La Loi 25 a modernisé la protection des renseignements personnels au Québec. Ses obligations sont entrées en vigueur par étapes, entre septembre 2022 et septembre 2024, et elles s'appliquent aux PME comme aux grandes entreprises.
Beaucoup d'entreprises ont publié une politique de confidentialité, nommé un responsable… puis se sont arrêtées là. Pourtant, une bonne partie de la loi repose sur la sécurité : protéger les renseignements, détecter les incidents, les consigner et réagir correctement. C'est exactement notre terrain.
Nous ne sommes pas des avocats
Notre équipe couvre le volet sécurité et la mise en œuvre pratique de la Loi 25. Nous ne donnons pas d'avis juridique : nous travaillons aux côtés de votre conseiller juridique et nous indiquons clairement les points à faire valider par lui.
Gouvernance : les rôles, les registres et les évaluations
Responsable de la protection des renseignements personnels
Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, mais la fonction peut être déléguée par écrit (art. 3.1). Nous vous aidons à clarifier le rôle, à préparer la délégation au besoin, à publier le titre et les coordonnées du responsable sur votre site, et surtout à outiller cette personne pour le volet sécurité. Notre article sur le rôle du responsable de la protection des renseignements personnels en donne un aperçu.
Registre et réponse aux incidents
Tout incident de confidentialité doit être consigné dans un registre (art. 3.8). Ceux qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission d'accès à l'information et aux personnes concernées (art. 3.5). Nous vous remettons un registre prêt à utiliser et une procédure simple : qui fait quoi, comment évaluer le risque, qui avertir. La Commission a reçu 518 avis d'incidents de confidentialité du 1er janvier au 10 décembre 2025 : ce scénario n'a rien de théorique. Voyez aussi notre modèle de registre des incidents.
Évaluation des facteurs relatifs à la vie privée (EFVP)
Une EFVP est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui touche des renseignements personnels (art. 3.3) : nouveau logiciel de paie, CRM, portail client. Nous vous fournissons une grille adaptée et prenons en charge la partie sécurité : hébergement, accès, chiffrement, fournisseurs. Pour en savoir plus, lisez notre article sur l'EFVP et la sécurité de l'information.
Votre site Web et vos mesures de sécurité
Témoins et consentement
Les technologies qui permettent d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut (art. 8.1). Nous passons en revue votre site : témoins, pixels publicitaires, outils d'analyse, bandeau de consentement et politique de confidentialité rédigée en termes simples.
Mesures de sécurité
La loi exige des mesures de sécurité raisonnables, proportionnées à la sensibilité des renseignements. Nous vérifions ce qui compte : contrôle des accès, authentification multifacteur, chiffrement, sauvegardes, conservation et destruction des données. Au besoin, un audit de cybersécurité complet approfondit ce volet.
Pourquoi commencer par la sécurité
Une politique de confidentialité bien rédigée n'a jamais arrêté un rançongiciel. C'est l'incident qui expose l'entreprise : devant ses clients, devant la Commission, parfois devant les tribunaux. En plaçant la sécurité au centre de votre démarche, vous réduisez le risque d'incident et vous êtes prêts à réagir s'il survient quand même.
Nous travaillons à distance ou sur place, partout au Québec, et tous nos documents sont rédigés en français, prêts à être adoptés par votre direction.