Loi 25 et gouvernance des renseignements personnels pour PME
Comprendre vos obligations, désigner les bonnes personnes et mettre en place des pratiques simples, documentées et adaptées à votre organisation.
Ce que la Loi 25 demande concrètement
Entrée en vigueur progressivement entre septembre 2022 et septembre 2024, la Loi 25 a modernisé la protection des renseignements personnels au Québec. Pour une PME, elle se traduit surtout par de la gouvernance : savoir quels renseignements vous détenez, qui en est responsable et comment ils sont protégés.
Nous vous accompagnons dans la compréhension de vos obligations et dans la mise en place de pratiques de protection des renseignements personnels adaptées à votre organisation.
Les grandes obligations
- Responsable de la protection des renseignements personnels désigné, avec titre et coordonnées publiés
- Politiques et pratiques de gouvernance des renseignements personnels
- Registre des incidents de confidentialité et avis à la Commission d'accès à l'information en cas de risque de préjudice sérieux
- Évaluation des facteurs relatifs à la vie privée (EFVP) dans certaines situations, dont la communication hors Québec
- Consentement clair et politique de confidentialité en termes simples
- Destruction ou anonymisation des renseignements lorsque les fins sont accomplies
- Transparence lors de décisions fondées exclusivement sur un traitement automatisé
De l'obligation à la pratique quotidienne
Rôles et responsabilités
Clarifier qui fait quoi, du dirigeant aux employés.
Inventaire des renseignements
Cartographier ce que vous recueillez, où c'est conservé et qui y accède.
Politiques et registres
Modèles pratiques à adapter : gouvernance, incidents, conservation et destruction.
Sensibilisation
Former les équipes aux bons réflexes et à la déclaration des incidents.
Les sanctions administratives pécuniaires prévues par la loi peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales 25 M$ ou 4 %. Au-delà des montants, c'est surtout la confiance de vos clients qui est en jeu.
Cyberallié n'est pas un cabinet d'avocats. Nos services ne constituent pas un avis juridique et ne garantissent pas la conformité, qui dépend de vos pratiques réelles et des obligations applicables.
Questions sur la Loi 25
La Loi 25 s'applique-t-elle à ma petite entreprise?
Oui. La Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la Loi 25, s'applique à toute entreprise qui recueille, utilise ou communique des renseignements personnels au Québec, quelle que soit sa taille.
Cyberallié peut-il garantir notre conformité?
Non, et personne ne devrait vous le promettre. Nous vous accompagnons dans la compréhension de vos obligations et dans la mise en place de pratiques adaptées. Pour une interprétation juridique, consultez un professionnel du droit.
Mon entreprise est en Ontario. Est-ce pertinent?
En Ontario, les activités commerciales du secteur privé relèvent généralement de la loi fédérale (LPRPDE). Si vous servez des clients québécois, certaines obligations de la Loi 25 peuvent aussi vous concerner. Nous adaptons l'accompagnement à votre situation.
Qu'en est-il de la nouvelle loi fédérale sur la cybersécurité?
Le projet de loi C-8, qui a reçu la sanction royale en juin 2026, édicte la Loi sur la protection des cybersystèmes essentiels. Elle vise d'abord les exploitants désignés de secteurs sous réglementation fédérale (finances, énergie, télécommunications, transports). La plupart des PME ne sont pas directement visées, mais leurs clients assujettis pourraient leur imposer des exigences.
Commençons par un portrait clair de votre situation.
Le Bilan Cyber & IA vous donne, en 90 minutes, vos cinq priorités concrètes. Sans jargon, sans engagement pour la suite.