Loi 25 : les obligations concrètes pour les PME du Québec

À qui s'applique vraiment la Loi 25

La taille de l'entreprise n'a aucune incidence. La Loi 25 s'applique à toute organisation qui collecte, utilise ou communique des renseignements personnels sur des résidents du Québec, qu'il s'agisse d'une entreprise d'un seul employé ou d'une multinationale. Les entreprises situées hors Québec qui font affaire avec des Québécois sont également visées. La loi est entrée en vigueur en trois phases entre septembre 2022 et septembre 2024 ; depuis le 22 septembre 2024, l'ensemble de ses dispositions s'applique, et la Commission d'accès à l'information du Québec (CAI), l'organisme responsable de son application, a nettement intensifié ses contrôles en 2025 et 2026.

Le point qui surprend le plus les dirigeants : ce ne sont pas seulement les données de vos clients qui comptent. Les renseignements de vos employés, de vos fournisseurs et même de vos visiteurs sur votre site web entrent dans le périmètre de la loi. Si votre PME tient une liste de courriels, un système de paie ou un formulaire de contact, vous êtes assujetti, point final.

Non, une bannière de cookies ne vous rend pas conforme

C'est l'un des malentendus les plus répandus et les plus coûteux. La bannière de consentement aux témoins de navigation (cookies) ne couvre qu'une fraction très précise de vos obligations : le consentement à la collecte de données de navigation sur votre site web. C'est la partie visible de l'iceberg et, malheureusement, la plus petite.

Ce n'est pas un problème anecdotique. Dès 2024, à peine 3 % des entreprises québécoises s'étaient réellement adaptées à la loi, et 60 % des PME disaient ne pas avoir l'intention de le faire à court terme, selon des données rapportées par Le Devoir. Une bonne partie de ces entreprises misait justement sur une bannière de cookies pour se donner l'illusion d'être en règle.

Ce que la bannière ne couvre pas : l'inventaire de toutes les données personnelles que vous détenez, la gestion des accès à ces données à l'interne, les règles de conservation et de destruction, les ententes avec vos sous-traitants et fournisseurs infonuagiques, la procédure de gestion des incidents, et les droits d'accès et de rectification que vous devez pouvoir honorer sur demande. Une entreprise peut avoir la bannière la plus soignée du Québec et être, en substance, complètement non conforme. C'est la différence entre la conformité de façade et la conformité réelle à la Loi 25 : la première se voit sur le site web, la seconde se vérifie dans vos processus internes.

Les cinq obligations concrètes, expliquées simplement

Voici les cinq piliers de la Loi 25 pour une PME. Ce qu'ils veulent dire concrètement, pourquoi ils existent, et ce qui manque le plus souvent dans une petite structure. Posez-vous la question à la fin de chacun : c'est ce petit exercice, plus que la loi elle-même, qui révèle où vous en êtes vraiment.

1. Un responsable, désigné et connu

La loi exige de nommer une personne responsable de la protection des renseignements personnels. L'idée derrière cette obligation est simple : si un client, un employé ou la CAI se pose une question concernant vos données, il doit savoir à qui s'adresser. Par défaut, ce rôle revient à la personne détenant la plus haute autorité dans l'organisation,  souvent le propriétaire, dans une PME, mais il peut être délégué ou même externalisé. Concrètement, ça veut dire que le nom (ou le titre) de cette personne doit être publié sur votre site web, et non seulement noté quelque part à l'interne.

2. Des pratiques documentées, pas seulement suivies

Quelles données collectez-vous, pourquoi, combien de temps les conservez-vous, et avec qui les partagez-vous ? Beaucoup de PME appliquent déjà de bonnes pratiques de façon informelle ; le problème n'est pas qu'elles font les choses mal, c'est qu'elles ne les ont jamais écrites noir sur blanc. Or, une pratique non documentée ne peut ni être vérifiée par vous-même ni démontrée à la CAI en cas de question. Documenter, c'est transformer une bonne intuition en preuve.

3. Un consentement clair et distinct, pas un consentement caché

Avant toute collecte à des fins de marketing ou tout partage avec un tiers, le consentement doit être manifeste, libre et éclairé, et non noyé dans des conditions d'utilisation de dix pages que personne ne lit. Pour tout nouveau projet impliquant des renseignements personnels, une évaluation des facteurs relatifs à la vie privée (EFVP) est également requise. Le test à se poser : si un client vous demandait « à quoi ai-je consenti exactement ? », pourriez-vous répondre en une phrase claire ?

4. Une procédure d'incident, prête avant d'en avoir besoin

Tout incident de confidentialité présentant un risque sérieux doit être déclaré à la CAI et aux personnes concernées, dans les meilleurs délais. Un registre de tous les incidents, même mineurs, doit être tenu, qu'ils soient déclarés ou non. Cette obligation existe parce qu'un incident géré dans la panique, sans marche à suivre déjà établie, prend systématiquement plus de temps et laisse plus de traces qu'un incident géré selon un plan préétabli.

