# Loi 25 : ce qu'une PME de services doit faire, article par article

> Responsable, consentement, fournisseurs, incidents, conservation et sanctions : la Loi 25 expliquée article par article pour une PME de services.

Mis à jour le 15 octobre 2026 · https://app.pilotiko.com/guides/loi-25-pour-pme-de-services

La Loi 25 oblige toute PME qui détient des renseignements sur ses clients à nommer un responsable, à publier ses coordonnées, à informer les clients lors de la collecte, à évaluer la vie privée avant d'adopter un système ou d'envoyer des données hors Québec, à déclarer certains incidents et à détruire ce qui ne sert plus.

## En bref
- Par défaut, la personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels.
- Un nouveau logiciel ou un fournisseur hors Québec exige une évaluation des facteurs relatifs à la vie privée.
- Tout incident de confidentialité va au registre ; celui qui présente un risque de préjudice sérieux est déclaré à la Commission d'accès à l'information.
- Les sanctions administratives peuvent atteindre 10 000 000 $ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé.

## La Loi 25 s'applique-t-elle à une petite entreprise de services ?

Oui. La loi vise toute personne qui exploite une entreprise et détient des renseignements personnels sur autrui, quelle que soit sa taille. Un nom, un numéro de téléphone et une adresse de service suffisent.

La « Loi 25 » est le nom courant de la loi de 2021 qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé [1]. Ses obligations sont entrées en vigueur par étapes. Selon la Commission d'accès à l'information (CAI), certaines règles s'appliquent depuis septembre 2022, la plupart depuis septembre 2023, et le droit à la portabilité depuis le 22 septembre 2024 [2].

> Ce guide donne de l'information générale sur la loi, à jour au 15 octobre 2026. Ce n'est pas un avis juridique. Pour une situation précise, consultez un avocat ou la Commission d'accès à l'information.

## Quelles sont les obligations clés, en un tableau ?

| Article | Obligation | Ce que ça veut dire pour vous |
|---|---|---|
| 3.1 | Responsable de la protection des renseignements personnels | Par défaut le propriétaire ; titre et coordonnées publiés sur le site |
| 3.2 | Politiques de gouvernance | Règles écrites sur la conservation, la destruction, les rôles et les plaintes |
| 3.3 | Évaluation des facteurs relatifs à la vie privée (EFVP) | Avant d'acquérir, de développer ou de refondre un système qui traite des renseignements |
| 3.5 et 3.8 | Incidents de confidentialité | Réduire le risque, tenir un registre, déclarer les cas à risque de préjudice sérieux |
| 8 | Information lors de la collecte | Dire pourquoi, comment, quels droits, comment retirer son consentement |
| 12.1 | Décision automatisée | Informer la personne et lui permettre d'être entendue par quelqu'un qui peut réviser |
| 17 | Communication hors Québec | EFVP et entente écrite avant d'envoyer des renseignements à l'extérieur du Québec |
| 23 | Destruction ou anonymisation | Quand la fin est atteinte, sous réserve d'un délai légal de conservation |

Synthèse de la Loi sur la protection des renseignements personnels dans le secteur privé [1]. Le texte officiel fait foi.

## Qui est responsable de la protection des renseignements personnels ?

Par défaut, la personne ayant la plus haute autorité dans l'entreprise. Elle peut déléguer cette fonction par écrit, et son titre et ses coordonnées doivent être publiés sur le site Internet.

L'article 3.1 rend l'entreprise responsable des renseignements qu'elle détient et confie la fonction de responsable à la personne ayant la plus haute autorité, souvent le propriétaire d'une PME [1]. Cette personne peut déléguer la fonction par écrit, en tout ou en partie [1]. La CAI rappelle que le titre et les coordonnées du responsable doivent être publiés sur le site de l'entreprise ou, à défaut de site, rendus accessibles autrement [3].

## Que faut-il dire aux clients quand on recueille leurs renseignements ?

Pourquoi vous les recueillez, par quels moyens, quels sont leurs droits d'accès et de rectification, et comment retirer leur consentement. Le consentement doit être manifeste, libre, éclairé et donné à des fins précises.

