En 2026, la non-conformité à la Loi 25 n’est plus un risque juridique théorique, mais un risque d’affaires mesurable. Les lacunes les plus fréquentes, dont les évaluations des facteurs relatifs à la vie privée (EFVP) incomplètes, la gestion déficiente des incidents de confidentialité, les contrats fournisseurs non conformes et les contrôles insuffisants des transferts de données, exposent les entreprises à des sanctions administratives pouvant atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial, en plus d’une surveillance accrue de la Commission d’accès à l’information. En cas d’incident ou d’enquête, la capacité de démontrer une gouvernance réelle, documentée et traçable, devient déterminante.

Depuis l’adoption de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels¹ (ci-après la « Loi 25 »), les organisations ont dû s’adapter à un cadre normatif beaucoup plus exigeant. Déployée en trois phases, cette réforme impose de nouvelles obligations en matière de transparence, de sécurité et de gouvernance. Pourtant, plusieurs entreprises demeurent vulnérables : politiques de confidentialité incomplètes ou non publiées, registres d’incidents inexistants, absence d’évaluation des facteurs relatifs à la vie privée, contrats avec des fournisseurs non mis à jour, transferts de données non évalués, etc.

À l’aube de la nouvelle année, les constats sont clairs : une proportion importante d’entreprises du secteur privé n’a pas encore complété sa mise en conformité. Résultat : un risque juridique élevé et une exposition importante en cas d’incident, de plainte ou d’audit de la Commission d’accès à l’information (ci-après « CAI »)

Pour aider les organisations à se situer rapidement, voici quelques exemples concrets d’éléments qui devraient être déjà en place, mais qui manquent souvent dans la pratique :

Une politique de confidentialité complète, publiée sur le site web et mise à jour depuis 2024²;
Un registre des incidents conforme au Règlement³, tenu à jour et conservé pendant 5 ans;
Une évaluation des facteurs relatifs à la vie privée (ci-après « EFVP ») documentée pour tout système technologique ou fournisseur manipulant des renseignements personnels;
Des clauses contractuelles revues pour tous les fournisseurs et sous-traitants ;
Une procédure interne de réponse aux demandes d’accès, de rectification et de désindexation ;
Une procédure claire de gestion des incidents, avec un protocole d’évaluation du risque de préjudice sérieux ;
Des mesures de sécurité proportionnées à la sensibilité des données ;
Une formation interne minimalement annuelle destinée aux employés.

Ces lacunes exposent directement les organisations à des risques opérationnels importants et soulignent l’écart qui persiste encore entre les exigences de la Loi 25 et la réalité sur le terrain.

Le présent article propose un survol structuré des principes directeurs et des obligations prévues par la Loi 25, afin d’offrir aux entreprises une compréhension claire du cadre applicable et des éléments nécessaires pour soutenir une gouvernance rigoureuse et durable.

1. LES FONDEMENTS DE LA LOI 25 : QUATRE DIRECTEURS

La réforme repose sur quatre (4) principes structurants : le consentement, la transparence, la protection des renseignements sensibles et le principe de nécessité. Ils guident désormais toute collecte, utilisation, communication, conservation ou destruction de renseignements personnels.

1.1. Consentement clair et spécifique

Le consentement doit être manifeste, libre, éclairé et spécifique à chaque finalité⁴. Pour des renseignements personnels sensibles (NAS, données médicales, biométriques ou financières), un consentement explicite est requis⁵. Les organisations doivent conserver une preuve de chaque consentement obtenu.

1.2. Transparence accrue

Les politiques de confidentialité doivent être rédigées en langage clair et publiées de manière accessible. Elles doivent identifier : les catégories de renseignements collectés, les finalités, les moyens de collecte, les durées de conservation, les droits des personnes, les tiers à qui les données peuvent être communiquées, ainsi que l’identité et les coordonnées du responsable de la protection des renseignements personnels (ci-après « RPRP »)⁶.

Toute utilisation de technologies de profilage, de suivi ou de géolocalisation doit être divulguée clairement, avec un mécanisme permettant à l’utilisateur d’activer ou de désactiver ces fonctions⁷.