5. La capacité de répondre à une demande d'accès

Toute personne a le droit de demander l'accès à ses renseignements personnels, de les faire corriger et d'en demander la portabilité, et la loi encadre le délai dans lequel vous devez répondre. L'obligation n'est pas seulement légale : c'est aussi une question de confiance. Une entreprise capable de répondre calmement à ce genre de demande envoie un signal fort à ses clients, bien au-delà de la simple conformité.

Ce que vous risquez, et ce qui compte vraiment

Parlons chiffres, honnêtement, et avec précision, parce que le régime de sanctions de la Loi 25 comporte en réalité plusieurs paliers, pas un seul montant fourre-tout.

D'abord, les sanctions administratives pécuniaires (SAP) : la CAI peut les imposer directement, après enquête, sans passer par les tribunaux jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Une entreprise qui s'engage à corriger la situation peut parfois éviter la SAP. Les manquements les plus graves : utilisation illégale de renseignements personnels, défaut de signaler un incident, entrave à une enquête de la CAI, peuvent en plus mener à des poursuites pénales devant les tribunaux : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour une entreprise (amende minimale de 15 000 $, doublée en cas de récidive), et jusqu'à 100 000 $ pour un individu, dirigeant compris. Enfin, les personnes touchées peuvent elles-mêmes engager des poursuites civiles pour obtenir des dommages-intérêts punitifs non plafonnés.

Ce ne sont pas des chiffres abstraits. Le rapport annuel 2024-2025 de la CAI montre que sa section de surveillance a reçu 549 plaintes cette année-là, une hausse de 98 % en un an, et 514 avis d'incidents de confidentialité, une hausse de 559 % en trois ans, dont 80 % provenaient du secteur privé. Les cyberattaques (160 cas) et les erreurs humaines (110 cas) arrivent en tête des causes. Et les PME ne sont pas épargnées : en juin 2026, la CAI a sanctionné une clinique médicale privée pour l'absence de responsable désigné, de politique de confidentialité, de chiffrement de ses communications électroniques et de collecte de données de santé sans consentement valide. La preuve que les PME sont activement surveillées, et non seulement les multinationales.

Mais pour une PME de 15 ou 50 employés, le risque le plus probable n'est souvent ni la SAP ni la poursuite pénale, et s'attarder sur ces chiffres à neuf zéros mène plus souvent à l'évitement qu'à l'action. Le risque immédiat ressemble davantage à ceci : une plainte d'un client insatisfait qui se transforme en enquête, une demande d'accès à laquelle personne dans l'entreprise ne sait répondre, ou la perte d'un contrat parce qu'un donneur d'ordre exige désormais des garanties de conformité de la part de ses fournisseurs. Dans plusieurs secteurs, la conformité à la Loi 25 devient un argument de vente auprès de vos clients institutionnels, et non seulement une obligation réglementaire.

Par où commencer votre mise en conformité

La conformité à la Loi 25 n'est pas qu'un exercice juridique. Elle repose largement sur des mesures techniques et organisationnelles concrètes, dans cet ordre :

1. Inventaire — quels renseignements personnels sont stockés dans vos systèmes et où ?
2. Cartographie des flux — qui y accède, depuis où et pour quelle raison.
3. Gestion des accès — configurer les droits selon le principe du moindre privilège : chaque personne n'a accès qu'à ce dont elle a besoin pour son travail.
4. Politique de confidentialité — rédiger ou réviser un document clair et accessible.
5. Procédure d'incident — documenter la marche à suivre avant d'en avoir besoin.
6. Désignation du responsable — officialiser et publier.

La bonne nouvelle : la majorité des PME ont déjà une partie de ces éléments en place sans le savoir. Le travail consiste souvent à documenter et formaliser l'existant plutôt qu'à tout reconstruire à partir de zéro. La CAI elle-même le confirme : ses lignes directrices publiées en janvier 2026 recommandent de commencer par un inventaire complet des renseignements personnels détenus — exactement la logique de cet autodiagnostic — avant toute autre mesure. Le rôle de responsable peut aussi être externalisé — notamment via un vCISO — pour les PME qui n'ont pas les ressources internes nécessaires pour le porter à temps plein. Peu importe où vous en êtes, il existe un forfait adapté à votre réalité pour structurer votre démarche.

En résumé : vous n'avez pas à tout régler seul, ni tout de suite

La conformité à la Loi 25 se construit par étapes, pas en une fin de semaine — et ce n'est pas un exploit réservé aux entreprises dotées d'un département juridique interne. Rien qu'en lisant jusqu'ici, vous avez déjà fait la partie la plus difficile : comprendre ce que la loi demande vraiment, et où se trouvent vos propres écarts parmi les cinq obligations ci-dessus.

La suite est plus simple qu'elle en a l'air. Dans la grande majorité des PME qu'on accompagne, une bonne partie du travail est déjà en place, sans être documentée ni officialisée. C'est exactement le genre d'accompagnement qu'on offre chez Eosium : on fait l'inventaire avec vous, on identifie calmement ce qui manque, et on vous aide à combler les écarts à votre rythme, sans jargon juridique.