Loi 25 et protection des renseignements personnels au Québec
Comment la Loi 25 (sanctionnée en septembre 2021, entrée en vigueur graduelle 2022-2024) modernise la protection des renseignements personnels au Québec.
La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est la grande réforme québécoise de la vie privée — souvent comparée au RGPD européen ou à la PIPEDA canadienne renforcée. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé (1993) et est entrée en vigueur graduellement de 2022 à 2024. Pour les entreprises au Québec, les implications sont considérables : responsable de la protection des renseignements personnels, politique de confidentialité, consentement clair, avis des incidents présentant un risque de préjudice sérieux à la Commission d'accès à l'information (CAI) et aux personnes concernées, et nouveaux droits pour les personnes, dont la portabilité. Cette page est un repère général, pas un avis juridique.
- Loi 25 : modernisation de la Loi 1993 sur les renseignements personnels du secteur privé.
- Entrée en vigueur graduelle : septembre 2022 (premier paquet), septembre 2023 (deuxième), septembre 2024 (final).
- Responsable de la protection des renseignements personnels : la personne ayant la plus haute autorité, ou son délégué.
- Incident à risque de préjudice sérieux : avis à la CAI et aux personnes concernées, avec diligence.
Comment ça fonctionne
Vous désignez un responsable de la protection des renseignements personnels (officier de protection de la vie privée, en français). Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise; elle peut déléguer la fonction. Le titre et les coordonnées du responsable doivent être publiés sur le site de l'entreprise.
Vous établissez une politique de confidentialité conforme. Cette politique doit identifier : quelles informations sont collectées, à quelles fins, comment elles sont conservées et protégées, à qui elles peuvent être communiquées (notamment hors Québec — cela nécessite une évaluation des facteurs relatifs à la vie privée), les droits des personnes concernées (accès, rectification, effacement, portabilité), et les coordonnées du responsable.
Vous mettez en place des mécanismes de consentement. Pour la collecte de renseignements personnels au-delà de ce qui est strictement nécessaire pour le service principal, le consentement explicite est requis. Pas de consentement implicite ou paquet — le consommateur doit explicitement accepter chaque finalité de collecte. Pour les technologies de profilage ou de localisation, la loi exige des paramètres désactivés par défaut et un consentement de la personne.
Vous établissez un processus de notification de brèche. Si un incident de confidentialité présente un risque de préjudice sérieux, l'entreprise doit aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées. La loi ne fixe pas de délai précis en heures. Tenez aussi un registre des incidents, même ceux qui ne sont pas à déclarer.
Vous mettez en place les droits des personnes : accès, rectification, cessation de diffusion ou désindexation dans certains cas, et portabilité (depuis septembre 2024). Vous avez 30 jours pour répondre à une demande. Les sanctions peuvent atteindre, pour les sanctions administratives pécuniaires, 10 millions $ ou 2 % du chiffre d'affaires mondial, et, pour les infractions pénales, 25 millions $ ou 4 %.
Cadre juridique
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ chapitre P-39.1.
- Loi 25 modifiant la Loi 1993 (sanctionnée 22 septembre 2021).
- Règlement sur les incidents de confidentialité.
- Commission d'accès à l'information du Québec — Lignes directrices sur la Loi 25.
Questions fréquentes
La Loi 25 s'applique-t-elle aux entreprises hors Québec ?
Oui, si elles collectent ou traitent des renseignements personnels de résidents québécois. Une entreprise basée en Ontario ou en France qui a des clients québécois doit se conformer aux dispositions de la Loi 25 pour ces clients. Pour les entreprises avec une présence québécoise (employés, bureaux), la Loi s'applique pleinement à leurs opérations québécoises.
Comment la Loi 25 se compare-t-elle au RGPD européen ?
Similaires dans les principes : consentement, transparence, droits des personnes, avis des incidents, sanctions élevées. Différences : la Loi 25 impose une évaluation des facteurs relatifs à la vie privée (EFVP) avant certains transferts hors Québec, et ses plafonds de sanctions diffèrent de ceux du RGPD. Se conformer au RGPD ne suffit pas automatiquement : validez chaque exigence.
Quelles sanctions pour non-conformité ?
Deux régimes. Sanctions administratives pécuniaires (depuis septembre 2023) : jusqu'à 10 millions $ ou 2 % du chiffre d'affaires mondial. Infractions pénales : jusqu'à 25 millions $ ou 4 %. Des recours civils des personnes concernées sont aussi possibles. Les montants exacts sont à confirmer auprès de la CAI.
Comment 4invoices gère-t-il les renseignements personnels ?
4invoices sert à créer des factures : vous saisissez vous-même les renseignements de vos clients (nom, adresse, numéros de taxe) et vous décidez lesquels y figurent. 4invoices ne prend pas en charge à votre place votre politique de confidentialité, vos avis d'incident ni vos évaluations de la vie privée, et ne prétend à aucune certification Loi 25. Vérifiez l'hébergement et les conditions dans les documents légaux du service.
Qu'est-ce qu'une évaluation des facteurs relatifs à la vie privée (EFVP) ?
Une analyse des risques liés à la communication de renseignements personnels à l'extérieur du Québec, exigée depuis septembre 2023. Elle examine notamment la sensibilité des renseignements, les finalités, les mesures de protection et le régime juridique de l'État de destination. Pour votre cas, appuyez-vous sur les lignes directrices de la CAI.