Conformité à la Loi 25 pour les PME du Québec

La Loi 25 impose à toute organisation active au Québec de protéger les renseignements personnels qu'elle détient. La mise en conformité consiste à désigner un responsable, inventorier vos renseignements, publier vos politiques, tenir un registre des incidents et former vos équipes. Chez NB Solution, elle prend six semaines.

Lire le guide complet de la Loi 25 · Réserver un diagnostic de 30 minutes

Ce que la loi exige concrètement

La Loi 25 modernise les règles québécoises de protection des renseignements personnels. Elle s'applique quelle que soit la taille de l'organisation, dès lors qu'elle exerce des activités au Québec et collecte des renseignements personnels.

• Désigner un responsable de la protection des renseignements personnels et publier ses coordonnées.
• Publier une politique de confidentialité claire et accessible.
• Obtenir un consentement libre, éclairé, manifeste et spécifique à chaque finalité.
• Tenir un registre des incidents de confidentialité et notifier la Commission d'accès à l'information en cas de risque de préjudice sérieux.
• Détruire ou anonymiser les renseignements lorsqu'ils ne sont plus nécessaires.
• Réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant tout nouveau projet impliquant des renseignements personnels.
• Sensibiliser et former les employés.

Une seule de ces obligations non remplie suffit à exposer l'entreprise : une plainte, une demande d'accès sans réponse ou une fuite de données arrivent bien plus souvent qu'une amende maximale.

Notre méthode, en quatre étapes

• Diagnostic : état des lieux de vos pratiques, de vos outils et de vos renseignements.
• Analyse et plan de conformité : les écarts sont chiffrés et priorisés.
• Exécution du plan de mise en conformité : inventaires, politiques, procédures, registres et formation.
• Certificat de conformité à l'issue de la démarche.

Six semaines pour la mise en conformité, à partir d'un audit livré en cinq jours ouvrables.

En bref

Un exemple concret

Un centre de la petite enfance nous a confié sa mise en conformité : inventaire des renseignements personnels, politiques internes, gestion des accès, formation du personnel et documentation des processus. En moins de 45 jours, il disposait d'une structure claire et de procédures comprises par son équipe.

Questions fréquentes

La Loi 25 s'applique-t-elle à une PME de moins de 20 employés ?

Oui. La loi ne fixe aucun seuil d'effectif : elle vise toute organisation qui exerce des activités au Québec et qui collecte des renseignements personnels. Si vous avez un site Web, une liste de clients, une infolettre ou des dossiers employés, vous êtes concerné.

Dois-je désigner un responsable de la protection des renseignements personnels ?

Oui. Cette fonction est obligatoire. À défaut de nomination explicite, elle échoit d'office à la personne ayant la plus haute autorité dans l'organisation. Ses coordonnées doivent être publiées, par exemple sur votre site Web.

Qu'est-ce qu'un registre des incidents de confidentialité, et qui doit en tenir un ?

C'est le journal des incidents touchant des renseignements personnels : date, type d'incident, données affectées, personnes concernées, mesures prises, responsable et notifications effectuées. Toute organisation assujettie doit en tenir un, même si elle n'a jamais connu d'incident.

Quand faut-il réaliser une évaluation des facteurs relatifs à la vie privée ?

Avant de mettre en œuvre un projet impliquant des renseignements personnels — nouveau logiciel, nouveau service, nouvelle collecte — et avant de communiquer des renseignements à l'extérieur du Québec.

Puis-je transférer des renseignements personnels à l'extérieur du Québec ?

Oui, mais pas sans précaution : il faut évaluer les risques au préalable et disposer d'ententes contractuelles assurant un niveau de protection équivalent chez le tiers destinataire.

Faut-il le consentement d'un parent pour les données des moins de 14 ans ?

Oui. Pour un mineur de moins de 14 ans, le consentement doit être donné par le titulaire de l'autorité parentale ou le tuteur.

Combien de temps prend une mise en conformité ?

Six semaines pour la démarche complète, précédées d'un audit livré en cinq jours ouvrables. Le calendrier réel dépend du nombre de systèmes concernés et de la disponibilité de vos équipes.