Loi 25 : guide de conformité pour les PME du Québec

Pourquoi la Loi 25 vous concerne, même petit

La Loi 25 ne fixe aucun seuil de taille. Une clinique de cinq personnes, une agence web de dix employés ou un commerce de quartier tombent sous les mêmes principes qu'une banque. Ce qui varie, c'est l'effort proportionnel attendu : on ne demande pas à une PME le dispositif d'une multinationale, mais on attend une démarche sérieuse, cohérente et documentée.

Le législateur part d'un constat simple : les renseignements personnels sont devenus une matière sensible, et leur fuite cause des préjudices réels aux personnes. La loi vous responsabilise donc sur l'ensemble du cycle de vie de ces données, depuis leur collecte jusqu'à leur destruction.

Concrètement, vous devez savoir quels renseignements vous détenez, pourquoi vous les détenez, où ils sont stockés et qui peut y accéder. C'est souvent là que le bât blesse : très peu d'entreprises possèdent cette cartographie. La bonne nouvelle, c'est qu'une fois ce travail de fond réalisé, le reste de la conformité en découle presque naturellement.

Nommer un responsable de la protection des renseignements

La loi impose qu'une personne soit officiellement responsable de la protection des renseignements personnels. Par défaut, ce rôle revient à la personne ayant la plus haute autorité dans l'entreprise, mais il peut être délégué par écrit à un membre de l'équipe. Dans une PME, c'est souvent le dirigeant, le directeur des opérations ou le responsable administratif.

Ce responsable n'a pas besoin d'être juriste ni informaticien. Sa mission est de veiller au respect des règles, de traiter les demandes d'accès et de rectification, et de servir de point de contact pour la Commission comme pour le public. Ses coordonnées doivent être publiées, généralement sur votre site web.

C'est une formalité simple, mais son absence constitue un manquement visible et facile à reprocher. Désigner ce responsable et publier ses coordonnées est l'une des premières actions, rapides et peu coûteuses, à poser dans une démarche de mise en conformité.

Tenir un registre des incidents de confidentialité

Tout incident touchant des renseignements personnels doit être consigné dans un registre dédié : un courriel envoyé au mauvais destinataire, un ordinateur portable volé, une intrusion informatique, une clé USB égarée. Le registre note la nature de l'incident, les données concernées, les mesures prises et l'évaluation du risque de préjudice.

Quand un incident présente un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information ainsi que les personnes touchées. La frontière entre incident mineur et incident grave demande du jugement, et ce jugement doit pouvoir s'appuyer sur des faits documentés plutôt que sur une impression.

Une bonne gestion de la cybersécurité facilite énormément cette obligation : la journalisation des accès et des événements permet de reconstituer ce qui s'est passé, d'évaluer l'ampleur réelle et de décider posément, plutôt que dans la panique d'une découverte tardive.

Évaluer les facteurs relatifs à la vie privée (EFVP)

Avant de lancer un projet qui implique des renseignements personnels (nouveau logiciel de gestion, passage à l'infonuagique, partage de données avec un partenaire), la loi demande de réaliser une évaluation des facteurs relatifs à la vie privée. L'idée est de réfléchir aux risques en amont, pas de les découvrir une fois le mal fait.

Pour une PME, une EFVP n'a pas à ressembler à un rapport de cent pages. Une grille claire suffit dans la plupart des cas : quelles données sont en jeu, quel fournisseur les traitera, où seront-elles hébergées, quelles protections sont en place, et y a-t-il un transfert hors Québec ?

Documenter ce raisonnement vous protège doublement. D'une part, vous démontrez votre diligence en cas de contrôle. D'autre part, vous accélérez vos décisions futures : un cadre d'évaluation réutilisable évite de repartir de zéro à chaque nouveau projet.

Les mesures de sécurité réellement attendues

La loi parle de mesures de sécurité raisonnables, sans dresser de liste figée. En pratique, on attend un socle technique précis et reconnu : authentification forte (MFA) sur les comptes sensibles, chiffrement des données et des sauvegardes, gestion des accès selon le principe du moindre privilège, et journalisation permettant de retracer les accès en cas d'incident.

À ce socle s'ajoutent des sauvegardes testées et un plan de reprise crédible. Ces mesures ne servent pas qu'à cocher une case réglementaire : elles constituent aussi votre meilleure défense contre les rançongiciels et les pannes, qui restent les premières causes de perte de données dans les PME.

Notre page cybersécurité et conformité détaille ces contrôles. L'enseignement clé est que conformité et sécurité avancent main dans la main : en renforçant l'une, vous progressez sur l'autre, ce qui rend l'investissement doublement rentable.

Où héberger vos données : la question de la souveraineté

La Loi 25 encadre strictement les transferts de renseignements personnels hors Québec. Vous pouvez toujours recourir à un fournisseur étranger, mais vous devez alors évaluer la protection qu'il offre et, le cas échéant, justifier ce choix. Cette démarche est lourde et incertaine, surtout face à des géants soumis à des lois extraterritoriales.

Le chemin le plus simple reste d'héberger vos données au Canada. Un cloud souverain hébergé au Québec garantit que vos renseignements demeurent sous juridiction canadienne, à l'abri des réquisitions étrangères, ce qui supprime d'emblée une bonne partie des zones grises.

Pour une PME montréalaise, conjuguer un hébergement infogéré local et une démarche de conformité simplifie considérablement la vie. Vous traitez en même temps la performance, la sécurité et la dimension juridique, avec un interlocuteur unique qui comprend le contexte québécois.

Documenter et prouver sa conformité

En matière de Loi 25, ce qui n'est pas documenté n'existe pas. En cas de plainte, d'incident ou de contrôle, vous devrez présenter vos politiques écrites, votre registre des incidents, vos journaux d'accès et vos preuves de sauvegarde. La documentation fait la différence entre une PME prise au dépourvu et une PME capable de démontrer sa diligence.

Cette exigence rebute souvent les dirigeants, qui y voient de la paperasse. Pourtant, une fois les modèles en place (politique de confidentialité, procédure d'incident, grille d'EFVP), la tenue devient routinière et légère, surtout si elle est intégrée aux opérations courantes.

Confier cette tenue de dossier à une infogérance à Montréal présente un avantage concret : la documentation technique reste à jour sans que vous ayez à y penser, et un tiers compétent peut en attester. Vous transformez une obligation pesante en routine maîtrisée.

Un plan d'action réaliste en six étapes

Inutile de tout entreprendre en une journée. Commencez par inventorier les renseignements personnels que vous détenez : où sont-ils, sous quelle forme, depuis combien de temps. Cartographiez ensuite les accès : qui voit quoi, et pour quelle raison légitime. Cette base éclaire toutes les décisions suivantes.

Corrigez ensuite les failles évidentes, celles qui offrent le meilleur rapport effort/risque : activer la MFA, vérifier que les sauvegardes fonctionnent réellement, restreindre les droits excessifs. Nommez votre responsable et publiez ses coordonnées. Formalisez vos politiques et votre procédure d'incident.

Enfin, planifiez une revue annuelle pour maintenir le dispositif vivant. Un diagnostic externe aide à prioriser intelligemment : on traite d'abord ce qui présente le plus de risque pour le moindre effort, au lieu de se disperser sur des détails pendant que des failles béantes subsistent.

FAQ