Gouvernance & conformité
Conformité à la Loi 25 : ce que doit faire une PME québécoise
Obligation par obligation, ce que la loi attend d’une entreprise qui recueille des renseignements personnels au Québec, et par quoi commencer sans service juridique.
L’essentiel
- La loi s’applique dès qu’une entreprise détient des renseignements personnels, sans seuil d’effectif.
- Cinq obligations structurent le reste, et elles ne se traitent pas dans le désordre.
- La conformité est un état à maintenir, pas un projet à clore.
- Le premier geste utile est de cartographier les renseignements détenus.
Beaucoup de PME découvrent la Loi 25 dans le questionnaire d’un client
Un donneur d’ordre vous envoie une attestation de conformité à signer, avec une échéance courte. C’est souvent là que la loi devient concrète. Elle ne fixe aucun seuil d’effectif ni de chiffre d’affaires : une entreprise de cinq personnes qui conserve des dossiers d’employés y est assujettie.
Le texte parle d’« entreprise » au sens du Code civil du Québec, soit l’exercice d’une activité économique organisée. Un cabinet, un OBNL, un commerce ou un manufacturier y entrent de la même façon. La question utile n’est donc pas « sommes-nous concernés » mais « quels renseignements détenons-nous, et où ».
La sanction la plus fréquente, pour une PME, n’est d’ailleurs pas l’amende : c’est le contrat perdu faute de pouvoir produire l’attestation demandée. Les plafonds prévus par la loi sont souvent cités pour impressionner ; ils décrivent un maximum, pas une pratique, et nous ne les mettons pas en avant.
Cinq obligations structurent la conformité
Elles ne se traitent pas dans le désordre : le responsable doit exister avant qu’on puisse répondre d’un incident, et le registre avant que l’incident ne survienne. Commencer par la politique publiée, la plus visible, donne une conformité de façade qui ne tient pas au premier contrôle.
- Le responsable. Par défaut la personne ayant la plus haute autorité. Elle peut déléguer par écrit ; ses coordonnées sont publiées.
- La politique de gouvernance. Rôles, conservation, destruction, plaintes, recours à des tiers. Publique, et rédigée en termes simples.
- Le registre des incidents. Tout incident y figure, notifiable ou non. Un registre vide après des années alerte un enquêteur.
- La notification. À la Commission d’accès à l’information et aux personnes concernées, dès qu’il existe un risque de préjudice sérieux.
- L’évaluation des facteurs relatifs à la vie privée. Avant un nouveau système traitant des renseignements personnels, et avant toute communication hors Québec.
S’y ajoute le respect des droits des personnes : accès, rectification, retrait du consentement, portabilité des renseignements informatisés.
Tout part de la cartographie des renseignements détenus
Lesquels, où, pourquoi, qui y accède, combien de temps ils sont conservés. Sans cette carte, impossible de rédiger une politique exacte, de qualifier un incident ou de répondre à une demande d’accès. Tout le reste en découle, y compris ce qu’on peut cesser de conserver.
Cette étape se fait avec les personnes qui manipulent réellement les données, à la paie, aux ventes, au service client, et non depuis un organigramme. C’est là qu’on découvre le tableur partagé hors du système, la boîte courriel utilisée comme archive, ou le prestataire qui détient une copie complète de la base clients.
Les documents viennent ensuite, et se rédigent à partir de cette carte. Un modèle téléchargé décrit une entreprise qui n’est pas la vôtre, et se retourne contre vous s’il est contredit par vos pratiques réelles.
Ce que nous observons sur le terrain
Ce que nous voyons le plus souvent en PME
La difficulté n’est presque jamais de comprendre la loi : c’est de savoir où sont les données. Les renseignements personnels ont migré au fil des années vers des outils que personne n’a inventoriés, partages de fichiers, boîtes courriel, applications choisies par un service, copies conservées chez un prestataire.
Le second écart concerne les sous-traitants. La loi impose un encadrement contractuel des communications à des tiers, y compris hors Québec, or beaucoup d’outils quotidiens hébergent les données ailleurs sans que ce choix ait été instruit. Tendances observées dans nos mandats, pas statistique.
Questions fréquentes
Faut-il embaucher un responsable de la protection des renseignements personnels ?
Non. La fonction revient par défaut à la personne ayant la plus haute autorité, qui peut la déléguer par écrit ou s’appuyer sur un accompagnement externe. Ce qui compte est qu’elle soit attribuée, que ses coordonnées soient publiées, et que la personne désignée dispose du temps et de l’information nécessaires.
Notre politique de confidentialité actuelle suffit-elle ?
Rarement. La plupart des politiques en ligne décrivent l’usage du site web, alors que la loi attend une politique de gouvernance couvrant tous les renseignements détenus. Le test : si le document ne dit pas combien de temps vous conservez un dossier d’employé ni qui décide de le détruire, il ne couvre pas l’obligation.
Que faire dans les premières heures suivant un incident de confidentialité ?
Consigner l’incident au registre, en limiter la portée, puis qualifier le risque de préjudice sérieux au regard de la sensibilité des renseignements et des conséquences appréhendées. Si ce risque existe, la Commission et les personnes concernées doivent être avisées avec diligence. Cette qualification se prépare à froid.
La Loi 25 remplace-t-elle la LPRPDE ?
Non, elle s’y ajoute selon le contexte. La LPRPDE, fédérale, encadre notamment les renseignements qui traversent une frontière provinciale ou internationale dans le cadre d’activités commerciales. Une entreprise québécoise qui a des clients ailleurs au Canada peut relever des deux régimes.
Être conforme signifie-t-il être protégé contre une cyberattaque ?
Non. La conformité documente la gouvernance des renseignements, elle ne bloque pas une intrusion. La loi exige toutefois des mesures de sécurité proportionnées à leur sensibilité : c’est là que les deux sujets se rejoignent. Une conformité documentaire sans mesures techniques crée un risque de plus, celui d’avoir déclaré ce qui n’est pas en place.
Savoir où vous en êtes avant de rédiger quoi que ce soit
Un premier échange permet de situer votre point de départ : les renseignements que vous détenez, les systèmes concernés et ce qui existe déjà chez vous. Sans engagement de votre part.
Sources
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) · texte officiel à jour, Légis Québec
- Commission d’accès à l’information du Québec · autorité de surveillance : guides, déclaration d’incident, décisions
- Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) · régime fédéral, activités commerciales interprovinciales
Pour aller plus loin
SIRIS
L’accompagnement continu dont la conformité est un volet.
Notre politique de confidentialité
La nôtre, rédigée selon la méthode appliquée chez nos clients.
Évaluer votre exposition
Un questionnaire qui situe vos obligations principales.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.