FAQ sur la Loi 25

Qu'est-ce que la Loi 25?

La Loi 25 (anciennement le projet de loi 64) est la loi modernisée du Québec sur la protection des renseignements personnels dans le secteur privé. Elle actualise les règles encadrant la collecte, l'utilisation, la conservation et la communication des renseignements personnels par les organisations, et accorde de nouveaux droits aux résidents du Québec sur leurs propres données.

La Loi 25 s'applique-t-elle à ma petite entreprise?

Oui. Il n'y a aucun seuil minimal de taille. Si votre entreprise recueille ou conserve des renseignements personnels sur des employés, des clients, des fournisseurs ou des visiteurs de site Web dans le cadre de ses activités au Québec, la Loi 25 s'applique à vous.

La Loi 25 est-elle entièrement en vigueur?

Oui. La Loi 25 est entrée en vigueur en trois phases entre septembre 2022 et septembre 2024, et les trois phases sont maintenant en vigueur.

Qu'est-ce qui constitue un renseignement personnel en vertu de la Loi 25?

Tout renseignement qui concerne une personne physique identifiable : noms, adresses courriel, numéros de téléphone, adresses résidentielles, dossiers d'employés, dossiers clients et, dans certains contextes, des identifiants en ligne comme les adresses IP.

Ai-je besoin d'un responsable de la protection des renseignements personnels?

Oui. Chaque organisation doit désigner une personne responsable de la protection des renseignements personnels et publier son titre et ses coordonnées. Par défaut, cette responsabilité revient à la personne la plus haut placée dans l'organisation, à moins qu'elle n'ait été formellement déléguée.

Qu'est-ce qu'un registre des incidents, et en ai-je besoin?

Oui. Vous devez tenir un registre interne de chaque incident de confidentialité touchant des renseignements personnels, peu importe à quel point il semble mineur. Ce registre peut être demandé par la CAI lors d'une enquête.

Quand dois-je déclarer une atteinte à la protection des données?

Si un incident de confidentialité présente un risque sérieux de préjudice pour les personnes concernées, vous devez en aviser la CAI et les personnes concernées sans délai. La Loi 25 ne fixe pas de délai numérique précis, mais la norme est d'agir rapidement, et non de façon différée ou routinière.

Quelles sont les pénalités en cas de non-conformité?

Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars CA ou 2 % du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé. Les amendes pénales pour les infractions les plus graves peuvent atteindre 25 millions de dollars CA ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, et peuvent doubler en cas de récidive.

Des personnes peuvent-elles poursuivre mon entreprise en vertu de la Loi 25?

Oui. Au-delà des sanctions de la CAI, la Loi 25 a créé un droit d'action privé. Lorsqu'une atteinte illicite cause un préjudice, les personnes peuvent réclamer des dommages-intérêts, et les tribunaux doivent accorder des dommages-intérêts punitifs d'au moins 1 000 $ par personne lorsque l'atteinte est intentionnelle ou résulte d'une faute lourde. Pour une atteinte touchant des centaines de clients, la facture grimpe plus vite que n'importe quelle amende réglementaire.

Qu'est-ce qu'une évaluation des facteurs relatifs à la vie privée (ÉFVP), et quand en ai-je besoin?

Une ÉFVP est une révision structurée des risques pour la vie privée d'un projet. Vous en avez besoin avant d'acquérir, de développer ou de refondre de façon importante un système traitant des renseignements personnels, et avant de transférer des renseignements personnels à l'extérieur du Québec, y compris vers des services infonuagiques hébergés ailleurs au Canada ou aux États-Unis.

Qu'est-ce qui a changé au sujet du consentement en vertu de la Loi 25?

Le consentement doit être clair, spécifique à sa fin, et donné séparément des conditions générales d'utilisation. Les cases précochées et le consentement regroupé pour des fins non liées ne répondent plus à la norme, et les personnes doivent pouvoir retirer leur consentement.

Les témoins (cookies) de mon site Web exigent-ils un consentement?

Les témoins et traceurs non essentiels (analytique, publicité) exigent un consentement explicite. La Loi 25 exige aussi que les produits et services technologiques offerts au public soient réglés par défaut au plus haut niveau de confidentialité; le pistage activé d'avance échoue donc sur deux plans. Les témoins strictement nécessaires au fonctionnement du site n'exigent pas de consentement. La bannière de ce site fonctionne comme la CAI s'y attend : l'analytique demeure désactivée tant que vous n'acceptez pas.

Les renseignements personnels sensibles exigent-ils un consentement particulier?

Oui. Les renseignements sensibles de par leur nature, comme les renseignements médicaux ou financiers, ou les données biométriques, exigent un consentement manifeste : un oui clair et explicite pour cet usage précis. Un consentement implicite ne suffit pas, et la sensibilité relève aussi la barre quant aux mesures de protection exigées.

Qu'est-ce que la portabilité des données en vertu de la Loi 25?