L'article 8 exige d'informer la personne, au moment de la collecte, des fins, des moyens, de ses droits d'accès et de rectification et de son droit de retirer son consentement [1]. Selon la CAI, le consentement doit être manifeste, libre et éclairé, donné à des fins spécifiques et demandé en termes simples [2].

## Que faire avant d'adopter un logiciel ou un fournisseur ?

Une évaluation des facteurs relatifs à la vie privée, proportionnée aux données, et, si les données quittent le Québec, une seconde évaluation et une entente écrite avec le fournisseur.

L'article 3.3 impose une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services qui touche des renseignements personnels [1]. L'évaluation est proportionnée à la sensibilité des renseignements, à la finalité, à la quantité, à la répartition et au support [1].

L'article 17 ajoute qu'avant de communiquer des renseignements à l'extérieur du Québec, il faut évaluer la sensibilité, la finalité, les protections, y compris contractuelles, et le régime juridique de l'État de destination, puis conclure une entente écrite [1]. La CAI précise que l'entreprise qui confie des renseignements à un fournisseur demeure responsable des obligations liées aux incidents [4]. Notre guide [Choisir un logiciel de gestion pour PME](https://app.pilotiko.com/guides/choisir-un-logiciel-de-gestion-pme) donne les questions à poser.

## Que faire en cas d'incident de confidentialité ?

Réduire tout de suite le risque, inscrire l'incident au registre, puis, s'il présente un risque de préjudice sérieux, aviser la Commission d'accès à l'information et les personnes concernées.

Exemples d'incident : un téléphone de technicien perdu avec l'accès aux fiches clients, ou une liste de clients envoyée au mauvais destinataire. L'article 3.5 exige de prendre les mesures raisonnables pour diminuer le risque et éviter que l'incident se reproduise [1]. Si le risque de préjudice est sérieux, il faut aviser la CAI avec diligence, ainsi que les personnes concernées [1].

L'article 3.8 exige de tenir un registre des incidents de confidentialité, à transmettre à la Commission sur demande [1]. La CAI précise que le registre comprend aussi les incidents qui ne présentent pas de risque de préjudice sérieux [4].

## Combien de temps peut-on garder les renseignements des clients ?

Le temps nécessaire aux fins pour lesquelles ils ont été recueillis. Ensuite, il faut les détruire ou les anonymiser, sauf si une autre loi impose un délai de conservation.

L'article 23 demande de détruire ou d'anonymiser un renseignement personnel lorsque les fins de sa collecte ou de son utilisation sont accomplies, sous réserve d'un délai de conservation prévu par une loi [1]. Le code d'accès d'un ancien client n'a plus de raison d'être conservé.

## Quelles sanctions risque une entreprise ?

La Commission peut imposer une sanction administrative jusqu'à 10 000 000 $ ou 2 % du chiffre d'affaires mondial, et les tribunaux des amendes pénales de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial, selon le plus élevé.

L'article 90.12 fixe le maximum de la sanction administrative pécuniaire, pour une entreprise, à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, si ce montant est plus élevé [1]. L'article 91 prévoit des amendes pénales de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial, notamment pour avoir omis de déclarer un incident ou de prendre les mesures de sécurité requises [1]. Ce sont des plafonds : le montant réel dépend des circonstances.

**Exemple : quel plafond pour une PME de 3 M$ de chiffre d'affaires ?**

- Chiffre d'affaires mondial de l'exercice précédent (hypothèse) : 3 000 000 $
- 2 % du chiffre d'affaires (sanction administrative) : 60 000 $
- Montant fixe prévu à l'article 90.12 : 10 000 000 $
- Plafond applicable (le plus élevé des deux) : 10 000 000 $
- 4 % du chiffre d'affaires (amende pénale) : 120 000 $
- Plafond pénal applicable (le plus élevé, article 91) : 25 000 000 $
- **= Pour une PME, ce sont les montants fixes qui déterminent les plafonds, pas le pourcentage**

