Désigné
Responsable
La personne responsable de la protection des renseignements personnels est nommée et publiée, comme la loi l'exige.
ARSENAL 02
Conformité Loi 25
Se mettre en règle progressivement, sans paralyser l'entreprise.
La Loi 25 s'applique à toute entreprise qui fait affaire au Québec et détient des renseignements personnels, quelle que soit sa taille. Nous établissons ce que vous devez avoir, ce qui vous manque, et dans quel ordre le traiter. L'objectif est un dossier que vous pouvez présenter à un client, à un assureur ou à la Commission d'accès à l'information — pas un classeur qui prend la poussière.
Pour qui
- Entreprises québécoises qui détiennent des données de clients, d'employés ou de fournisseurs
- Organisations à qui un client demande de documenter leurs pratiques avant de signer
- PME qui n'ont désigné personne comme responsable de la protection des renseignements
- Entreprises qui utilisent des outils infonuagiques hébergés hors du Québec
Ce que vous vivez aujourd'hui
- Personne ne sait précisément quelles données personnelles vous détenez ni où elles sont
- Votre politique de confidentialité a été copiée d'un autre site il y a des années
- Aucune procédure n'existe pour réagir à un incident de confidentialité
- Les demandes d'accès ou de suppression sont traitées au cas par cas, sans trace
Ce que ça vous apporte
Tenu
Registre
Un registre des incidents de confidentialité et un inventaire des traitements que vous pouvez présenter sur demande.
Écrite
Procédure
Qui fait quoi dans les premières heures d'un incident, jusqu'à la notification si elle s'impose.
Ce qui est inclus
- Cartographie des renseignements personnels : nature, emplacement, durée de conservation
- Politique de confidentialité rédigée pour vos traitements réels, en français clair
- Registre des incidents et procédure de gestion associée
- Évaluation des facteurs relatifs à la vie privée pour les projets qui l'exigent
- Gestion des consentements et des demandes d'accès, de rectification et de retrait
- Séance de formation pour les personnes qui manipulent des données personnelles
Comment ça se déroule
01
Diagnostic d'écart
2 à 3 semainesNous comparons vos pratiques actuelles aux obligations qui vous visent réellement, et nous classons les écarts par niveau de risque.
02
Chantiers prioritaires
3 à 5 semainesDésignation du responsable, procédure d'incident et politique de confidentialité : ce qui vous expose le plus si rien n'est fait.
03
Documentation complète
4 à 6 semainesRegistre, inventaire des traitements, consentements, ententes avec les fournisseurs et évaluations lorsque le projet le demande.
04
Maintien
Revue annuelleLa conformité se périme : nouveaux outils, nouveaux traitements, nouveaux fournisseurs. Nous prévoyons une revue périodique.
Délais indicatifs pour une PME. Un volume important de données ou plusieurs systèmes hérités allongent le diagnostic.
Les questions que vous vous posez
Sommes-nous concernés même avec cinq employés ?
Oui. La Loi 25 ne comporte pas de seuil d'effectif : elle vise toute entreprise qui fait affaire au Québec et détient des renseignements personnels. Certaines obligations, comme l'évaluation des facteurs relatifs à la vie privée, ne se déclenchent que dans des cas précis, mais le socle s'applique à tous.
Nos données sont hébergées aux États-Unis. Est-ce un problème ?
Ce n'est pas interdit, mais la communication de renseignements personnels hors du Québec demande une évaluation préalable et, souvent, des clauses contractuelles adaptées. C'est un des points que le diagnostic traite en priorité.
Quelles sont les sanctions réelles ?
La loi prévoit des sanctions administratives pécuniaires et des amendes pénales dont les plafonds sont élevés. En pratique, le risque le plus immédiat pour une PME reste la perte d'un contrat parce qu'un client exige des garanties que vous ne pouvez pas fournir.
Nous sommes déjà conformes au RGPD. Est-ce suffisant ?
C'est une très bonne base et une grande partie du travail est transposable, mais les deux régimes diffèrent sur plusieurs points, notamment la désignation du responsable et les règles de communication hors Québec. Le diagnostic identifie précisément l'écart restant.
La conformité n'est pas un projet, c'est un état à maintenir.
Nous commençons par un diagnostic d'écart qui vous dit exactement où vous en êtes et par quoi commencer.
Le reste de l'arsenal