Depuis septembre 2024, la Loi 25 est pleinement en vigueur au Québec. La période de grâce implicite qui a suivi son déploiement progressif est derrière nous.

L’essentiel

  • La Loi 25 s’applique sans aucun seuil d’effectif ni de chiffre d’affaires.
  • Si vous avez des clients, des employés ou des candidats, vous traitez des renseignements personnels.
  • Les sanctions se cumulent sur trois régimes distincts, dont un droit privé d’action.
  • La majorité des incidents notifiables ont une cause technique, pas documentaire.

Qui est concerné par la Loi 25 ?

Toute organisation qui collecte, détient, utilise ou communique des renseignements personnels au Québec : entreprise privée, organisme sans but lucratif, ordre professionnel, travailleur autonome avec une liste de clients. Il n’existe aucun seuil minimal de chiffre d’affaires ni de nombre d’employés.

La loi, officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en septembre 2021, ne prévoit pas de régime allégé pour les petites structures. Le cabinet comptable de cinq personnes a les mêmes obligations de fond que l’institution financière : seule la proportionnalité des moyens diffère. Les entreprises hors Québec qui servent une clientèle québécoise sont également visées.

Un renseignement personnel, c’est tout renseignement qui permet d’identifier une personne physique : nom, courriel, numéro de téléphone, adresse IP, données de facturation, dossier employé, curriculum vitæ reçu, historique d’achat. Autrement dit : si vous avez des clients, des employés ou des candidats, vous traitez des renseignements personnels.

Quelles sont les obligations réellement en vigueur ?

Cinq blocs, tous applicables depuis septembre 2024 : la gouvernance et la désignation d’un responsable, la gestion des incidents de confidentialité, le consentement et la transparence, le cycle de vie des renseignements, et l’encadrement contractuel des sous-traitants.

1. Gouvernance et responsabilité

  • Désigner un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise. Le rôle peut être délégué par écrit à un employé ou à un consultant externe. Le titre et les coordonnées doivent être publiés sur votre site web.
  • Établir des politiques et pratiques de gouvernance encadrant les renseignements personnels : rôles et responsabilités, conservation, destruction, traitement des plaintes. Une information détaillée doit être diffusée en termes simples et clairs, généralement via la politique de confidentialité du site.

2. Gestion des incidents de confidentialité

  • Tenir un registre des incidents de confidentialité : tout accès, utilisation ou communication non autorisé, ainsi que toute perte ou vol, doit y être consigné, même les incidents mineurs.
  • Évaluer le risque de préjudice sérieux pour chaque incident : sensibilité des renseignements, conséquences appréhendées, probabilité d’utilisation malveillante.
  • Notifier la Commission d’accès à l’information et les personnes concernées avec diligence lorsque ce risque existe, et prendre des mesures raisonnables pour le réduire.

C’est ici que conformité et cybersécurité se rejoignent : un rançongiciel, un compte courriel compromis ou un portable volé non chiffré sont des incidents de confidentialité au sens de la loi.

3. Consentement et transparence

  • Obtenir un consentement manifeste, libre et éclairé, demandé pour des fins spécifiques et distinctement de toute autre information. Les renseignements sensibles exigent un consentement exprès.
  • Configurer les paramètres de confidentialité au niveau le plus élevé par défaut pour les produits et services technologiques offerts au public. Les bannières de témoins non conformes restent l’un des manquements les plus faciles à constater de l’extérieur.
  • Informer les personnes lors de décisions fondées sur un traitement exclusivement automatisé et leur permettre de présenter des observations.
  • Déclarer tout système de biométrie au moins soixante jours avant sa mise en service.

4. Cycle de vie des renseignements

  • Réaliser une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement ou de refonte de système impliquant des renseignements personnels. Un changement de logiciel de gestion de la relation client entre dans cette catégorie.
  • En réaliser une avant toute communication hors Québec et s’assurer que la juridiction de destination offre une protection adéquate. Héberger vos données clients chez un fournisseur étranger sans analyse documentée est un manquement.
  • Détruire ou anonymiser les renseignements lorsque les fins de leur collecte sont accomplies.
  • Assurer la portabilité : toute personne peut exiger de recevoir ses renseignements dans un format structuré et couramment utilisé.

5. Encadrement des sous-traitants

Toute communication de renseignements personnels à un fournisseur, qu’il s’agisse d’un hébergeur, d’une agence, d’un prestataire informatique ou d’un service de paie, doit être encadrée par un contrat écrit précisant les mesures de protection, la limitation d’usage, la destruction en fin de contrat et l’obligation de vous notifier tout incident. C’est l’une des obligations les plus négligées, et l’une des plus faciles à vérifier pour un inspecteur.

Que risquez-vous réellement ?

Trois régimes de sanctions se cumulent : des sanctions administratives que la Commission impose directement, des poursuites pénales, et un droit privé d’action ouvert à chaque personne dont les renseignements ont été compromis. S’y ajoutent les coûts qui frappent même sans sanction finale.

1. Sanctions administratives pécuniaires. La Commission peut les imposer sans passer par les tribunaux : jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé. Pour une entreprise de 2 M$ de chiffre d’affaires, le plafond théorique de 2 % représente déjà 40 000 $, sans compter les ordonnances correctives.

2. Sanctions pénales. Pour les infractions graves, de 15 000 $ à 25 M$ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les personnes physiques, dirigeants inclus, s’exposent à des amendes de 5 000 $ à 100 000 $. En cas de récidive, les amendes sont doublées.

