’atteinte risque d’entraîner un risque élevé pour leurs droits. Si la notification de 72 heures ne peut être respectée, les raisons du retard doivent accompagner la notification.

La règle opérationnelle pour une PME multi-régimes : construisez vers l’horloge de 72 heures du RGPD comme cible interne — elle satisfait le « dès que possible » de la LPRPDE et l’obligation de promptitude de la Loi 25, et c’est la seule qu’un régulateur mesurera au chronomètre.

Délai de réponse d’accès

• **LPRPDE :** répondre à une demande d’accès avec diligence, généralement au plus tard **30 jours**.
• **Loi 25 :** la personne peut confirmer l’existence de ses renseignements et y accéder ; le délai suit la Loi sur le secteur privé.
• **RGPD :** Article 12(3) — répondre **sans tarder injustifiément et en tout état de cause dans un délai d’un mois** de la réception ; prolongeable de **deux mois supplémentaires** lorsque c’est nécessaire, la personne étant informée de la prolongation et des raisons.

Concevez votre pipeline de demande d’accès au plancher de 30 jours de la LPRPDE comme SLA par défaut ; si une demande touche des données de l’UE, le plafond d’un mois plus deux mois du RGPD vous couvre déjà.

Analyses d’impact

• **LPRPDE :** aucune exigence statutaire d’analyse d’impact sur la vie privée (bien que le CPVP s’attende à la protection de la vie privée dès la conception).
• **Loi 25 :** **EFVP obligatoire** (*évaluation des facteurs relatifs à la vie privée*) pour certains traitements — p. ex. lorsque des renseignements sont communiqués hors Québec ou utilisés à de nouvelles fins ; l’EFVP doit tenir compte de la sensibilité, de la finalité, de la proportionnalité et des mesures de dépersonnalisation, et le responsable est consulté.
• **RGPD :** **AIPD obligatoire** (article 35) pour les traitements susceptibles d’entraîner un risque élevé pour les droits et libertés (grande échelle, surveillance systématique, données sensibles).

Un modèle d’AIPD/EIA unique qui inclut le transfert transfrontalière, la sensibilité, la proportionnalité et la dépersonnalisation satisfait l’EFVP de la Loi 25 et l’AIPD du RGPD simultanément ; la LPRPDE gagne un artéfact documenté de protection dès la conception.

Consentement, portabilité, désindexation

• **LPRPDE :** consentement selon les principes 2 et 3 de l’Annexe 1 (voir l’analyse du consentement) ; explicite ou implicite selon la sensibilité ; retrait en tout temps sous réserve de restrictions légales ou contractuelles. Pas de droit statutaire de portabilité ; pas de droit de désindexation.
• **Loi 25 :** un **processus de consentement** documenté est une obligation explicite (phase 2023) ; **droit de portabilité** (phase 2024) ; **droit de désindexation** — une personne peut demander qu’un hyperlien indexant ses renseignements soit désindexé s’il cause un préjudice grave dans des conditions définies.
• **RGPD :** le consentement est l’un des six fondements licites (article 6) et doit être spécifique, éclairé et libre pour les traitements fondés sur le consentement ; **droit de portabilité** (article 20) ; **droit à l’effacement** (article 17) ; **droit d’opposition** (article 21).

Construisez le consentement au standard du RGPD (libre, spécifique, granulaire, révocable) — il satisfait le 4.3 de la LPRPDE et le processus de consentement de la Loi 25. Fournissez un export de portabilité ; il satisfait la Loi 25 et le RGPD et est un atout de bonne foi pour la LPRPDE.

Transferts transfrontaliers

• **LPRPDE :** principe de reddition de comptes — assurer un niveau comparable de protection lorsque les données quittent le contrôle de l’organisation (contrats avec les fournisseurs).
• **Loi 25 :** **EFVP obligatoire** avant de transférer des renseignements personnels hors Québec, avec une entente écrite indiquant les conclusions de l’EFVP.
• **RGPD :** **Chapitre V** mécanismes de transfert — décision d’adéquation, clauses contractuelles types, ou dérogations (article 46).

Le contrôle commun : une entente de transfert écrite + une analyse d’impact complétée + une clause de niveau de protection comparable avec le fournisseur. Ce trio satisfait les trois.

