Loi 25 : ce qu’une PME du Québec doit faire, concrètement

La Loi 25 s'applique à toute entreprise du Québec qui détient des renseignements personnels : clients, employés, candidats. Pas besoin d'être une grande entreprise. Voici ce que la loi demande à une PME, dans l'ordre où je le ferais. Ce texte n'est pas un avis juridique : pour ton cas précis, consulte un avocat ou la Commission d'accès à l'information (CAI).

1. Nomme un responsable de la protection des renseignements personnels

Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise, donc souvent toi. Tu peux déléguer la fonction par écrit. Les coordonnées du responsable doivent être publiées sur ton site.

2. Publie une politique de confidentialité en langage clair

Elle explique quels renseignements tu recueilles, pourquoi, combien de temps tu les gardes, avec qui tu les partages et comment une personne peut te joindre pour exercer ses droits. Si tu as un site, elle doit y être, en termes simples.

3. Tiens un registre des incidents de confidentialité

Tout incident touchant des renseignements personnels (courriel envoyé à la mauvaise personne, ordinateur perdu, accès non autorisé) se note dans un registre, même s'il est mineur. Si l'incident présente un risque de préjudice sérieux, tu dois aviser la CAI et les personnes concernées avec diligence.

4. Obtiens un consentement clair

Le consentement doit être manifeste, libre et éclairé, et donné pour des fins précises. Pas de case précochée, pas de texte noyé dans les conditions.

5. Réponds aux demandes des personnes

Une personne peut demander à voir ses renseignements, les faire corriger, et, depuis septembre 2024, les obtenir dans un format technologique structuré et couramment utilisé (portabilité). Tu as 30 jours pour répondre à une demande d'accès ou de rectification.

6. Évalue les risques avant un nouveau système

Avant d'acquérir ou de refondre un système qui touche des renseignements personnels, la loi demande une évaluation des facteurs relatifs à la vie privée. Elle vise aussi les transferts de renseignements hors du Québec : où tes données sont hébergées compte.

Les sanctions

Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales 25 M$ ou 4 %, selon le plus élevé. Pour une PME, le risque réaliste est surtout une plainte et une enquête de la CAI. Se mettre en règle coûte bien moins cher.

Ce que fait Forge Tech pour toi

Le module Conformité Loi 25 (forfait Entreprise) tient le registre des demandes d'accès, la portabilité des données et le registre des incidents. Il t'aide à tenir tes preuves à jour ; il ne remplace ni un avocat ni ta politique de confidentialité, que tu dois rédiger toi-même. Mes données sont hébergées sur mon serveur au Québec.

Essaie Forge Tech 30 jours ou lis comment je protège tes données.

---

— Guillaume Régimbald, Fondateur, Forge Tech Inc.