Loi 25 : qu'est-ce qui change pour une PME québécoise ?
Un résumé fidèle des obligations principales, avec les articles à lire. Ce n'est pas un avis juridique.
La Loi 25 est la loi québécoise adoptée en 2021 qui a modernisé la protection des renseignements personnels, notamment dans la Loi sur la protection des renseignements personnels dans le secteur privé. Elle impose aux entreprises un responsable désigné, un consentement clair, l'avis des incidents graves et plus de transparence.
En bref
- La personne ayant la plus haute autorité est responsable par défaut (art. 3.1).
- Le consentement doit être manifeste, libre, éclairé et donné à des fins précises (art. 14).
- Un incident qui présente un risque de préjudice sérieux doit être déclaré (art. 3.5).
- Sanctions administratives jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial (art. 90.12).
Qu'appelle-t-on la Loi 25 ?
« Loi 25 » est le nom courant de la loi de 2021 (L.Q. 2021, chapitre 25) qui a modifié les lois québécoises sur la protection des renseignements personnels. La Commission d'accès à l'information présente ses changements par thèmes et précise qu'ils sont entrés en vigueur par étapes, notamment en septembre 2022 et en septembre 2023 [2].
Pour une entreprise privée, le texte à lire est la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), dont plusieurs articles portent la mention « 2021, c. 25 » [1]. Une PME de déneigement qui garde des noms, des adresses et des numéros de téléphone y est assujettie comme une grande entreprise.
Quelles sont les obligations principales ?
| Obligation | Où la lire | Ce que cela veut dire en pratique |
|---|---|---|
| Responsable de la protection des renseignements personnels | Art. 3.1 | Par défaut, la personne ayant la plus haute autorité ; titre et coordonnées publiés sur le site Web |
| Incident de confidentialité | Art. 3.5 | Réduire le risque ; aviser la Commission et les personnes si risque de préjudice sérieux |
| Consentement | Art. 14 | Manifeste, libre, éclairé, à des fins spécifiques, en termes simples et clairs |
| Décision automatisée | Art. 12.1 | Informer la personne d'une décision fondée exclusivement sur un traitement automatisé |
| Politique de confidentialité | Page de la Commission | En termes simples, diffusée sur le site si la collecte se fait par un moyen technologique |
| Évaluation des facteurs relatifs à la vie privée | Page de la Commission | Avant un projet de système d'information traitant des renseignements personnels |
Sources : RLRQ c. P-39.1 et page « Principaux changements apportés par la Loi 25 » de la Commission d'accès à l'information.
Qui est responsable dans une petite entreprise ?
L'article 3.1 est clair : toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient, et la personne ayant la plus haute autorité exerce la fonction de responsable. Elle peut la déléguer par écrit, en tout ou en partie, et le titre et les coordonnées du responsable sont publiés sur le site Internet de l'entreprise [1].
Dans une PME de 6 personnes, c'est donc souvent la propriétaire, à moins qu'elle ne délègue la fonction par écrit à quelqu'un d'autre.
Que faire en cas d'incident de confidentialité ?
Selon l'article 3.5, l'entreprise qui a des motifs de croire qu'un incident s'est produit doit prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter qu'il se répète. Si l'incident présente un risque de préjudice sérieux, elle doit aviser avec diligence la Commission d'accès à l'information et les personnes concernées [1].
Exemple concret : un téléphone de chantier non verrouillé, contenant la liste des clients et leurs codes de porte, est perdu. Il faut évaluer le risque, agir pour le limiter, puis décider s'il faut aviser.
Par où commencer, en heures de travail ?
Que risque une entreprise qui ne respecte pas la loi ?
L'article 90.12 fixe le montant maximal d'une sanction administrative pécuniaire à 50 000 $ pour une personne physique et, dans les autres cas, à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, si ce montant est plus élevé [1].
Sur le plan pénal, l'article 91 prévoit des amendes de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial, si ce montant est plus élevé [1].
Quelles erreurs voit-on souvent dans les PME ?
- Penser que la loi ne vise que les grandes entreprises.
- Cacher le consentement dans un long texte de conditions générales, alors qu'une demande écrite doit être présentée distinctement.
- Garder des fichiers clients dans des systèmes d'information que personne n'a recensés : téléphones, chiffriers, boîtes de courriel.
- Confondre Loi 25 et LCAP : la première protège les renseignements, la seconde encadre les messages commerciaux.
- Copier la politique de confidentialité d'un autre site sans l'adapter à ce que vous recueillez vraiment, par exemple dans votre CRM.
Comment Pilotiko aborde-t-il les décisions automatisées ?
L'article 12.1 vise les décisions fondées exclusivement sur un traitement automatisé de renseignements personnels : l'entreprise doit en informer la personne au plus tard au moment où elle l'informe de la décision [1].
Dans Pilotiko, les agents IA préparent le travail, mais toute action qui touche un client, de l'argent ou un envoi attend l'accord d'une personne : c'est le principe de l'approbation humaine. Cela ne remplace pas vos propres obligations : l'utilisation d'un logiciel ne vous en décharge pas.
Questions fréquentes
La Loi 25 s'applique-t-elle aux petites entreprises ?
Oui. La loi vise toute personne qui exploite une entreprise et détient des renseignements personnels, sans seuil de taille. Les obligations sont les mêmes ; c'est leur mise en œuvre qui peut être proportionnée.
Qui doit être le responsable de la protection des renseignements personnels ?
Par défaut, la personne ayant la plus haute autorité dans l'entreprise. Elle peut déléguer la fonction par écrit, en tout ou en partie, et le titre et les coordonnées du responsable doivent être publiés sur le site Web.
Faut-il une politique de confidentialité sur son site ?
Selon la Commission d'accès à l'information, une organisation qui recueille des renseignements personnels par un moyen technologique doit publier une politique de confidentialité en termes simples et clairs et aviser des modifications.
Que faut-il faire après une fuite de données ?
Prendre des mesures raisonnables pour diminuer le risque et éviter la répétition. Si l'incident présente un risque de préjudice sérieux, il faut aviser la Commission et les personnes concernées avec diligence.
Quelle est l'amende maximale prévue par la Loi 25 ?
Pour une entreprise, la sanction administrative peut atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et l'amende pénale 25 M$ ou 4 %, selon le montant le plus élevé. Consultez les articles 90.12 et 91 pour le détail.
Sources
- LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) (consulté le 15 octobre 2026).
- Commission d'accès à l'information du Québec, Principaux changements apportés par la Loi 25 (consulté le 15 octobre 2026).
À lire ensuite
LCAP : que permet la Loi canadienne anti-pourriel ?
La LCAP expliquée aux PME : consentement exprès ou tacite, délais de 2 ans et de 6 mois, désabonnement en 10 jours ouvrables, exceptions utiles et sanctions.
Approbation humaine : qu'est-ce que le « human-in-the-loop » ?
L'approbation humaine place une personne avant les actions sensibles d'une IA. Formes de supervision, règles au Québec et au Canada, exemple chiffré et erreurs.
CRM : qu'est-ce que la gestion de la relation client ?
CRM, ou GRC en français : ce que fait un logiciel de gestion de la relation client, un calcul de relances pour une PME de services et ce qu'exige la Loi 25.
SI : qu'est-ce qu'un système d'information ?
Le système d'information (SI) d'une PME : ressources matérielles, logicielles et humaines, différence avec l'informatique, inventaire chiffré et Loi 25.