Loi 25 au Québec : le guide de conformité pour les PME
Mis à jour en 2026
La Loi 25 a profondément modernisé la protection des renseignements personnels au Québec. Toute entreprise qui recueille des renseignements sur ses clients, ses prospects ou ses employés est concernée, peu importe sa taille. Voici, en clair, ce qu'elle exige et comment vous mettre en conformité sans paralyser vos projets numériques.
Qu'est-ce que la Loi 25 ?
La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a été adoptée en septembre 2021. Elle modifie surtout la Loi sur la protection des renseignements personnels dans le secteur privé.
Ses obligations sont entrées en vigueur en trois étapes : septembre 2022 (responsable de la protection, incidents de confidentialité), septembre 2023 (politiques, EFVP, consentement, transparence) et septembre 2024 (droit à la portabilité des données).
Qui est concerné au Québec ?
Toute entreprise qui exploite au Québec et recueille des renseignements personnels : une PME avec un CRM, un commerce en ligne, un cabinet, une entreprise de services, un travailleur autonome avec un fichier clients. Un renseignement personnel est toute information qui permet d'identifier une personne : nom, courriel, téléphone, adresse IP, données RH.
Quelles sont vos obligations ?
Désigner un responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité) et publier son titre et ses coordonnées sur votre site.
Adopter et publier des politiques de gouvernance des renseignements personnels, obtenir un consentement clair et distinct, informer les personnes de l'usage de leurs données, et désactiver par défaut les technologies de profilage ou de localisation.
Réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant tout projet de système qui traite des renseignements personnels, et avant toute communication de renseignements à l'extérieur du Québec.
Tenir un registre des incidents de confidentialité et déclarer à la Commission d'accès à l'information (CAI), ainsi qu'aux personnes concernées, tout incident qui présente un risque de préjudice sérieux.
Quelles sanctions en cas de non-conformité ?
Les sanctions administratives pécuniaires imposées par la CAI peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.
Les personnes concernées peuvent aussi réclamer des dommages-intérêts. Et au-delà de l'argent, un incident mal géré abîme durablement la confiance de vos clients.
Ce que ça change pour vos outils numériques
Votre CRM, votre ERP, votre site et vos agents IA traitent tous des renseignements personnels. Chaque nouveau projet doit donc intégrer la vie privée dès la conception : accès limités, chiffrement, journalisation, conservation encadrée et paramètres de confidentialité les plus élevés par défaut.
Si vos données sont hébergées hors du Québec (outil infonuagique américain ou européen, par exemple), l'EFVP doit démontrer qu'elles bénéficient d'une protection adéquate, encadrée par une entente écrite avec le fournisseur.
La checklist pour se mettre en conformité
- 1Désigner le responsable de la protection des renseignements personnels et publier ses coordonnées.
- 2Cartographier vos renseignements personnels : quoi, où, pourquoi, qui y accède, combien de temps.
- 3Rédiger et publier vos politiques de gouvernance et de confidentialité.
- 4Revoir vos consentements, votre bandeau de témoins (cookies) et vos formulaires.
- 5Réaliser une EFVP pour vos systèmes et vos transferts hors du Québec.
- 6Sécuriser vos outils : accès, chiffrement, sauvegardes, journalisation.
- 7Mettre en place un registre et une procédure de gestion des incidents de confidentialité.
- 8Prévoir la destruction ou l'anonymisation des renseignements en fin de conservation.
Comment Cypheria vous accompagne
On prend en charge le volet technique et organisationnel de votre conformité à la Loi 25 : cartographie des renseignements, EFVP de vos systèmes (CRM, ERP, site, agents IA), sécurisation de vos outils, procédure d'incident et documentation des mesures. On travaille avec votre conseiller juridique quand c'est nécessaire. Objectif : que votre transformation numérique ne crée jamais d'exposition.
Questions fréquentes
La Loi 25, c'est quoi ?
La Loi 25 est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée au Québec en septembre 2021. Elle modifie surtout la Loi sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur en trois étapes, en 2022, 2023 et 2024.
Mon entreprise est-elle concernée par la Loi 25 ?
Oui, si votre entreprise exploite au Québec et recueille des renseignements personnels : clients, prospects, employés, utilisateurs d'un site ou d'une application. La loi s'applique quelle que soit la taille de l'entreprise, PME et travailleurs autonomes compris.
Qui contrôle l'application de la Loi 25 ?
La Commission d'accès à l'information du Québec (CAI). Elle reçoit les déclarations d'incidents de confidentialité, peut enquêter et imposer des sanctions administratives pécuniaires.
Quelles sont les sanctions prévues ?
Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, le montant le plus élevé étant retenu. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Les personnes concernées peuvent aussi réclamer des dommages-intérêts.
Qu'est-ce qu'un responsable de la protection des renseignements personnels ?
C'est la personne qui veille au respect de la loi dans l'entreprise. Par défaut, c'est la personne ayant la plus haute autorité, souvent le président ou la présidente. Cette fonction peut être déléguée par écrit, et le titre et les coordonnées du responsable doivent être publiés sur le site de l'entreprise.
Qu'est-ce qu'une EFVP ?
L'évaluation des facteurs relatifs à la vie privée (EFVP) est une analyse des risques à mener avant tout projet d'acquisition, de développement ou de refonte d'un système qui traite des renseignements personnels (CRM, ERP, site, agent IA), et avant de communiquer des renseignements à l'extérieur du Québec.
Puis-je héberger mes données hors du Québec ?
Oui, mais avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris chez un fournisseur infonuagique, vous devez réaliser une EFVP et vous assurer que les renseignements bénéficieront d'une protection adéquate, encadrée par une entente écrite.
Loi 25 et LPRPDE : quelle différence ?
La LPRPDE est la loi fédérale canadienne. Elle s'applique notamment aux renseignements qui traversent les frontières provinciales ou nationales dans le cadre d'activités commerciales. Pour les activités d'une entreprise privée au Québec, c'est la loi québécoise, modifiée par la Loi 25, qui s'applique. Les deux peuvent coexister selon vos flux de données.
Ce guide est informatif et ne constitue pas un avis juridique. Pour les obligations précises applicables à votre situation, référez-vous aux textes officiels et à la Commission d'accès à l'information du Québec.
Où en êtes-vous avec la Loi 25 ?
30 minutes pour cartographier votre exposition et identifier vos priorités. Sans jargon, sans engagement.
Demander mon audit gratuit →