Loi 25 : obligations et bonnes pratiques des PME québécoises

Une PME qui détient des renseignements sur ses clients, employés ou candidats doit examiner ses obligations en matière de protection des renseignements personnels. Les changements associés à la Loi 25 touchent la gouvernance, la transparence, le consentement et les systèmes utilisés. Installer un antivirus ou une bannière de témoins ne suffit pas à démontrer la conformité.

Les dispositions sont entrées en vigueur progressivement, notamment les 22 septembre 2022, 2023 et 2024. En 2026, il faut donc examiner les obligations applicables, plutôt que traiter la Loi 25 comme une échéance future. Ce guide présente des repères pour le secteur privé; il n’est pas un avis juridique ni une attestation de conformité. La loi et les directives de la Commission d’accès à l’information (CAI) demeurent les références.

Dans une entreprise, la personne ayant la plus haute autorité est responsable par défaut de la protection des renseignements personnels. Elle peut déléguer ses fonctions, en tout ou en partie, par écrit. Le titre et les coordonnées du responsable doivent être publiés sur le site de l’entreprise ou, sans site, rendus publics par un autre moyen approprié. Il ne s’agit pas d’inventer une identité : documentez la désignation réelle.

Établissez des politiques et pratiques de gouvernance : responsabilités, règles de conservation et de destruction, gestion des plaintes et accès aux renseignements. Publiez les informations requises en termes clairs. Un inventaire des systèmes, fichiers et fournisseurs aide à relier les règles écrites à ce qui se passe réellement dans l’entreprise.

Avant de demander un renseignement, déterminez pourquoi il est nécessaire. Le consentement ne justifie pas une collecte inutile. Pour les formulaires, expliquez les fins de la collecte, limitez les champs et évitez de demander des secrets ou des renseignements sensibles lorsque ce n’est pas requis.

Lorsque le consentement est requis, ses critères doivent être respectés : il doit notamment être manifeste, libre, éclairé et donné à des fins spécifiques. Les exigences varient selon le contexte, particulièrement pour les renseignements sensibles. Une case unique ne règle pas toutes les utilisations; distinguez le traitement d’une demande et une inscription marketing.

Un incident peut être un accès, une utilisation ou une communication non autorisée, une perte de renseignements ou une autre atteinte à leur protection. Prenez des mesures raisonnables pour réduire les risques de préjudice et prévenir de nouveaux incidents. Gardez un registre des incidents, y compris ceux qui ne déclenchent pas une notification.

Si l’incident présente un risque de préjudice sérieux, l’entreprise doit aviser la CAI et les personnes concernées avec diligence. Ce guide ne substitue pas une règle générale de 72 heures à cette obligation. Prévoyez les personnes à joindre, la conservation des preuves, l’analyse du risque et les étapes de communication avant qu’un incident survienne.

Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise dans certaines situations, notamment lors de projets d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels. Le responsable doit être consulté dès le début du projet. Ce n’est pas une formalité à ajouter uniquement au lancement.

Avant de communiquer des renseignements personnels hors Québec, une EFVP doit également examiner leur protection. La CAI précise que la communication doit être encadrée par une entente écrite et ne peut se faire que si une protection adéquate est assurée. Le choix d’un service infonuagique doit donc considérer les lieux de traitement, les accès et le contrat, pas seulement le pays annoncé sur une page commerciale.

Les mesures techniques doivent être proportionnées à la sensibilité, aux fins, à la quantité et au contexte des renseignements. SolutionsCW peut accompagner la mise en place de protections et de systèmes; l’interprétation juridique et les décisions de gouvernance restent à valider avec les personnes compétentes. Aucun outil Microsoft 365, pare-feu ou hébergement ne rend une entreprise automatiquement conforme.