Loi 25 : la checklist conformité pour votre PME
Divulgation: certains liens peuvent être affiliés.
La Loi 25 (modernisation de la Loi sur la protection des renseignements personnels dans le secteur privé) s’applique à toute entreprise privée du Québec qui détient des renseignements personnels — clients, employés, prospects. Même à 2 employés. Voici les 8 actions concrètes à mettre en place, sans jargon juridique.
1. Désignez un responsable de la protection des renseignements personnels
Nommez officiellement une personne responsable (par défaut, la personne ayant la plus haute autorité : souvent vous, le propriétaire) et publiez son titre et ses coordonnées sur votre site web. C’est l’exigence numéro 1, et la plus simple à remplir.
2. Obtenez un vrai consentement
Le consentement doit être manifeste, libre et éclairé, donné pour des fins précises. Concrètement : cases à cocher non pré-cochées sur vos formulaires, mentions claires avant chaque collecte (infolettre, formulaire de contact, compte client). Les cases pré-cochées ne valent rien.
3. Publiez une politique de confidentialité claire
Rédigez une page Politique de confidentialité en langage simple : quelles données vous collectez, pourquoi, combien de temps vous les gardez, qui y a accès, comment vous contacter. Mettez le lien dans le pied de page de votre site. C’est souvent la première chose qu’un vérificateur regarde.
4. Tenez un registre des incidents (et préparez votre plan 72 h)
Documentez tout incident de confidentialité (accès non autorisé, perte, vol de données) dans un registre. Si le risque de préjudice est sérieux, vous devez aviser la Commission d’accès à l’information (CAI) et les personnes concernées. Préparez un mini-plan à l’avance : qui fait quoi dans les 72 heures.
5. Faites l’inventaire de vos données
Listez simplement : quelles données vous avez (noms, courriels, factures...), où elles sont (Gmail, CRM, classeur...), qui y a accès, combien de temps vous les gardez. Puis appliquez la règle d’or : ne gardez que ce qui est nécessaire, détruisez le reste de façon sécuritaire.
6. Respectez les droits des personnes (délai : 30 jours)
Vos clients et employés peuvent demander l’accès à leurs données, leur rectification et parfois leur suppression. Mettez en place un processus simple pour répondre dans les 30 jours : une adresse courriel dédiée et une procédure écrite suffisent pour une PME.
7. Encadrez vos fournisseurs
Votre hébergeur, votre CRM, votre outil d’infolettre traitent des données pour vous : vos contrats doivent inclure des clauses de protection des données (qui fait quoi, où sont hébergées les données). Vérifiez aussi où vos outils hébergent les données — au Canada, c’est plus simple.
Voir notre comparatif hébergement · Voir notre comparatif CRM
8. Formez votre équipe (même petite)
La loi exige de sensibiliser le personnel qui traite des renseignements personnels. Pour une petite équipe : une courte formation sur les bons réflexes (mots de passe, phishing, verrouillage d’écran, pas de données clients sur des clés USB) suffit, tant qu’elle est documentée.
⚠️ Les sanctions, pour être lucide
Sanctions administratives : jusqu’à 2 % du chiffre d’affaires mondial ou 10 M$. Sanctions pénales : jusqu’à 25 M$ ou 4 % du chiffre d’affaires. En pratique, la CAI vise d’abord l’accompagnement — mais un incident mal géré sans aucun dossier de conformité, c’est l’exposition maximale.
Ce guide est informatif et ne constitue pas un avis juridique. Pour les situations complexes, consultez un professionnel.
🚀 Vous voulez vraiment maîtriser l'IA ?
L'IA n'est qu'un des outils à votre disposition. Pour comprendre les assistants IA en profondeur, les utiliser avec confiance et les intégrer à votre quotidien d'entreprise, découvrez IAFacile, notre formation en français pensée pour les débutants.
Un regard d'expert sur votre situation ?
En 15 minutes, on regarde ensemble où vous en êtes et ce qui vous ferait vraiment gagner du temps — sans jargon, sans pression.