Les personnes peuvent demander une copie des renseignements personnels informatisés que vous avez recueillis à leur sujet, dans un format structuré et couramment utilisé. Dans certains cas, elles peuvent demander qu'ils soient transmis directement à une autre organisation, lorsque cela est techniquement possible.

Qu'est-ce que le droit à la désindexation en vertu de la Loi 25?

Les personnes peuvent demander à une organisation de cesser de diffuser leurs renseignements personnels, ou de désindexer tout hyperlien rattaché à leur nom, lorsque la diffusion contrevient à la loi ou à une ordonnance judiciaire, ou lorsqu'elle cause un préjudice grave à la réputation ou à la vie privée qui l'emporte clairement sur l'intérêt public. La plupart des PME recevront rarement une telle demande, mais il faut un processus pour la traiter, habituellement par l'entremise du responsable de la protection des renseignements personnels.

Dois-je éventuellement supprimer les renseignements personnels?

Oui. Une fois que les renseignements personnels ne sont plus nécessaires pour la fin pour laquelle ils ont été recueillis, ils doivent être détruits ou anonymisés, selon les périodes de conservation que vous définissez pour chaque catégorie de données.

Y a-t-il des règles sur la façon d'anonymiser les données?

Oui. Depuis le 30 mai 2024, le Règlement sur l'anonymisation des renseignements personnels impose un processus formel : l'anonymisation doit suivre les meilleures pratiques généralement reconnues, comprendre une analyse documentée des risques de réidentification et être consignée. Retirer les noms d'un fichier ne suffit pas à le rendre anonymisé. Si vous ne pouvez pas atteindre cette barre, la destruction sécurisée des données est habituellement la voie la plus simple.

Mes fournisseurs infonuagiques et de logiciels sont-ils visés par la Loi 25?

Vos fournisseurs ne sont pas directement réglementés par la Loi 25 de la même façon que vous, mais vous demeurez responsable des renseignements personnels que vous leur communiquez. Les contrats de fournisseurs devraient inclure des obligations de confidentialité, de sécurité et de déclaration des incidents.

Qui applique la Loi 25?

La Commission d'accès à l'information (CAI), l'organisme de réglementation du Québec en matière de protection des renseignements personnels, supervise la conformité, enquête sur les plaintes et peut imposer des sanctions administratives pécuniaires.

La Loi 25 s'applique-t-elle si mes clients sont à l'extérieur du Québec?

La Loi 25 s'applique aux organisations qui font affaire au Québec et aux renseignements personnels recueillis au Québec, peu importe où l'organisation elle-même est établie ou où se trouvent ses autres clients.

Quelle est la différence entre la Loi 25 et la LPRPDE?

La LPRPDE est la loi fédérale sur la protection des renseignements personnels qui s'applique aux activités commerciales partout au Canada. Le Québec a adopté sa propre loi sur la protection des renseignements personnels dans le secteur privé (la Loi 25), qui a été jugée « essentiellement similaire » à la LPRPDE. Par conséquent, les organisations québécoises exerçant des activités de compétence provinciale sont généralement exemptées de la LPRPDE et régies plutôt par la Loi 25.

Qu'est-ce que le projet de loi C-36, et affecte-t-il la Loi 25?

Le projet de loi C-36, déposé en juin 2026, est un projet de loi fédéral qui remplacerait la LPRPDE par une nouvelle loi appelée la Loi sur la protection de la vie privée et des données des consommateurs (LPPDC). Il en est actuellement à la première lecture et n'est pas encore devenu loi.

S'il est adopté, il s'agirait de la refonte la plus importante du cadre fédéral canadien sur la protection des renseignements personnels dans le secteur privé depuis plus de 25 ans. Pour les organisations québécoises, la question clé est de savoir si la Loi 25 sera jugée « essentiellement similaire » à la LPPDC, le même statut qu'elle détient actuellement à l'égard de la LPRPDE. Si c'est le cas, les organisations québécoises continueront d'être régies principalement par la Loi 25 pour les activités de compétence provinciale. Si ce n'est pas le cas, la LPPDC s'appliquerait en parallèle avec la Loi 25.

Aucune décision n'a encore été prise. La conformité à la Loi 25 demeure la priorité actuelle. Revenez consulter cette page pour connaître les mises à jour au fil de l'évolution du projet de loi.

Par où commencer si je n'ai encore rien fait?

Commencez par désigner un responsable de la protection des renseignements personnels et par établir un registre des incidents de base, puisque ce sont les éléments les plus souvent vérifiés. Ensuite, parcourez une liste de vérification structurée couvrant les politiques, le consentement, la conservation, les ÉFVP, les contrats de fournisseurs et les mesures de sécurité.

Ce site Web est-il officiel ou affilié au gouvernement du Québec?

Non. Il s'agit d'une ressource éducative indépendante destinée aux petites entreprises. Pour des conseils officiels, consultez la Commission d'accès à l'information (CAI) ou un avocat spécialisé en protection des renseignements personnels.