Loi 25 : rappel du cadre et du calendrier d'application
La Loi 25 — officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (anciennement Loi 64) — a été adoptée en 2021 et déployée en trois phases échelonnées de 2022 à 2023. En 2026, toutes les obligations sont pleinement en vigueur et la Commission d'accès à l'information (CAI) du Québec a intensifié ses activités d'inspection et de sanction.
La loi s'applique à toute entreprise qui collecte, utilise, communique ou conserve des renseignements personnels sur des résidents du Québec — quelle que soit la taille de l'organisation. Il n'existe pas d'exemption PME. La méconnaissance de la loi n'est pas non plus une défense recevable devant la CAI.
1. Gouvernance : responsable de la protection des renseignements personnels
C'est l'obligation la plus souvent négligée dans les PME — et l'une des premières vérifiées par la CAI lors d'une inspection. Chaque organisation doit désigner formellement un Responsable de la protection des renseignements personnels (RPRP).
Ce que la loi exige concrètement
Ce qui est fréquemment manquant dans les PME
L'audit des PME québécoises révèle régulièrement trois lacunes : absence de page de politique de confidentialité à jour (ou politique copiée d'un modèle générique non adaptée à l'activité réelle), coordonnées du RPRP introuvables ou absentes du site, et absence total de registre des incidents.
2. Consentement : collecter et gérer correctement
La Loi 25 a fondamentalement redéfini les conditions du consentement valable. Le consentement implicite — naviguer sur un site, cocher une case pré-cochée, ne pas s'opposer — n'est plus suffisant pour la plupart des usages.
Consentement manifeste, libre et éclairé
Pour être valable, le consentement doit être :
Formulaires et cookies : points de vigilance en 2026
Les bannières de cookies restent l'un des points les plus vérifiés. En 2026, une bannière conforme doit permettre de refuser les cookies non essentiels aussi facilement qu'de les accepter — un bouton « Tout accepter » sans bouton « Tout refuser » équivalent viole la Loi 25. Les formulaires de collecte doivent également indiquer la finalité de chaque champ collecté.
3. Transparence : politique de confidentialité et avis
La politique de confidentialité n'est plus un document légal accessoire — c'est un document opérationnel qui doit refléter exactement la réalité de vos pratiques de collecte et de traitement.
4. Sécurité : évaluation des facteurs relatifs à la vie privée (EFVP)
La Loi 25 introduit une obligation nouvelle et souvent méconnue : réaliser une Évaluation des facteurs relatifs à la vie privée (EFVP) avant tout projet qui implique la collecte ou l'utilisation de renseignements personnels à grande échelle, ou qui recourt à des technologies de surveillance ou de profilage.
Quand une EFVP est-elle obligatoire pour une PME ?
Ce que doit contenir une EFVP
Une EFVP n'est pas nécessairement un document de 50 pages — pour une PME, un document structuré de 3 à 5 pages suffit dans la majorité des cas, couvrant : la description du projet, les données impliquées, les risques identifiés, les mesures d'atténuation prévues, et l'approbation formelle du RPRP.
5. Incidents de confidentialité : détection et notification
L'obligation de notification des incidents est l'une des plus contraignantes opérationnellement. La Loi 25 distingue deux niveaux de réponse selon la gravité de l'incident.
Un « risque sérieux » est défini comme un préjudice potentiel significatif pour la personne concernée : vol d'identité, discrimination, préjudice financier, atteinte à la réputation. En cas de doute sur la qualification, la CAI recommande de notifier — le défaut de notification est systématiquement plus lourdement sanctionné que la notification préventive.
Checklist de conformité Loi 25 pour PME — état 2026
Voici la liste de vérification pratique pour évaluer rapidement votre niveau de conformité :
Pour les PME qui font affaires à l'international, consultez notre article sur les différences clés entre la Loi 25 et le RGPD — notamment si vous avez des clients ou partenaires en Europe.
