Quand le RGPD s'applique-t-il à une PME québécoise ?
Le Règlement général sur la protection des données (RGPD) de l'Union européenne a une portée extraterritoriale explicite — l'une des caractéristiques qui surprend le plus les PME québécoises qui découvrent son applicabilité après avoir signé un contrat avec un client européen.
Le RGPD s'applique à votre organisation québécoise si l'une de ces trois conditions est remplie :
Ce que Loi 25 et RGPD ont en commun
Les deux régimes partagent une philosophie commune — la protection des droits des individus sur leurs données personnelles — et plusieurs obligations structurellement similaires. C'est une bonne nouvelle : une PME bien conforme à la Loi 25 dispose déjà d'une base solide pour adresser le RGPD.
Les différences critiques à connaître
C'est ici que les PME québécoises qui s'appuient uniquement sur leur conformité Loi 25 se retrouvent exposées. Les différences ne sont pas cosmétiques — elles ont des implications opérationnelles concrètes.
1. Le délai de notification d'incident
La Loi 25 exige une notification « dans les meilleurs délais » sans délai précis. Le RGPD est beaucoup plus strict : 72 heures à compter de la prise de connaissance de l'incident, pour notifier l'autorité de contrôle compétente. Pour les PME sans processus d'incident formalisé, ce délai est presque impossible à respecter sans préparation préalable.
2. Le Délégué à la Protection des Données (DPO)
La Loi 25 requiert un RPRP pour toutes les organisations. Le RGPD requiert un DPO (Data Protection Officer) uniquement dans trois cas : organismes publics, traitements à grande échelle de données sensibles, ou surveillance systématique à grande échelle. La plupart des PME ne sont pas obligées de nommer un DPO — mais doivent néanmoins avoir des processus équivalents.
3. La base légale du traitement
C'est la différence conceptuelle la plus importante. Le RGPD définit six bases légales pour traiter des données personnelles — le consentement n'est que l'une d'elles. Les cinq autres sont : l'exécution d'un contrat, l'obligation légale, la sauvegarde d'intérêts vitaux, la mission d'intérêt public, et l'intérêt légitime. La Loi 25 est davantage centrée sur le consentement.
En pratique : certains traitements que vous effectuez pour exécuter un contrat avec un client européen n'ont pas besoin de consentement explicite sous le RGPD — mais auraient besoin de l'un ou de l'autre fondement légal documenté.
4. Le transfert de données hors de l'UE
Si vous recevez des données personnelles d'individus européens (base de clients, employés d'un client UE), le RGPD encadre strictement leur traitement hors de l'UE. Pour les transferts vers le Canada, une décision d'adéquation partielle de la Commission européenne existe — mais elle couvre principalement les entreprises soumises à la LPRPDE fédérale. Avec la Loi 25, la situation est en cours d'évaluation formelle par la Commission européenne. Documentez vos transferts et mécanismes de protection dès maintenant.
5. Les amendes
Plan de double conformité : Loi 25 + RGPD
La bonne nouvelle : les deux régimes sont suffisamment alignés pour qu'une approche intégrée soit possible sans doubler les efforts. Voici les ajustements à apporter à votre programme Loi 25 existant pour couvrir le RGPD.
Avant de vous lancer dans le volet RGPD, assurez-vous d'avoir solidifié votre base Loi 25. Notre guide Loi 25 en 2026 : ce que chaque PME québécoise doit avoir en place couvre les obligations fondamentales étape par étape.
