Loi 25 : ce que votre PME doit vraiment faire
La Loi 25 s'applique à toutes les entreprises du Québec, sans seuil de taille ni de chiffre d'affaires. Un commerce de trois personnes qui garde des noms et des courriels de clients y est assujetti, exactement comme une multinationale. Voici les obligations réelles, en français simple.
Ce que la loi demande, concrètement
Six points, pas quarante. Ils sont tous en vigueur aujourd'hui.
1. Nommer un responsable
Votre entreprise doit désigner une personne responsable de la protection des renseignements personnels, et publier son nom et ses coordonnées. Si vous n'en nommez personne, la loi désigne d'office la personne ayant la plus haute autorité — le propriétaire, dans la plupart des PME. L'obligation existe donc déjà, que vous l'ayez remplie ou non.
2. Dire ce que vous collectez, et pourquoi
Une politique de confidentialité en français, accessible depuis chaque page, qui explique quels renseignements vous recueillez, pour quelle raison, combien de temps vous les gardez et à qui vous les transmettez. Pas un texte copié : le vôtre.
3. Demander un consentement clair
Le consentement doit être demandé séparément pour chaque usage, en termes simples, et jamais par une case déjà cochée. On peut le retirer aussi facilement qu'on l'a donné — un lien de désabonnement dans chaque courriel, par exemple.
4. Ne collecter que le nécessaire
Chaque champ d'un formulaire doit se justifier. Une date de naissance sur un formulaire de contact, une adresse complète pour une infolettre : si vous n'en avez pas besoin pour rendre le service, vous n'avez pas le droit de le demander.
5. Réagir à un incident
En cas de fuite présentant un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information et les personnes touchées, et tenir un registre de tous les incidents — même mineurs. La Commission peut demander ce registre.
6. Répondre aux demandes des personnes
Toute personne peut demander de consulter, corriger ou faire supprimer ses renseignements, et depuis septembre 2024, d'en obtenir une copie dans un format informatique courant. Vous avez 30 jours pour répondre.
Tout est déjà en vigueur
La loi est entrée en application par étapes. Il n'y a plus de délai à attendre.
22 septembre 2022 — désignation du responsable, obligation de tenir un registre des incidents de confidentialité et d'aviser en cas de fuite.
22 septembre 2023 — la majorité des dispositions : consentement, transparence, minimisation, droits des personnes, évaluation des facteurs relatifs à la vie privée.
22 septembre 2024 — droit à la portabilité : obtenir ses renseignements dans un format informatique structuré et couramment utilisé.
Les sanctions ne sont pas théoriques
Les montants ci-dessous sont ceux publiés par la Commission d'accès à l'information du Québec.
Sanctions administratives — imposées directement par la Commission, sans passer par un tribunal : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé.
Sanctions pénales — de 15 000 $ à 25 millions de dollars, ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les montants doublent en cas de récidive. Pour une personne physique, de 5 000 $ à 100 000 $.
Pour une PME, le vrai risque n'est pas le plafond de 25 millions : c'est le plancher de 15 000 $, la plainte d'un seul client mécontent, et le temps passé à répondre à une enquête plutôt qu'à travailler.
Trois erreurs qui reviennent presque partout
Elles ont un point commun : le site a l'air conforme.
La politique de confidentialité empruntée
Un texte trouvé en ligne, souvent traduit d'un modèle américain, qui décrit des pratiques que l'entreprise n'a pas. Aucun nom de responsable, aucune durée de conservation, aucune mention des services utilisés. Elle donne l'impression d'être conforme et ne l'est pas.
Les données qui sortent du Québec sans que personne l'ait dit
Le formulaire de contact envoie un courriel par un service américain, les paiements passent par une plateforme américaine, le site est hébergé aux États-Unis. C'est parfaitement légal — mais il faut l'avoir évalué et l'écrire dans la politique. C'est presque toujours l'oubli le plus fréquent.
La case pré-cochée et le formulaire trop gourmand
« Je souhaite recevoir les promotions », déjà cochée. Ou un formulaire de soumission qui demande la date de naissance. Deux détails d'apparence anodine, deux manquements directs.
Vérifiez votre site en vingt minutes
Huit questions. Aucun outil, aucun compte, personne à appeler. Si vous répondez non à trois d'entre elles ou plus, vous avez un vrai chantier devant vous.
- 1.Ouvrez votre site et cherchez le lien vers votre politique de confidentialité. Est-il visible depuis chaque page, ou seulement depuis l'accueil ?
- 2.Lisez-la. Y trouve-t-on le nom et le courriel d'une personne responsable, chez vous ?
- 3.Y trouve-t-on combien de temps vous conservez les renseignements, catégorie par catégorie ?
- 4.Y mentionne-t-on que des données sont traitées à l'extérieur du Québec, si c'est le cas ?
- 5.Ouvrez votre formulaire de contact. Chaque champ obligatoire vous sert-il vraiment à répondre ?
- 6.Si une case de consentement marketing existe, est-elle décochée au départ ?
- 7.Vos courriels d'infolettre contiennent-ils un lien de désabonnement qui fonctionne ?
- 8.Si une fuite de données survenait demain, sauriez-vous qui prévenir et dans quel délai ?
Le diagnostic complet
On passe vos formulaires, votre politique, vos courriels, votre hébergement et vos sous-traitants au peigne fin, et on vous remet un rapport écrit avec les correctifs classés par priorité.
Le diagnostic est facturé 350 $, et ce montant est crédité si vous décidez ensuite de nous confier les correctifs. Le rapport vous appartient dans tous les cas — même si vous le confiez à quelqu'un d'autre.
Cette page est un résumé de vulgarisation destiné aux dirigeants de PME. Elle ne constitue pas un avis juridique. Les montants et les échéances proviennent de la Commission d'accès à l'information du Québec et ont été vérifiés le 18 août 2026. Pour une situation particulière, consultez un conseiller juridique. La Commission publie ses propres guides sur cai.gouv.qc.ca et répond au 1 888 528-7741.