Application

• **LPRPDE :** enquêtes, conclusions et accords de conformité du CPVP ; la **réforme de la LPCP (projet de loi C-27)** devrait ajouter des sanctions administratives pécuniaires.
• **Loi 25 :** ordonnances de la CAI, sanctions administratives pécuniaires et dispositions pénales.
• **RGPD :** amendes administratives allant jusqu’à **20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial**, selon le plus élevé (article 83).

La LPCP rapprochera la LPRPDE du modèle d’application du RGPD et de la Loi 25. Préparez-vous maintenant (voir l’article sur la préparation à la LPCP).

Un ensemble d’artéfacts de programme conjoint pour le dénominateur commun le plus strict

1. Désignation du responsable — responsable de la protection nommé, coordonnées publiées, délégation par écrit (satisfait Loi 25 art. 3.1 + RGPD art. 37 + LPRPDE 4.1). 2. Pipeline de demande d’accès — SLA par défaut de 30 jours, plafond d’un mois plus deux mois pour les données de l’UE (LPRPDE + RGPD). 3. Runbook d’incident — consigner chaque incident ; évaluer selon RPRP / préjudice grave / risque élevé ; cible de notification à l’autorité en 72 heures ; avis aux personnes lorsque le seuil est atteint (les trois). 4. Modèle d’AIPD/EIA — transfrontalier, sensibilité, proportionnalité, dépersonnalisation, consultation du responsable (EFVP Loi 25 + AIPD RGPD). 5. Entente de transfert — écrite, avec conclusions de l’EFVP et clause de protection comparable (Loi 25 + LPRPDE + RGPD Chapitre V). 6. Moteur de consentement — consentement de standard RGPD libre/spécifique/révocable, avec export de portabilité (les trois). 7. Politique de conservation et destruction — obligation Loi 25 phase 2023, LPRPDE 4.5, RGPD limitation de stockage (article 5(1)(e)).

Appel à l’action

Trois régimes, un programme. Si vous franchissez les frontières du Québec ou de l’UE, construisez vers le dénominateur commun le plus strict et les deux autres suivent gratuitement. Réservez une revue de conformité canadienne à la vie privée de 45 minutes — nous cartographions vos flux de données contre la LPRPDE, la Loi 25 et le RGPD en une passe et vous remettons l’ensemble d’artéfacts conjoint ci-dessus. Bilingue FR/EN, sans engagement. Lectures transversales : LPRPDE consentement et finalité, RGPD ↔ ISO 27001 mise en œuvre conjointe, Loi 25 ↔ RGPD parallélisme.

Sources

• **Loi LPRPDE (Lois de la justice, chapitre P-8.6)** — champ d’activité commerciale, exemption provinciale « essentiellement similaire », Annexe 1 principe 4.1 reddition de comptes, seuil d’atteinte « risque réel de préjudice grave », notification « dès que possible », obligation de registre des atteintes, réponse d’accès de 30 jours.
• **Loi 25 (cybereco 2022-05-31), Loi sur la protection des renseignements personnels dans le secteur privé** — art. 3.1 responsable obligatoire avec coordonnées publiées, arts. 3.5–3.8 registre des incidents de confidentialité et notification sur préjudice grave (pas de délai chiffré), entrée en vigueur par phases 22 sept 2022/2023/2024, EFVP obligatoire pour les transferts hors Québec et les nouvelles finalités, processus de consentement, désindexation, portabilité (2024).
• **RGPD (Règlement (UE) 2016/679, CELEX 32016R0679)** — Article 3 portée territoriale, Article 6 fondements licites, Article 12(3) réponse d’accès d’un mois (+2 mois), Article 17 effacement, Article 20 portabilité, Article 21 opposition, Article 33 notification à l’autorité de 72 heures « sans tarder injustifiément », Article 34 notification aux personnes, Article 35 AIPD, Article 37 DPO, Chapitre V transferts, Article 83 amendes jusqu’à 20 M€/4 %.
• **Projet de loi C-27 (LPCP)** — la réforme qui devrait rapprocher la LPRPDE du modèle d’application du RGPD et de la Loi 25 avec des sanctions administratives pécuniaires. (Les dispositions exactes de la LPCP seront fixées par le projet de loi adopté ; vérifiez auprès du CPVP et des registres du Parlement.)