Loi québécoise sur les renseignements personnelsGuide pour petites entreprises
La Loi 25 a changé la façon dont toutes les entreprises du Québec, peu importe leur taille, doivent traiter les renseignements personnels. Si vous recueillez des noms, des courriels, des dossiers d'employés ou des données clients, cette loi s'applique à vous. Voici ce qu'elle exige réellement, ce qui est déjà en vigueur, et par où commencer.
· TI et cybersécurité pour les PME québécoises depuis 1995
La Loi 25 (anciennement le projet de loi 64) est la loi modernisée du Québec sur la protection des renseignements personnels dans le secteur privé. Elle est entrée en vigueur en trois phases, entre septembre 2022 et septembre 2024, et les trois phases sont maintenant pleinement applicables.
Essentiellement, la Loi 25 exige que les organisations sachent quels renseignements personnels elles recueillent et pourquoi, qu'elles limitent la collecte à ce qui est réellement nécessaire, qu'elles protègent ces renseignements et qu'elles soient transparentes envers les personnes concernées. Elle accorde aussi de nouveaux droits aux résidents du Québec sur leurs propres renseignements, et donne à l'organisme de réglementation de la province, la Commission d'accès à l'information (CAI), un véritable pouvoir d'application.
La plupart des PME répondent déjà à certaines de ces exigences grâce à leurs pratiques existantes en TI et en ressources humaines, souvent sans le savoir. Le vrai travail consiste à déterminer lesquelles, puis à combler les lacunes qui subsistent.
Il n'y a aucun seuil minimal de taille. Si votre entreprise recueille ou conserve des renseignements personnels sur des employés, des clients, des fournisseurs ou des visiteurs de site Web, la Loi 25 s'applique à vous, que vous ayez 5 employés ou 500.
La notion de « renseignement personnel » est plus large qu'on pourrait le croire. Elle inclut les noms, adresses courriel, numéros de téléphone, adresses résidentielles, dossiers d'employés, dossiers clients et, dans certains contextes, les adresses IP ou d'autres identifiants en ligne.
La Loi 25 est entrée en vigueur graduellement afin de laisser aux organisations le temps de s'adapter. Les trois phases sont maintenant en vigueur.
Le droit à la transmission s'applique lorsque cela est techniquement possible; ce n'est pas une obligation absolue.
La Loi 25 a donné à la CAI un véritable pouvoir d'application, en plus d'ouvrir la porte aux tribunaux. Trois types d'exposition s'appliquent :
Jusqu'à 10 millions de dollars CA, ou 2 % du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé.
Jusqu'à 25 millions de dollars CA, ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, pour les infractions les plus graves. Les amendes peuvent doubler en cas de récidive.
Les personnes peuvent réclamer des dommages-intérêts. Les tribunaux doivent accorder des dommages-intérêts punitifs d'au moins 1 000 $ par personne lorsqu'une atteinte illicite est intentionnelle ou résulte d'une faute lourde.
En pratique, la plupart des mesures d'application découlent d'une plainte ou d'un incident de sécurité, pas d'une vérification de routine. Pour la plupart des PME, le risque le plus courant reste une atteinte à la protection des données qui révèle des lacunes dans la façon dont les renseignements personnels ont toujours été traités.
La CAI a ordonné à une entreprise québécoise de gestion immobilière de cesser de recueillir les NAS et les permis de conduire sans justification, de détruire ce qui avait été recueilli à tort, et de mettre en place des politiques de gouvernance et de confidentialité dans un délai de 30 jours. Lire la décision, puis vérifiez ces éléments dans la liste de vérification.
Ottawa a déposé le projet de loi C-36, qui remplacerait la LPRPDE par une nouvelle loi fédérale. Cela ne change rien à vos obligations en vertu de la Loi 25 pour l'instant. Ce que ça signifie pour les entreprises québécoises.
Selon le Règlement sur l'anonymisation, des données ne comptent pas comme « anonymisées » sans méthodes documentées et analyse des risques de réidentification. Comment ça fonctionne.
Cette section est mise à jour chaque trimestre. Dernière révision : 5 août 2026.