Loi 25 : ce que votre PME doit réellement faire
La Loi 25 n'est pas qu'une affaire de juristes : l'essentiel des obligations se traduit par des mesures informatiques concrètes. Voici ce qu'elle exige, ce que la plupart des PME oublient, et comment s'y conformer sans démesure.
- La Loi 25 encadre la façon dont votre entreprise recueille, conserve et protège les renseignements personnels — de vos clients comme de vos employés.
- La plupart des obligations se règlent par des mesures concrètes : un responsable désigné, un registre d'incidents, des accès contrôlés et des sauvegardes.
- L'essentiel du risque se couvre avec quelques mesures bien appliquées, pas avec un projet de conformité interminable.
Ce qu'est la Loi 25, en clair
La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est la loi québécoise sur la vie privée dans le secteur privé. Elle s'applique à toute entreprise qui détient des renseignements personnels au Québec — donc à la quasi-totalité des PME, ne serait-ce que pour les dossiers de leurs employés et de leurs clients.
Elle ne vous demande pas de devenir juriste. Elle vous demande de savoir quels renseignements vous détenez, pourquoi, où ils sont, qui y a accès, et quoi faire s'ils sont compromis. Presque tout cela se traduit par des décisions et des mesures informatiques.
Les obligations qui touchent directement votre informatique
Voici les exigences que nous voyons revenir le plus souvent en PME, et à quoi elles correspondent concrètement.
| Obligation | Ce que ça veut dire concrètement |
|---|---|
| Désigner un responsable | Une personne responsable de la protection des renseignements personnels, nommée et joignable (souvent la direction au départ). |
| Tenir un registre d'incidents | Consigner tout incident de confidentialité, évaluer le risque de préjudice et aviser la Commission d'accès et les personnes concernées quand le risque est sérieux. |
| Contrôler les accès | Limiter l'accès aux renseignements aux personnes qui en ont besoin, avec des comptes nommés et une révocation rapide au départ d'un employé. |
| Protéger et sauvegarder | Chiffrement, mots de passe robustes, double authentification et sauvegardes isolées et testées pour pouvoir restaurer après un incident. |
| Encadrer la conservation | Ne garder les renseignements que le temps nécessaire, puis les détruire ou les anonymiser de façon sûre. |
| Gérer le consentement | Informer clairement de ce qui est recueilli et pourquoi, et publier une politique de confidentialité à jour. |
Ce qui a changé — et pourquoi ça presse
Les obligations sont entrées en vigueur par étapes, et le calendrier est maintenant complet.
- Depuis septembre 2022 : l'obligation de désigner un responsable et de déclarer les incidents de confidentialité.
- Depuis septembre 2023 : le cœur de la loi — consentement, transparence, encadrement des communications de renseignements, et surtout des sanctions dissuasives et un droit d'action privé.
- Depuis septembre 2024 : le droit à la portabilité des données, qui suppose de pouvoir extraire les renseignements d'une personne dans un format utilisable.
Le point important : la conformité n'est plus « à préparer ». Les sanctions et le droit d'action privé sont en vigueur. Une PME non conforme est exposée dès aujourd'hui.
Les écarts les plus fréquents en PME
Dans les faits, ce ne sont presque jamais de grands manquements de principe. Ce sont des trous concrets, faciles à corriger une fois nommés.
- Aucun registre d'incidents. On saurait qu'un incident s'est produit, mais rien n'est prévu pour l'évaluer ni le consigner.
- Des comptes d'anciens employés encore actifs. L'accès n'a jamais été révoqué — l'un des écarts les plus courants et les plus risqués.
- Des sauvegardes jamais testées. On croit pouvoir restaurer, mais personne n'a vérifié. La Loi 25 suppose de pouvoir récupérer les données.
- Une politique de confidentialité générique. Copiée d'un modèle, elle ne reflète pas ce que l'entreprise fait réellement de ses données.
- Aucune double authentification. Sur les courriels et les accès à distance, c'est la mesure au meilleur rendement pour protéger les renseignements.
Comment nous vous accompagnons
Nous ne remplaçons pas votre conseiller juridique : nous mettons en place le volet informatique de votre conformité. Concrètement, nous faisons l'état des lieux de vos accès, de vos sauvegardes et de vos protections, nous corrigeons les écarts prioritaires, et nous outillons votre responsable désigné pour tenir le registre et réagir à un incident.
La bonne nouvelle, répétons-le : l'essentiel du risque se couvre avec quelques mesures bien appliquées. On commence par les plus rentables, et on avance à votre rythme.
Faisons le point sur votre conformité Loi 25
30 minutes pour évaluer où en est le volet informatique de votre conformité et identifier les écarts prioritaires — sans jargon, sans engagement.