3. Droit privé d’action. Toute personne dont les renseignements ont été compromis peut réclamer des dommages-intérêts, avec des dommages punitifs d’au moins 1 000 $ par personne en cas d’atteinte illicite et intentionnelle ou de faute lourde. Une fuite touchant 5 000 clients établit un plancher théorique de 5 M$ en recours collectif, avant les frais juridiques.

À ces montants s’ajoutent l’accompagnement juridique pendant une enquête, la remédiation technique d’urgence, la mobilisation de la direction et, les décisions de la Commission étant publiques, l’impact réputationnel auprès de vos clients et donneurs d’ordres.

Pourquoi est-ce d’abord un enjeu de cybersécurité ?

Parce que la majorité des incidents de confidentialité notifiables ont une cause technique et non documentaire : hameçonnage, identifiants compromis sans authentification multifacteur, équipement exposé non corrigé, sauvegardes défaillantes. Une politique impeccable ne protège ni vos données ni votre responsabilité.

Beaucoup d’organisations abordent la Loi 25 comme un exercice documentaire : rédiger une politique, nommer un responsable, cocher des cases. C’est nécessaire et insuffisant.

Le constat du terrain est sans ambiguïté : le Centre canadien pour la cybersécurité confirme que toutes les organisations canadiennes sont exposées aux rançongiciels, quelle que soit leur taille, et que l’hameçonnage et les identifiants volés en restent les portes d’entrée dominantes.

La loi exige des « mesures de sécurité raisonnables » proportionnées à la sensibilité des renseignements. C’est l’incident qui déclenche l’enquête, et c’est l’état réel de vos contrôles techniques qui déterminera l’appréciation de la Commission.

Comment aborder la conformité et la sécurité ensemble ?

En traitant les deux comme un seul chantier, parce que c’est ainsi que la Commission les évaluera. Notre démarche va du diagnostic à l’amélioration continue, et chaque contrôle est cartographié simultanément sur la Loi 25, l’ISO 27001 et le cadre du NIST.

Étape 1 : diagnostic et cartographie. Inventaire des renseignements personnels détenus, cartographie des flux incluant les communications hors Québec, analyse d’écarts, priorisation par niveau de risque réel.

Étape 2 : mise en conformité documentaire et organisationnelle. Politiques de gouvernance et de confidentialité, registre des incidents, processus de notification, modèles d’évaluation, clauses contractuelles pour vos sous-traitants, accompagnement de votre responsable désigné.

Étape 3 : validation technique. Audit et tests d’intrusion menés par des professionnels certifiés : revue des accès et de l’authentification multifacteur, exposition externe, sauvegardes et capacité de restauration, sécurité des sites et applications. C’est cette étape qui transforme une conformité sur papier en protection réelle.

Étape 4 : maintien. Veille réglementaire, exercices de simulation d’incident, revue annuelle des écarts, tableau de bord destiné à la direction.

Par où commencer en quatre-vingt-dix jours ?

Par ce qui est visible et rapide, puis par ce qui demande une décision de direction, et enfin par ce qui suppose un travail technique. Le séquencement ci-dessous est un ordre de priorité, pas un engagement de délai : la durée réelle dépend de la disponibilité de vos décideurs.

Échéance Actions prioritaires
Jours 1 à 15 Désigner ou déléguer le responsable et publier ses coordonnées; démarrer l’inventaire des renseignements personnels et des sous-traitants
Jours 16 à 45 Publier ou corriger la politique de confidentialité; mettre en place le registre des incidents et le processus de notification; corriger la bannière de consentement
Jours 46 à 75 Encadrer contractuellement les sous-traitants critiques; réaliser les évaluations pour les flux hors Québec; activer l’authentification multifacteur et vérifier les sauvegardes
Jours 76 à 90 Faire valider la posture par un audit externe; établir le calendrier de conservation et de destruction; planifier la formation des employés

La Loi 25 n’est pas une contrainte administrative de plus : c’est le nouveau standard de confiance minimal pour faire affaire au Québec. Les organisations qui l’abordent sérieusement en tirent un avantage mesurable auprès des clients, des donneurs d’ordres qui exigent des garanties contractuelles, et des assureurs cyber dont les questionnaires recoupent directement ces obligations.

FAQ

Le registre des incidents est-il vraiment obligatoire si nous n’avons jamais eu d’incident ?

Oui, et c’est l’écart le plus fréquent que nous constatons. Le registre doit consigner tout accès, utilisation ou communication non autorisé ainsi que toute perte, y compris les incidents mineurs : un courriel envoyé au mauvais destinataire, un portable oublié dans un taxi, un dossier papier égaré. Sa mise en place coûte une heure. Le jour d’un incident sérieux, une organisation sans registre doit gérer la crise, reconstituer son historique et démontrer sa diligence en même temps.

Nos modèles de politique doivent-ils être validés par un avocat ?

Pas systématiquement. Des modèles adaptés par une personne non juriste suffisent dans beaucoup de situations simples. Une validation juridique devient utile dès que votre contexte présente une particularité : données sensibles, activités dans plusieurs juridictions, traitements automatisés influençant des décisions sur des personnes, ou contentieux en cours. Cet article est un document d’information générale et ne constitue pas un avis juridique.

Que se passe-t-il si nous découvrons un manquement chez nous ?

Le corriger et le documenter vaut mieux que l’ignorer. La Commission apprécie la diligence, et un manquement identifié, daté et assorti d’un plan de correction se défend nettement mieux qu’un manquement découvert par un inspecteur. L’erreur à éviter est de reconstituer après coup une conformité antidatée : les auditeurs le reconnaissent, et cela transforme une négligence en tentative de dissimulation.

Sources