# Conformité à la Loi 25 pour PME au Québec

Source : https://cybercaribou.com/services/conformite-loi-25 · Cyber Caribou

> Conformité à la Loi 25 pour PME : responsable des renseignements personnels, registre des incidents, EFVP, consentement et mesures de sécurité concrètes.

La Loi 25 a modernisé la protection des renseignements personnels au Québec. Ses obligations sont entrées en vigueur par étapes, entre septembre 2022 et septembre 2024, et elles s'appliquent aux PME comme aux grandes entreprises.

Beaucoup d'entreprises ont publié une politique de confidentialité, nommé un responsable… puis se sont arrêtées là. Pourtant, une bonne partie de la loi repose sur la sécurité : protéger les renseignements, détecter les incidents, les consigner et réagir correctement. C'est exactement notre terrain.

Notre équipe couvre le volet sécurité et la mise en œuvre pratique de la Loi 25. Nous ne donnons pas d'avis juridique : nous travaillons aux côtés de votre conseiller juridique et nous indiquons clairement les points à faire valider par lui.

## Gouvernance : les rôles, les registres et les évaluations

### Responsable de la protection des renseignements personnels

Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, mais la fonction peut être déléguée par écrit (art. 3.1). Nous vous aidons à clarifier le rôle, à préparer la délégation au besoin, à publier le titre et les coordonnées du responsable sur votre site, et surtout à outiller cette personne pour le volet sécurité. Notre article sur [le rôle du responsable de la protection des renseignements personnels](https://cybercaribou.com/blogue/responsable-protection-renseignements-personnels-securite) en donne un aperçu.

### Registre et réponse aux incidents

Tout incident de confidentialité doit être consigné dans un registre (art. 3.8). Ceux qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission d'accès à l'information et aux personnes concernées (art. 3.5). Nous vous remettons un registre prêt à utiliser et une procédure simple : qui fait quoi, comment évaluer le risque, qui avertir. La Commission a reçu 518 avis d'incidents de confidentialité du 1er janvier au 10 décembre 2025 : ce scénario n'a rien de théorique. Voyez aussi notre [modèle de registre des incidents](https://cybercaribou.com/blogue/registre-incidents-confidentialite-modele).

### Évaluation des facteurs relatifs à la vie privée (EFVP)

Une EFVP est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui touche des renseignements personnels (art. 3.3) : nouveau logiciel de paie, CRM, portail client. Nous vous fournissons une grille adaptée et prenons en charge la partie sécurité : hébergement, accès, chiffrement, fournisseurs. Pour en savoir plus, lisez notre article sur [l'EFVP et la sécurité de l'information](https://cybercaribou.com/blogue/efvp-evaluation-facteurs-vie-privee-securite).

## Votre site Web et vos mesures de sécurité

### Témoins et consentement

Les technologies qui permettent d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut (art. 8.1). Nous passons en revue votre site : témoins, pixels publicitaires, outils d'analyse, bandeau de consentement et politique de confidentialité rédigée en termes simples.

### Mesures de sécurité

La loi exige des mesures de sécurité raisonnables, proportionnées à la sensibilité des renseignements. Nous vérifions ce qui compte : contrôle des accès, authentification multifacteur, chiffrement, sauvegardes, conservation et destruction des données. Au besoin, un [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) complet approfondit ce volet.

## Pourquoi commencer par la sécurité

Une politique de confidentialité bien rédigée n'a jamais arrêté un rançongiciel. C'est l'incident qui expose l'entreprise : devant ses clients, devant la Commission, parfois devant les tribunaux. En plaçant la sécurité au centre de votre démarche, vous réduisez le risque d'incident et vous êtes prêts à réagir s'il survient quand même.

Nous travaillons à distance ou sur place, partout au Québec, et tous nos documents sont rédigés en français, prêts à être adoptés par votre direction.

## FAQ

**La Loi 25 s'applique-t-elle aux petites entreprises ?**
Oui. Elle vise toute entreprise privée qui recueille, détient, utilise ou communique des renseignements personnels au Québec, peu importe sa taille. Les mesures de sécurité attendues doivent toutefois être raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur utilisation. Validez la portée exacte avec votre conseiller juridique.

**Avons-nous 72 heures pour déclarer un incident ?**
Non, ce délai de 72 heures vient du RGPD européen. La Loi 25 exige d'aviser la Commission d'accès à l'information et les personnes concernées avec diligence lorsqu'un incident présente un risque de préjudice sérieux. Autrement dit : rapidement, sans délai fixe.

**Combien de temps faut-il conserver le registre des incidents ?**
Au moins cinq ans, selon le Règlement sur les incidents de confidentialité. Le registre doit contenir tous les incidents, même ceux qui ne présentent pas de risque de préjudice sérieux, et une copie doit être transmise à la Commission d'accès à l'information si elle le demande.

**Quelles sont les sanctions prévues ?**
Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales, 25 M$ ou 4 %. Pour une PME, le coût le plus lourd d'un incident mal géré reste souvent la perte de confiance de ses clients.