Dix domaines que la CAI s'attend à voir couverts par toute entreprise, y compris quelques-uns qui n'ont rien à voir avec votre site Web. Les sections ci-dessous sont présentées dans l'ordre des phases de la Loi 25 qui les ont introduites. Parcourez chaque section, cochez ce que vous avez déjà en place, et utilisez les notes « pourquoi c'est important » pour prioriser ce qu'il reste à faire.
Une ressource gratuite offerte par
· TI et cybersécurité pour les PME québécoises depuis 1995
Phase 1
22 septembre 2022
Gouvernance et réponse aux incidents
Phase 2
22 septembre 2023
Politiques, consentement et évaluations
Phase 3
22 septembre 2024
Portabilité des données
1. Responsable de la protection des renseignements personnels
Phase 1 · À compléter avant le 22 septembre 2022
Objectif : désigner et publier un point de contact
Par défaut, il s'agit de la personne la plus haut placée dans l'organisation, à moins que ce rôle n'ait été formellement délégué.
Pourquoi c'est important : c'est la première chose que la CAI vérifie lors d'une plainte ou d'une enquête. Sans responsable désigné et publié, vous êtes non conforme à l'exigence la plus fondamentale de la Loi 25.
2. Registre des incidents et réponse aux atteintes
Phase 1 · À compléter avant le 22 septembre 2022
Objectif : consigner et traiter les incidents de confidentialité
Pourquoi c'est important : c'est souvent une atteinte qui révèle les lacunes de conformité à la Loi 25. Un registre des incidents et un processus de réponse clair transforment une mauvaise journée en un événement documenté et défendable.
3. Gouvernance et politique de confidentialité
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : encadrer en interne le traitement des renseignements personnels, et dire aux gens ce que vous recueillez et pourquoi
Pourquoi c'est important : la CAI vérifie désormais les politiques de gouvernance interne des entreprises, pas seulement leurs avis de confidentialité publiés. Dans une décision de mai 2026, la CAI a visé une entreprise de gestion immobilière qui n'avait ni l'une ni l'autre. La transparence est vérifiée tôt dans toute révision, et une politique de gouvernance manquante ou une politique de confidentialité désuète sont toutes deux des lacunes faciles à repérer pour un régulateur.
4. Gestion du consentement
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : obtenir un consentement clair et éclairé pour la collecte et l'utilisation
Pourquoi c'est important : la Loi 25 a relevé la barre quant à ce qui constitue un consentement valide. Les cases précochées et les clauses noyées dans un document de conditions de 20 pages ne suffisent plus.
5. Minimisation des données et conservation
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : ne recueillir que ce qui est nécessaire, et le conserver seulement le temps requis
Pourquoi c'est important : chaque dossier dont vous n'avez pas besoin représente un risque additionnel en cas d'atteinte. C'est aussi ce que la CAI vérifie en premier : recueillir un numéro d'identification ou un NAS « au cas où » plutôt que seulement lorsque c'est réellement nécessaire est une lacune fréquente et sanctionnable; la même décision de mai 2026 a ordonné la destruction, dans un délai de 30 jours, des NAS recueillis sans justification. La minimisation et les limites de conservation réduisent votre exposition et sont explicitement exigées par la Loi 25.
6. Évaluations des facteurs relatifs à la vie privée (ÉFVP)
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : évaluer les risques pour la vie privée avant les changements majeurs
Pourquoi c'est important : c'est l'une des exigences les plus souvent oubliées par les PME, particulièrement pour les services infonuagiques et les outils SaaS hébergés à l'extérieur du Québec. Un modèle simple d'ÉFVP peut couvrir la plupart des situations.
7. Contrats avec les fournisseurs et tiers
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : s'assurer que vos fournisseurs sont liés par les mêmes règles
Pourquoi c'est important : vous demeurez responsable des renseignements personnels même lorsqu'un tiers les traite. Des contrats de fournisseurs désuets ou manquants sont une lacune fréquemment découverte lors d'une ÉFVP.
8. Mesures de sécurité
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : protéger les renseignements personnels avec des mesures adaptées à leur sensibilité
Pourquoi c'est important : la Loi 25 exige des « mesures de sécurité raisonnables » proportionnelles à la sensibilité des renseignements. C'est aussi l'origine de la plupart des incidents de confidentialité, ce qui recoupe directement votre sécurité informatique au quotidien.
9. Décisions automatisées et biométrie
Phase 2 · À compléter avant le 22 septembre 2023
Objectif : savoir quand ces règles moins évidentes s'appliquent à vous
Pourquoi c'est important : ces règles n'ont rien à voir avec les sites Web. Elles visent les logiciels RH, les horodateurs et les caméras de sécurité que bien des PME avec pignon sur rue utilisent déjà. La CAI a activement fait appliquer ces deux dispositions dans des décisions récentes, et les mêmes pénalités s'appliquent que pour toute autre exigence de la Loi 25.
10. Droits des personnes concernées
Phase 3 · À compléter avant le 22 septembre 2024
Objectif : être prêt à répondre aux demandes d'accès, de rectification et de portabilité
Pourquoi c'est important : ces droits sont maintenant exécutoires, et une PME qui met des semaines à simplement accuser réception d'une demande est exposée si le demandeur s'adresse à la CAI.
Besoin d'aide pour combler les lacunes?
Faites l'auto-évaluation pour un aperçu rapide de votre situation, ou parlez à un spécialiste québécois en protection des renseignements personnels et en sécurité au sujet des éléments ci-dessus.
· TI et cybersécurité pour les PME québécoises depuis 1995