Gouverner les données clients et employés
Savoir quelles données existent, pourquoi, et combien de temps elles sont conservées.
Qu'est-ce que la Loi 25 ? Protection des renseignements personnels au Québec
La Loi 25 est la loi québécoise qui modernise les règles de protection des renseignements personnels, tant dans le secteur privé que public. Adoptée en 2021 (issue du projet de loi 64), elle renforce les obligations des entreprises : gouvernance des données, consentement, avis de confidentialité, évaluation des facteurs relatifs à la vie privée, et gestion des incidents de confidentialité. La Commission d'accès à l'information du Québec (CAI) supervise l'application ; le cadre privé figure notamment dans la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1).
En une phrase
La Loi 25 modernise la protection des données personnelles au Québec et impose des obligations concrètes aux entreprises.
À retenir
- Ce n'est pas une loi de géolocalisation : « Loi 25 » désigne la réforme québécoise de la vie privée.
- Elle touche consentement, transparence, gouvernance, fournisseurs et incidents de confidentialité.
- Les entreprises doivent désigner un responsable de la protection des renseignements personnels.
- La CAI peut enquêter et imposer des sanctions administratives pécuniaires.
Fiche du terme
- Loi 25
- Loi modernisant des dispositions législatives en matière de protection des renseignements personnels · Projet de loi 64 · Réforme québécoise de la protection des renseignements personnels
- Terme anglais
- Quebec Law 25 (privacy reform)
- Domaine
- Conformité / vie privée
- Catégorie
- Cadre légal québécois
- Niveau
- Intermédiaire
Que change concrètement la Loi 25 ?
Avant la réforme, le Québec disposait déjà de lois sur la protection des renseignements personnels, mais plusieurs mécanismes (gouvernance documentée, registre des incidents, obligations renforcées envers les fournisseurs technologiques) étaient moins explicites. La Loi 25 a modernisé ce cadre pour le rapprocher des attentes contemporaines en matière de transparence et de responsabilité.
Pour une entreprise privée, cela signifie notamment : nommer un responsable de la protection des renseignements personnels, publier des politiques claires, obtenir un consentement valide lorsque requis, limiter la collecte au nécessaire, et évaluer les risques pour la vie privée lors de projets à fort impact (nouveaux systèmes, transferts, technologies sensibles).
En cas d'incident de confidentialité présentant un risque de préjudice sérieux, l'entreprise doit notamment aviser les personnes concernées et la CAI, et tenir un registre des incidents. Sur le web et dans les produits numériques, cela se traduit souvent par bannières de consentement, durées de conservation, clauses fournisseurs et mesures de sécurité proportionnées (chiffrement, accès restreints, journalisation).
Comment une PME se met-elle en conformité avec la Loi 25 ?
- 01
Cartographier les renseignements personnels
Identifier ce qui est collecté (formulaires, CRM, analytics, RH), où cela réside, qui y accède et pour quelles finalités.
- 02
Nommer un responsable et documenter la gouvernance
Désigner la personne responsable, rédiger politiques et procédures (accès, conservation, destruction, fournisseurs).
- 03
Ajuster consentement, avis et sites
Mettre à jour avis de confidentialité, mécanismes de consentement et paramètres des outils marketing / analytics.
- 04
Préparer la réponse aux incidents
Définir détection, évaluation du risque de préjudice, notifications CAI / personnes concernées, et registre des incidents.
Exemple concret lié à la Loi 25
Une clinique privée de Québec découvre qu'un fichier Excel de rendez-vous a été envoyé par erreur à un mauvais destinataire. Elle évalue le risque de préjudice, consigne l'incident au registre, notifie les personnes concernées lorsque requis et renforce ensuite les contrôles (chiffrement, listes de diffusion, formation). Sans processus Loi 25, l'équipe aurait « simplement » renvoyé un courriel de correction — sans traçabilité ni mesure corrective.
À quoi sert la conformité Loi 25 ?
Sécuriser formulaires et outils marketing
Aligner cookies, CRM et campagnes sur un consentement et des finalités clairs.
Encadrer les fournisseurs cloud et TI
Contractualiser les obligations de confidentialité et les avis en cas d'incident.
Réagir correctement à une fuite
Évaluer, documenter et notifier selon les exigences de la CAI plutôt qu'au cas par cas.
Forces et exigences de la Loi 25
- Clarifie les attentes de transparence envers les personnes concernées
- Pousse les entreprises à mieux cartographier et gouverner leurs données
- Cadre les incidents de confidentialité avec des obligations précises
- S'aligne sur une culture de responsabilité comparable à d'autres régimes modernes
- Charge de conformité réelle pour les PME (politiques, registres, fournisseurs)
- Interprétation parfois technique (consentement, évaluation des facteurs vie privée)
- Sanctions et enquêtes possibles en cas de manquement
- Les outils numériques (analytics, pixels) doivent souvent être reconfigurés
Quelle différence entre Loi 25 et LPRPDE (fédéral) ?
| Loi 25 | LPRPDE (fédéral) | |
|---|---|---|
| Portée géographique | Droit québécois ; s'applique aux entreprises au Québec selon le cadre provincial | Loi fédérale canadienne pour le secteur privé sous juridiction fédérale |
| Autorité de surveillance | Commission d'accès à l'information du Québec (CAI) | Commissariat à la protection de la vie privée du Canada |
| Focus pratique PME QC | Réforme récente très visible pour sites, RH et incidents au Québec | Cadre national encore applicable selon le type d'organisation |
| À retenir | Vérifier d'abord les obligations provinciales (P-39.1 modernisée) | Peut coexister selon activités interprovinciales / fédérales |
Pourquoi la Loi 25 compte pour votre organisation
Au Québec, presque toute PME collecte des renseignements personnels : clients, prospects, employés, patients ou usagers. La Loi 25 transforme la vie privée d'un sujet « juridique lointain » en exigences opérationnelles — politiques, consentement, fournisseurs, incidents. S'y conformer réduit le risque de sanctions et de perte de confiance ; surtout, cela évite de découvrir trop tard où circulent réellement vos données.
Questions fréquentes
La Loi 25 concerne-t-elle la géolocalisation ou les cartes ?
Non. Dans le contexte québécois de la protection des données, « Loi 25 » désigne la réforme de la protection des renseignements personnels — pas une loi sur la géographie.
Toutes les PME sont-elles visées ?
Dès qu'une entreprise collecte, utilise ou communique des renseignements personnels dans le cadre de ses activités au Québec, le cadre du secteur privé (P-39.1) s'applique en principe. Consultez la CAI pour le champ d'application précis.
Faut-il un avocat pour se conformer ?
Un accompagnement juridique aide sur les zones grises, mais beaucoup d'actions sont opérationnelles : inventaire des données, politiques, configuration des outils, procédure d'incident.
Que faire en cas d'incident de confidentialité ?
Contenir, évaluer le risque de préjudice sérieux, documenter au registre, et notifier la CAI et les personnes concernées lorsque la loi l'exige. Les guides CAI détaillent ces étapes.
Termes associés
Sources et références
Vous devez clarifier vos obligations Loi 25 sur le web, le CRM ou vos fournisseurs ?
Parler de conformité et données