La Loi 25, dont le titre officiel est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (LQ 2021, c. 25), est une loi québécoise adoptée en septembre 2021 qui modernise en profondeur le cadre légal de protection des données personnelles au Québec.
Elle modifie principalement deux lois existantes : la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) et la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (Loi sur l'accès). La Loi 25 s'inscrit dans une tendance mondiale de renforcement des droits des individus sur leurs données personnelles, à l'image du RGPD européen.
La mise en œuvre de la Loi 25 s'est faite de façon progressive sur trois ans :
Désignation du responsable de la protection des renseignements personnels (RPRP) et gouvernance.
EFVP, déclaration des incidents, portabilité des données, droit à la désindexation, consentement.
Portabilité des données à portée complète et décision automatisée avec possibilité de contestation humaine.
La Commission d'accès à l'information du Québec (CAI) est l'organisme gouvernemental chargé de surveiller l'application de la Loi 25, d'informer le public et les organisations sur leurs droits et obligations, et d'imposer des sanctions en cas de non-conformité. La CAI publie des guides pratiques et des lignes directrices pour aider les organisations à se conformer. Pour plus d'information, consultez le site officiel de la CAI : cai.gouv.qc.ca.
La Loi 25 a une portée très large. Elle s'applique à toute entreprise ou organisation qui collecte, détient, utilise ou communique des renseignements personnels dans le cadre de l'exercice d'une activité commerciale au Québec. Il n'y a pas de seuil minimal de taille d'entreprise ou de volume de données traité.
Toutes les PME qui traitent des données de clients, employés ou fournisseurs.
Même les indépendants qui collectent des données clients sont assujettis.
Les organismes sans but lucratif sont également visés s'ils traitent des données personnelles.
Toute entreprise ailleurs au Canada ou à l'étranger faisant affaire avec des Québécois.
Important : Le simple fait d'avoir un site Web accessible par des résidents québécois et de collecter leurs adresses courriel via un formulaire de contact suffit à vous assujettir à la Loi 25. Si vous n'êtes pas certain que la loi s'applique à votre situation, Synéra peut vous aider à le déterminer lors d'une consultation initiale gratuite.
La Loi 25 impose sept grandes catégories d'obligations aux entreprises québécoises. Voici ce que vous devez mettre en place.
La Loi 25 est dotée de mécanismes de sanction parmi les plus sévères au Canada. La Commission d'accès à l'information (CAI) dispose de pouvoirs étendus pour enquêter et sanctionner les manquements.
ou 2 % du chiffre d'affaires mondial de l'entreprise, selon le montant le plus élevé.
ou 4 % du chiffre d'affaires mondial. Pour les particuliers : jusqu'à 100 000 $.
Au-delà des amendes : un incident de confidentialité non déclaré ou une violation grave peut entraîner des poursuites civiles de la part des personnes lésées, une atteinte majeure à la réputation de l'entreprise, et la perte de confiance de vos clients et partenaires d'affaires. Le coût de la non-conformité dépasse souvent largement celui de la mise en conformité.
Voici les 10 étapes concrètes pour mettre votre entreprise en conformité avec la Loi 25. Chaque étape est obligatoire ou fortement recommandée.
Nommez officiellement un responsable de la protection des renseignements personnels. Publiez son nom et son courriel sur votre site Web. Obligatoire depuis septembre 2022.
Dressez un inventaire de toutes les données personnelles que vous collectez : quelles données, pourquoi, où elles sont stockées, qui y a accès, et combien de temps vous les conservez.
Rédigez une politique de confidentialité claire, complète et accessible sur votre site Web. Elle doit expliquer vos pratiques de collecte, d'utilisation, de communication et de conservation des données.
Configurez une bannière de cookies conforme, des formulaires avec consentement explicite (opt-in), et documentez les consentements obtenus. Éliminez les cases pré-cochées.
Mettez en place un registre pour documenter tous les incidents. Établissez des procédures claires pour évaluer, signaler à la CAI et aviser les personnes touchées dans les délais requis.
Avant tout nouveau projet impliquant des données personnelles, réalisez une EFVP selon la méthodologie de la CAI. Documentez l'évaluation et les mesures de protection retenues. Obligatoire depuis septembre 2023.
Chiffrement des données au repos et en transit, authentification multifacteur (MFA), contrôles d'accès basés sur les rôles, journalisation des accès, sauvegardes chiffrées et plan de réponse aux incidents.
Formez tous vos employés sur leurs obligations en vertu de la Loi 25, les procédures internes, la reconnaissance et le signalement des incidents de confidentialité. Documentez les formations.
Documentez comment vous répondez aux demandes d'accès (30 jours), de rectification, de suppression et de portabilité des données. Assurez-vous que vos équipes savent comment traiter ces demandes.
La conformité n'est pas un projet ponctuel. Révisez annuellement vos politiques, procédures et mesures de sécurité. La CAI peut publier de nouvelles lignes directrices qui nécessitent des ajustements.
Synéra est un partenaire TI québécois spécialisé dans l'accompagnement des PME vers la conformité à la Loi 25. Notre approche est structurée, pragmatique et orientée résultats. Nous combinons expertise technique et connaissance du cadre légal pour vous offrir un service complet, du diagnostic initial jusqu'à la gouvernance continue.
Évaluation complète de votre posture actuelle face aux exigences de la Loi 25. Identification des lacunes, analyse des risques et plan d'action priorisé avec recommandations concrètes.
Rédaction de votre politique de confidentialité, politiques de gouvernance des données, procédures de traitement des demandes d'accès, et protocoles de gestion des incidents.
Implantation des contrôles de sécurité techniques requis : chiffrement, MFA, contrôles d'accès, journalisation, sauvegardes sécurisées et infrastructure conforme Microsoft Azure.
Réalisation des Évaluations des facteurs relatifs à la vie privée (EFVP) pour vos nouveaux projets, selon la méthodologie officielle de la Commission d'accès à l'information (CAI).
Formation sur mesure de vos employés et gestionnaires sur leurs obligations en vertu de la Loi 25, les bonnes pratiques de protection des données et les procédures de signalement des incidents.
Surveillance continue de votre environnement TI, détection des incidents de confidentialité, coordination de la réponse et accompagnement dans les déclarations à la CAI.
Commencez par un diagnostic gratuit de votre niveau de conformité, ou contactez-nous directement pour discuter de vos besoins.