Loi 25 : Les 32 obligations expliquées une par une (Guide complet 2026)

Table des matières

• Introduction
• I. Gouvernance et responsabilité (1-5)
• II. Information et transparence (6-10)
• III. Consentement (11-15)
• IV. Droits des personnes (16-20)
• V. Sécurité et protection (21-25)
• VI. Incidents de confidentialité (26-28)
• VII. Communication hors Québec (29-30)
• VIII. Conservation et destruction (31-32)
• Récapitulatif : Par où commencer ?
• Questions fréquentes

Ce que dit la loi : Vous devez désigner une personne responsable de la protection des renseignements personnels (RPRP).

Concrètement :

• Pour une PME : c'est souvent le propriétaire lui-même
• Pour une entreprise avec employés : peut être déléguée à quelqu'un
• Cette personne n'a pas besoin d'être certifiée (mais c'est recommandé)

Ce que vous devez faire :

• Identifier qui est le RPRP dans votre organisation
• Documenter cette désignation par écrit
• Former cette personne sur ses responsabilités
• Publier le nom et les coordonnées du RPRP dans votre politique de confidentialité

Ce que dit la loi : Vous devez mettre en place des politiques et pratiques de gouvernance pour protéger les renseignements personnels.

Concrètement :

• Avoir des règles écrites sur qui peut accéder aux données
• Former vos employés sur la confidentialité
• Réviser régulièrement vos pratiques
• Documenter tout ça

Ce que dit la loi : Vous devez faire une évaluation des facteurs relatifs à la vie privée (EFVP) pour toute nouvelle activité comportant des risques.

Concrètement : Avant de lancer un nouveau système informatique, commencer une nouvelle collecte de données, partager des données avec un nouveau partenaire, ou utiliser une nouvelle technologie (IA, caméras, etc.), vous devez vous poser : "Quels sont les risques pour la vie privée ?" et documenter votre réflexion.

Ce que dit la loi : Vous devez tenir un registre documentant tous vos traitements de renseignements personnels.

Concrètement : Pour chaque "actif de données" (système de réservation, liste email, dossiers clients, etc.), vous devez documenter :

• Quoi : quelles données vous collectez
• Pourquoi : à quelles fins
• Où : où sont-elles stockées
• Qui : qui y a accès
• Combien de temps : durée de conservation
• Comment : mesures de sécurité

Ce que dit la loi : Votre registre doit être disponible sur demande pour consultation par la CAI ou les personnes concernées.

Concrètement : Le registre ne doit pas être public, mais vous devez pouvoir le fournir rapidement si demandé. Version simplifiée pour les personnes qui demandent, version complète pour la CAI.

Ce que dit la loi : Vous devez rédiger et publier une politique de confidentialité claire et accessible.

Votre politique doit expliquer : quelles données vous collectez, pourquoi vous les collectez, comment vous les protégez, combien de temps vous les gardez, les droits des personnes, comment exercer ces droits.

Ce que dit la loi : Quand vous collectez des renseignements personnels, vous devez informer la personne de vos intentions.

AU MOMENT de la collecte, vous devez dire : pourquoi vous demandez ces informations, comment vous allez les utiliser, qui pourra y accéder, combien de temps vous les garderez.

Ce que dit la loi : Le nom et les coordonnées de votre RPRP doivent être publics.

Dans votre politique de confidentialité, vous devez indiquer : Nom de la personne responsable, Email ou téléphone pour la joindre.

Ce que dit la loi : Vous devez informer les personnes si leurs données quittent le Québec.

Si vous utilisez un service cloud américain (Google, Stripe, Mailchimp), un fournisseur européen, ou n'importe quel service dont les serveurs ne sont pas au Québec/Canada, vous devez le mentionner clairement.

Ce que dit la loi : Votre politique de confidentialité et vos avis doivent toujours refléter vos pratiques actuelles.

Si vous changez de fournisseur de paiement → mettre à jour. Si vous ajoutez un nouvel outil → mettre à jour. Si vous changez vos durées de conservation → mettre à jour.

Ce que dit la loi : Vous devez obtenir le consentement libre et éclairé avant de collecter, utiliser ou communiquer des renseignements personnels.

Le consentement doit être : Libre (la personne peut refuser sans conséquence), Éclairé (elle comprend à quoi elle consent), Spécifique (un consentement par finalité), Manifeste (action claire comme une case à cocher).

Ce que dit la loi : Pour les données sensibles (santé, biométrie, origine ethnique, etc.), le consentement doit être explicite et séparé.

Vous ne pouvez pas obtenir le consentement "en passant" dans un long formulaire. Il faut une case spécifique, clairement identifiée.

Ce que dit la loi : Une personne doit pouvoir retirer son consentement aussi facilement qu'elle l'a donné.

Si quelqu'un a consenti à recevoir votre infolettre par un clic, il doit pouvoir se désabonner par un clic aussi (pas 5 étapes compliquées).

Ce que dit la loi : Vous devez conserver la preuve des consentements obtenus.

Pour chaque consentement, enregistrer : Qui a consenti (identifiant, email), Quand (date et heure), À quoi (quelle finalité exactement), Comment (formulaire web, signature papier, etc.)

Ce que dit la loi : Vous devez obtenir le consentement AVANT de déposer des cookies non essentiels (analytics, marketing, réseaux sociaux).

