Conformité à la Loi 25 : ce que doit faire une PME québécoise

Qui est concerné par la Loi 25 ?

Toute entreprise qui exerce au Québec et qui recueille, détient, utilise ou communique des renseignements personnels, quelle que soit sa taille. La loi ne fixe aucun seuil d'effectif ni de chiffre d'affaires : une entreprise de cinq personnes qui conserve des dossiers d'employés y est assujettie.

L'idée que la Loi 25 viserait les grandes organisations est la méprise la plus répandue et la plus coûteuse. Le texte parle d'« entreprise » au sens du Code civil du Québec : l'exercice d'une activité économique organisée. Un cabinet, un OBNL, un commerce ou un manufacturier y entrent de la même façon.

La question utile n'est donc pas « sommes-nous concernés » mais « quels renseignements détenons-nous, et où ». Les dossiers d'employés, les listes de clients, les courriels de prospection, les enregistrements de caméras, les fichiers de paie : tout cela constitue des renseignements personnels au sens de la loi.

À cela s'ajoute un effet indirect qui pèse souvent plus que la loi elle-même : les donneurs d'ordre exigent désormais des attestations de leurs fournisseurs. Beaucoup de PME découvrent leurs obligations dans le questionnaire de conformité d'un client, à quelques jours d'une échéance.

Quelles sont les obligations, concrètement ?

Cinq obligations structurent l'essentiel : désigner un responsable de la protection des renseignements personnels, publier une politique de gouvernance, tenir un registre des incidents, notifier les incidents présentant un risque de préjudice sérieux, et évaluer les facteurs relatifs à la vie privée avant certains projets.

Elles ne se traitent pas dans le désordre. Le responsable doit exister avant de pouvoir répondre d'un incident ; le registre doit exister avant qu'un incident ne survienne. Une PME qui commence par la politique publiée (la plus visible)obtient une conformité de façade qui ne tient pas au premier contrôle.

• Désigner un responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. Elle peut déléguer par écrit. Son titre et ses coordonnées doivent être publiés sur le site.
• Publier une politique de gouvernance. Elle décrit les rôles, la conservation, la destruction, le traitement des plaintes et le recours à des tiers. Elle est publique et rédigée en termes simples.
• Tenir un registre des incidents de confidentialité. Tout incident y est consigné, qu'il soit notifiable ou non. Un registre vide après plusieurs années est en soi un signal d'alerte pour un enquêteur.
• Notifier les incidents à risque de préjudice sérieux. À la Commission d'accès à l'information et aux personnes concernées, avec diligence. La qualification du préjudice tient compte de la sensibilité des renseignements et des conséquences appréhendées.
• Réaliser une évaluation des facteurs relatifs à la vie privée (EFVP). Avant l'acquisition ou la refonte d'un système traitant des renseignements personnels, et avant toute communication hors Québec.
• Respecter les droits des personnes. Accès, rectification, retrait du consentement, cessation de diffusion, et portabilité des renseignements informatisés.

Que risque une PME qui ne fait rien ?

La loi prévoit des sanctions administratives pécuniaires et des amendes pénales, dont les plafonds figurent au texte. Mais pour une PME, la sanction la plus fréquente n'est pas l'amende : c'est le contrat perdu, parce qu'un donneur d'ordre exige une attestation qu'on ne peut pas produire.

Les montants maximaux prévus par la loi sont élevés et souvent cités pour impressionner. Ils décrivent un plafond, pas une pratique : les sanctions effectivement imposées dépendent de la gravité, de la bonne foi et des mesures prises. Nous ne les mettons pas en avant, parce qu'agiter un chiffre maximal relève de la peur et non du conseil.

Le risque réel est plus prosaïque. Un incident mal géré expose l'entreprise à une plainte, et une plainte déclenche un examen de l'ensemble du dispositif, y compris de ce qui n'a rien à voir avec l'incident. Une entreprise qui a documenté ses décisions se défend ; une entreprise qui improvise découvre ses manques devant l'enquêteur.

Par où commencer quand on part de zéro ?

Par la cartographie des renseignements détenus : lesquels, où, pourquoi, qui y accède, combien de temps ils sont conservés. Sans cette carte, il est impossible de rédiger une politique exacte, de qualifier un incident ou de répondre à une demande d'accès. Tout le reste en découle.

Cette étape se fait avec les personnes qui manipulent réellement les données (paie, ventes, service client)et non depuis un organigramme. C'est là qu'on découvre le tableur partagé hors du système, la boîte courriel utilisée comme archive, ou le prestataire qui détient une copie complète de la base clients.

Vient ensuite la désignation du responsable, puis les documents : politique, procédure d'incident, registre, grille d'EFVP. Ils se rédigent à partir de la cartographie, pas d'un modèle générique : un modèle téléchargé décrit une entreprise qui n'est pas la vôtre, et se retourne contre vous s'il est contredit par vos pratiques réelles.

La durée dépend entièrement du point de départ : du nombre de systèmes, de la dispersion des données et de la disponibilité des personnes qui les connaissent. Nous ne l'annonçons pas à l'avance, parce que l'annoncer reviendrait à deviner.

Conformité et sécurité : quelle différence ?

La conformité documente ce que vous faites des renseignements ; la sécurité empêche qu'on vous les prenne. Une entreprise parfaitement conforme sur le papier peut être compromise en une heure, et une entreprise bien protégée peut être en défaut faute d'avoir désigné un responsable. Les deux chantiers se mènent ensemble.

La loi fait d'ailleurs le lien elle-même : elle exige des mesures de sécurité propres à assurer la protection des renseignements, proportionnées à leur sensibilité. Une politique qui promet la confidentialité sans authentification à plusieurs facteurs ni sauvegardes testées décrit une intention, pas une mesure.

C'est pourquoi nous traitons la conformité comme un volet d'un accompagnement, et non comme une prestation documentaire isolée. L'inverse (produire des documents que la technique ne soutient pas)fabrique un risque supplémentaire : celui d'une déclaration inexacte.

Questions fréquentes