Votre conformité Loi 25, documentée et prête à mettre en œuvre

Contenu vérifié le 24 août 2026. Cette page s'appuie sur la loi québécoise applicable au secteur privé et sur les indications publiées par la Commission d'accès à l'information. Elle fournit de l'information générale et ne remplace pas un avis juridique adapté à une situation particulière.

Qu'est-ce que la Loi 25?

Adoptée en septembre 2021, la Loi 25 a modernisé le régime québécois de protection des renseignements personnels. Pour les entreprises privées, les règles se trouvent principalement dans la Loi sur la protection des renseignements personnels dans le secteur privé. La Commission d'accès à l'information (CAI) en surveille l'application, reçoit les plaintes et peut intervenir lorsqu'une organisation ne respecte pas ses obligations.

Un renseignement personnel est une information qui concerne une personne physique et permet, directement ou indirectement, de l'identifier. La notion ne se limite donc pas aux dossiers médicaux et aux numéros d'assurance sociale. Un nom associé à un courriel, une adresse de livraison, un historique d'achats, un dossier d'employé ou certaines données techniques peuvent également être concernés. Pour une PME, le premier travail utile consiste à dresser un inventaire simple : quels renseignements sont recueillis, pourquoi, où ils sont conservés, qui peut y accéder et pendant combien de temps.

La conformité Loi 25 ne repose pas sur une politique isolée. L'entreprise doit répartir les responsabilités, encadrer le cycle de vie des renseignements, traiter les demandes des personnes, prévenir les incidents et documenter les décisions qui présentent un risque pour la vie privée. Les mesures attendues doivent être proportionnelles à la nature et à l'importance de ses activités. La CAI décrit ces responsabilités dans son guide destiné aux entreprises privées.

Amendes et sanctions de la Loi 25 : comprendre les montants

Les maximums prévus par la loi sont élevés. Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé. Pour certaines infractions pénales, le maximum peut atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Un recours privé peut aussi permettre l'octroi de dommages-intérêts et, dans certains cas, de dommages punitifs d'au moins 1 000 $. Notre guide sur les amendes et sanctions de la Loi 25 explique la différence entre ces mécanismes.

Ces maximums ne constituent pas une amende automatique pour toute erreur. La gravité du manquement, la sensibilité des renseignements, le nombre de personnes touchées, les mesures prises pour corriger la situation et les antécédents de l'entreprise comptent dans l'analyse. Une PME doit néanmoins pouvoir démontrer ses démarches. Un responsable identifié, un registre tenu à jour, une procédure d'incident et des décisions documentées sont des preuves plus utiles qu'une déclaration générale affirmant que l'entreprise « respecte la loi ».

La conformité joue aussi un rôle commercial. Un donneur d'ordre, un assureur cyber ou un partenaire peut demander une politique, une procédure d'incident, un inventaire des fournisseurs ou la confirmation qu'une ÉFVP a été menée. Disposer de documents exacts permet de répondre sans improviser. Cela ne garantit ni un contrat ni une couverture d'assurance, mais réduit le temps nécessaire pour expliquer ses pratiques.

Les points de conformité Loi 25 à vérifier en premier

Commencez par le responsable de la protection des renseignements personnels. Par défaut, cette fonction revient à la personne ayant la plus haute autorité. Elle peut être déléguée par écrit, en tout ou en partie, mais la direction demeure imputable et doit fournir les ressources nécessaires. Le titre et les coordonnées du responsable doivent être accessibles au public.

Vérifiez ensuite que votre politique de confidentialité décrit vos pratiques actuelles. Une politique reprise d'un autre site peut oublier un outil d'infolettre, un service de paiement, un logiciel de prise de rendez-vous ou un fournisseur d'infonuagique. À l'inverse, elle peut annoncer des mesures qui n'existent pas. L'inventaire des systèmes et des fournisseurs doit donc précéder la rédaction.

Enfin, examinez les situations moins visibles : un courriel envoyé au mauvais destinataire doit être évalué comme incident; un nouveau logiciel impliquant des renseignements personnels peut exiger une ÉFVP; un fournisseur situé hors du Québec appelle une analyse avant de lui confier des renseignements; les témoins de profilage ne doivent pas être activés sans le choix requis. Le diagnostic express de conformité Loi 25 transforme ces vérifications en plan d'action priorisé.

Loi 25, LPRPDE et RGPD : éviter les raccourcis

La Loi 25, la LPRPDE fédérale et le RGPD européen partagent plusieurs principes, mais ils ne sont ni interchangeables ni applicables selon les mêmes critères. Une entreprise peut relever de plusieurs régimes pour des activités différentes. Se conformer à l'un facilite certains travaux, notamment l'inventaire, la gestion des incidents et la réponse aux demandes, mais ne prouve pas automatiquement la conformité aux autres.

Les seuils de déclaration d'un incident ne portent pas le même nom et ne s'analysent pas de façon identique. La Loi 25 vise le risque de préjudice sérieux; la LPRPDE utilise la notion de risque réel de préjudice grave; le RGPD prévoit notamment un délai de 72 heures lorsque la notification à l'autorité est requise. Les droits de portabilité, les bases de traitement et les règles territoriales diffèrent également. Consultez nos comparaisons Loi 25 et LPRPDE et Loi 25 et RGPD avant de réutiliser un document conçu pour un autre régime.

Un service de conformité Loi 25 accessible partout au Québec

Le processus est entièrement à distance : questionnaire en ligne, échanges par courriel ou visioconférence et livraison numérique. Le même parcours est proposé aux entreprises de Montréal, Québec, Laval, Gatineau, Longueuil, Sherbrooke, Trois-Rivières, Saguenay, Lévis et Drummondville.

Une organisation située ailleurs au Canada ou à l'étranger peut aussi avoir besoin d'examiner la loi québécoise lorsqu'elle exerce des activités au Québec. L'analyse territoriale dépend toutefois des faits. Nous évitons donc de présenter la présence d'un seul client québécois comme une réponse juridique automatique. Le quiz de conformité gratuit aide à repérer les premiers écarts, tandis que le modèle de politique de confidentialité offre un point de départ aux entreprises qui souhaitent d'abord avancer seules.