## Par où commencer pour se conformer ?

1. **Désigner le responsable** — Confirmez par écrit qui exerce la fonction et publiez son titre et ses coordonnées sur votre site.
2. **Faire l'inventaire des renseignements** — Listez ce que vous recueillez, où c'est stocké (logiciels, cellulaires, papier), qui y a accès et pourquoi.
3. **Écrire vos politiques** — Rédigez des règles simples de conservation, de destruction et de traitement des plaintes ; publiez votre politique de confidentialité.
4. **Évaluer vos fournisseurs** — Pour chaque logiciel qui traite des renseignements, faites une EFVP proportionnée ; ajoutez une entente écrite si les données sortent du Québec.
5. **Ouvrir le registre des incidents** — Créez dès aujourd'hui le registre, même vide, et une procédure d'une page pour réagir à un incident.
6. **Faire le ménage** — Détruisez les renseignements dont les fins sont accomplies et qui ne sont soumis à aucun délai légal.

## Comment la Loi 25 touche-t-elle l'automatisation et l'IA ?

Par trois articles surtout : l'EFVP avant d'adopter l'outil, l'article 17 si les données quittent le Québec, et l'article 12.1 si une décision est fondée exclusivement sur un traitement automatisé.

Une décision prise par un logiciel sans intervention humaine, comme refuser une réservation, peut tomber sous l'article 12.1 [1]. Le guide [Approbation humaine des agents IA](https://app.pilotiko.com/guides/approbation-humaine-agents-ia) explique comment garder une personne dans la boucle. Pour les courriels et textos, la Loi canadienne anti-pourriel s'ajoute à la Loi 25 : voir [Réduire les rendez-vous manqués](https://app.pilotiko.com/guides/reduire-les-rendez-vous-manques).

Pour une vue d'ensemble du projet, lisez [Automatiser une PME de services](https://app.pilotiko.com/guides/automatiser-une-pme-de-services). Dans Pilotiko, les agents IA préparent le travail et une personne approuve tout ce qui touche un client, de l'argent ou un envoi ; le site web hébergé peut accueillir votre page de confidentialité. Pour comparer les offres, voir les [tarifs](https://app.pilotiko.com/tarifs).

> Bientôt dans Pilotiko : le [courriel marketing](https://app.pilotiko.com/produit/courriel-marketing). Le consentement et le désabonnement sont déjà construits ; l'envoi réel ne l'est pas encore.

## Questions fréquentes

### Une entreprise d'une seule personne doit-elle nommer un responsable ?

Oui, mais c'est automatique : la personne ayant la plus haute autorité exerce la fonction. Il reste à publier son titre et ses coordonnées sur le site de l'entreprise, ou à les rendre accessibles autrement s'il n'y a pas de site.

### Faut-il une politique de confidentialité sur son site ?

Si vous recueillez des renseignements par un moyen technologique, comme un formulaire de réservation, la loi exige de publier une politique de confidentialité en termes simples. Publiez-y aussi les coordonnées du responsable.

### Qu'est-ce qu'une EFVP, en pratique ?

C'est un document qui décrit les renseignements traités par un projet, les risques pour les personnes et les mesures pour les réduire. Elle doit être proportionnée : pour un petit agenda en ligne, quelques pages suffisent souvent. Le responsable doit être consulté dès le début.

### Dois-je déclarer un téléphone perdu contenant des fiches clients ?

Il faut toujours l'inscrire au registre des incidents. S'il présente un risque de préjudice sérieux, par exemple parce que les fiches contiennent des codes d'accès aux domiciles, il faut aviser la Commission et les personnes concernées.

### Puis-je utiliser un logiciel américain pour mes rendez-vous ?

Oui, à condition de faire l'évaluation prévue à l'article 17 et de conclure une entente écrite qui tient compte de ses résultats. Demandez au fournisseur où sont hébergées les données et quelles protections s'appliquent.

## Sources

1. LégisQuébec, « Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) », https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1 (consulté le 2026-10-15)
2. Commission d'accès à l'information du Québec, « Principaux changements apportés par la Loi 25 », https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25 (consulté le 2026-10-15)
3. Commission d'accès à l'information du Québec, « Responsabilité des entreprises : le responsable de la protection des renseignements personnels », https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/responsable-protection-renseignements-personnels-entreprise (consulté le 2026-10-15)
4. Commission d'accès à l'information du Québec, « Incidents de confidentialité et mesures de sécurité (entreprises) », https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/incidents-confidentialite-mesures-securite-entreprises (consulté le 2026-10-15)