La bannière de cookies doit apparaître AVANT que Google Analytics se charge. L'utilisateur doit pouvoir tout refuser facilement. Aucune case pré-cochée.

Ce que dit la loi : Toute personne a le droit de savoir quelles informations vous avez sur elle.

Si un client vous demande : "Quelles données avez-vous sur moi ?", vous devez lui fournir une copie dans les 30 jours.

Ce que dit la loi : Une personne peut demander la correction de données inexactes ou incomplètes.

Si un client dit : "Mon adresse dans votre système est erronée", vous devez la corriger dans les 30 jours.

Ce que dit la loi : Une personne peut demander ses données dans un format structuré et couramment utilisé.

Le client peut vous demander ses données pour les transférer ailleurs. Vous devez fournir un export en CSV, JSON, ou PDF.

Ce que dit la loi : Une personne peut demander la suppression de ses données dans certains cas.

La personne peut demander l'effacement si : les données ne sont plus nécessaires, elle retire son consentement, les données ont été collectées illégalement. Vous pouvez refuser si obligation légale de conserver (7 ans pour données fiscales).

Ce que dit la loi : Vous avez 30 jours pour répondre à toute demande d'exercice de droits.

À partir de la réception de la demande, vous avez 30 jours calendaires (pas ouvrables) pour accuser réception, traiter la demande, et fournir une réponse complète.

Ce que dit la loi : Vous devez protéger les renseignements personnels par des mesures de sécurité adaptées à leur sensibilité.

Mesures techniques : Mots de passe forts, chiffrement des données sensibles, sauvegardes régulières, antivirus à jour.

Mesures organisationnelles : Accès limité selon le besoin, formation des employés, politique de sécurité écrite.

Ce que dit la loi : Quand vous n'avez plus besoin de données, vous devez les détruire de manière sécurisée.

Documents papier → déchiquetage. Fichiers numériques → suppression sécurisée (pas juste à la corbeille). Disques durs → destruction physique ou formatage sécurisé.

Ce que dit la loi : Seules les personnes qui ont besoin d'accéder aux données dans le cadre de leur travail peuvent y accéder.

Le massothérapeute a accès aux dossiers clients. La réceptionniste a accès aux coordonnées pour les rendez-vous. Le comptable a accès aux factures. PERSONNE d'autre.

Ce que dit la loi : Quand vous envoyez des données personnelles, vous devez le faire de manière sécurisée.

Email contenant des données sensibles → chiffré ou lien sécurisé. Envoi de documents → portail sécurisé. Jamais de données sensibles par SMS non chiffré.

Ce que dit la loi : Vous devez former toute personne ayant accès à des renseignements personnels.

Formation sur : Qu'est-ce qu'un renseignement personnel, pourquoi c'est important de les protéger, les bonnes pratiques (mots de passe, emails, etc.), que faire en cas d'incident.

Ce que dit la loi : Vous devez être capable de détecter quand un incident de confidentialité se produit et le documenter.

Un incident, c'est : laptop volé contenant des données clients, email envoyé aux mauvaises personnes, accès non autorisé à votre système, perte de documents papier, ransomware.

Ce que dit la loi : Si l'incident présente un risque de préjudice sérieux, vous devez notifier la CAI dans les 72 heures suivant la découverte.

Risque sérieux = possibilité de : vol d'identité, fraude financière, atteinte à la réputation, discrimination, dommage physique.

Ce que dit la loi : Vous devez informer les personnes dont les renseignements sont compromis si l'incident présente un risque de préjudice sérieux.

Vous devez contacter chaque personne affectée pour expliquer ce qui s'est passé, quelles données sont concernées, quels sont les risques potentiels, et ce qu'elles peuvent faire pour se protéger.

Ce que dit la loi : Si vous confiez des données à un fournisseur situé hors du Québec, vous devez avoir une entente écrite garantissant un niveau de protection équivalent.

Vous utilisez Stripe (États-Unis), Mailchimp (États-Unis), Google Workspace (États-Unis). Vous devez vérifier qu'ils respectent des normes équivalentes (RGPD, certifications SOC 2, etc.) et avoir une entente/contrat.

Ce que dit la loi : Vous devez informer les personnes de la juridiction étrangère où leurs données sont hébergées/traitées.

Dans votre politique de confidentialité, mentionner : Quels services vous utilisez, Dans quel pays sont les serveurs, Que les données peuvent être soumises aux lois de ce pays.

Ce que dit la loi : Vous devez définir et respecter des durées de conservation pour chaque type de données.

Pour chaque actif dans votre registre, vous devez dire : Combien de temps vous gardez les données, Pourquoi cette durée (obligation légale, besoin métier), Ce qui déclenche la suppression.

Ce que dit la loi : Quand la durée de conservation est atteinte, vous devez détruire les données (sauf exceptions légales).

Après 7 ans, les reçus d'assurance doivent être détruits. Après 3 ans sans interaction, les emails inactifs doivent être supprimés.

Priorité 2 (À faire ce mois-ci)

1. Créer le registre des activités (Obligation 4)
2. Définir les durées de conservation (Obligation 31)
3. Former les employés de base (Obligation 25)

Priorité 3 (À faire dans les 3 mois)

1. Mettre en place les mesures de sécurité (Obligation 21)
2. Documenter les consentements (Obligation 14)
3. Procédure d'incidents (Obligations 26-28)

Priorité 4 (Dans les 6 mois)

10-32. Toutes les autres obligations