Loi québécoise sur les renseignements personnelsGuide pour petites entreprises
Les mêmes lacunes reviennent d'une entreprise à l'autre. Voici comment repérer chacune, et ce que la corriger implique réellement.
· TI et cybersécurité pour les PME québécoises depuis 1995
La Loi 25 est pleinement en vigueur depuis septembre 2024, et l'application par la CAI n'a plus rien de théorique. Dans une décision de mai 2026, le régulateur a ordonné à une entreprise de gestion immobilière de revoir ses pratiques dans un délai de 30 jours après avoir constaté plusieurs des lacunes décrites ci-dessous. Rien d'exotique. Ce sont les bases, tout simplement omises.
Par défaut, la personne responsable de la protection des renseignements personnels est la personne la plus haut placée de votre organisation. La plupart des propriétaires ignorent qu'ils occupent déjà ce rôle, et presque personne n'a publié le titre et les coordonnées, ce que la Loi 25 exige. C'est la première chose que la CAI vérifie lors d'une plainte, et c'était l'un des constats de la décision de mai 2026 mentionnée plus haut.
Le correctif : décidez qui assume le rôle (le propriétaire ou un gestionnaire senior convient), documentez la désignation, et publiez le titre et un moyen de contact sur votre site Web ou dans votre politique de confidentialité. Une heure de travail, et vous êtes conforme sur l'élément le plus vérifié.
Un incident de confidentialité, ce n'est pas seulement un piratage. C'est un portable perdu, un courriel envoyé au mauvais client, une boîte courriel compromise par hameçonnage. La Loi 25 exige que chaque incident soit consigné à l'interne, même les mineurs, et la CAI peut demander le registre lors d'une enquête. Une entreprise sans registre a l'air d'une entreprise qui n'a jamais porté attention.
Le correctif : un simple tableur avec la date, ce qui s'est passé, les renseignements touchés, l'évaluation de la gravité et ce que vous avez fait. Commencez-le aujourd'hui avec les incidents dont vous vous souvenez; tenez-le à jour à partir de maintenant.
Cases précochées, « j'accepte » global couvrant dix usages sans lien, consentement au marketing caché à la page 14 de vos conditions : rien de tout cela ne tient plus. Le consentement doit être spécifique à sa fin, distinct de vos conditions générales et facile à retirer. Les renseignements sensibles, comme les renseignements médicaux ou financiers, exigent en plus un consentement manifeste.
Le correctif : passez en revue chaque endroit où vous demandez un consentement (formulaires Web, contrats, documents d'admission) et séparez chaque fin en un oui clair et distinct. Pendant que vous y êtes, vérifiez la bannière de témoins de votre site : l'analytique et le pistage doivent rester désactivés tant que le visiteur n'a pas accepté.
Votre fournisseur de paie, votre stockage infonuagique, votre système de point de vente et votre logiciel RH traitent tous des renseignements personnels pour votre compte, et vous demeurez responsable de ce qui leur arrive. Les contrats signés il y a des années ne disent généralement rien des obligations de confidentialité, des mesures de sécurité ou de l'obligation de vous aviser en cas d'incident chez le fournisseur.
Le correctif : dressez la liste de chaque fournisseur qui touche des renseignements personnels, déterminez où chacun stocke et traite les données, et intégrez les obligations de confidentialité et de notification au contrat lors du renouvellement. Pour les grands fournisseurs SaaS, leurs conditions standards de traitement des données couvrent souvent l'essentiel; il suffit de le confirmer et de les classer.
Une évaluation des facteurs relatifs à la vie privée est requise avant d'acquérir ou de refondre de façon importante tout système traitant des renseignements personnels, et avant que des renseignements personnels quittent le Québec, ce qui inclut les services infonuagiques hébergés ailleurs au Canada ou aux États-Unis. La plupart des PME adoptent de nouveaux outils sans ÉFVP, ce qui veut dire que la plupart des PME sont discrètement non conformes à chaque changement de plateforme.
Le correctif : l'ÉFVP d'un outil de PME typique n'a pas besoin d'être longue. Quels renseignements sont en jeu, qui y a accès, où ils sont stockés, quels sont les risques et comment ils sont atténués, sur quelques pages, datées et classées. Bâtissez le gabarit une fois et réutilisez-le pour chaque nouveau système.
Les cinq correctifs ensemble représentent des jours d'effort, pas des mois, et ils couvrent les éléments que la CAI vérifie en premier. Parcourez la liste de vérification complète en 10 sections pour voir ce qui s'applique aussi à vous, ou faites l'auto-évaluation de 5 minutes pour une lecture priorisée de vos lacunes.