1.3. Protection renforcée des renseignements sensibles

Un renseignement est sensible s’il suscite un haut degré d’attente raisonnable en matière de vie privée⁸. Les organisations doivent mettre en œuvre des mesures de sécurité proportionnelles, tant techniques qu’organisationnelles⁹. Les usages touchant les données biométriques sont assujettis à des obligations additionnelles, notamment l’EFVP préalable et, dans certains cas, une déclaration à la CAI¹⁰.

1.4. Principe de nécessité

Une organisation ne peut recueillir que les renseignements personnels strictement nécessaires à la finalité annoncée. Le simple consentement ne légitime pas une collecte excessive : chaque renseignement doit pouvoir être justifié, documenté et évalué en fonction du risque.

2. LES NOUVELLES OBLIGATIONS PHASE PAR PHASE

PHASE 1 (Depuis septembre 2022)

2.1. Désignation du responsable de la protection des renseignements personnels (art. 3.1 LPRPSP)

Chaque entreprise du secteur privé doit désigner un RPRP. Par défaut, cette fonction est assumée par la personne ayant la plus haute autorité (PDG, président), mais elle peut être déléguée par écrit¹¹. Les coordonnées du RPRP doivent être publiées, notamment sur le site web.

Cette obligation, désormais codifiée à l’article 3.1 LPRPSP, vise à assurer une gouvernance claire et imputable en matière de gestion des données personnelles.

2.2. Gestion des incidents de confidentialité

La Loi 25 impose un cadre rigoureux pour la gestion des incidents de confidentialité, complété par le Règlement sur les incidents de confidentialité¹². Un incident de confidentialité est défini comme tout accès, utilisation ou communication non autorisés par la loi d’un renseignement personnel, la perte d’un tel renseignement ou toute autre atteinte à sa protection¹³. Lorsqu’un incident présente un risque de préjudice sérieux, l’entreprise est tenue d’en informer sans délai la CAI ainsi que les personnes concernées¹⁴.

Elle doit également tenir un registre des incidents de confidentialité, conservé pendant au moins cinq (5) ans, disponible pour inspection par la CAI¹⁵. Une organisation peut aviser toute personne ou tout organisme capable de réduire le risque, bien que cela demeure discrétionnaire¹⁶.

La conformité repose sur des processus internes clairs : procédures de signalement, analyse du risque, documentation systématique des mesures prises, formation du personnel et révision périodique des protocoles.

PHASE 2 (Depuis septembre 2023)

2.3. Politiques et pratiques de gouvernances & transparence (art. 3.2, 8-8.3, 12.1, 22 et 29 LPRPSP)

Les organisations doivent adopter et maintenir des politiques encadrant la gouvernance des renseignements personnels, incluant :

la collecte,
l’utilisation,
la communication,
la conservation et la destruction,
l’anonymisation.

Ces politiques doivent être accessibles et mises à jour régulièrement. Toute modification importante doit être communiquée aux personnes concernées.

Protection dès la conception et par défaut (« privacy by design » et « privacy by default »)

Les paramètres de confidentialité doivent être configurés, par défaut, de manière à offrir le plus haut niveau de protection, sans intervention de l’usager¹⁷.

2.4 Règles applicables au consentement

La Loi 25 exige :

un consentement distinct pour chaque finalité;
un consentement explicite pour les renseignements sensibles;
la conservation de la preuve du consentement.

Les personnes disposent également de droits renforcés : accès, rectification, retrait du consentement, cessation de diffusion et désindexation¹⁸.

2.5 Évaluation des facteurs relatifs à la vie privée (EFVP) et transfert de données hors Québec

La Loi 25 fait de l’EFVP un pivot incontournable de la gouvernance des renseignements personnels. Toute initiative impliquant leur traitement doit faire l’objet d’une EFVP dès sa conception, afin d’en assurer la conformité, d’anticiper les risques et d’établir les mesures d’atténuation appropriées¹⁹.

L’exercice s’impose notamment lors de l’implantation ou de la refonte d’un système technologique, de l’utilisation d’un fournisseur ou d’une solution infonuagique, ainsi que pour tout transfert de renseignements personnels hors Québec²⁰.

La portée de l’analyse varie selon la sensibilité et la finalité des données, leur quantité, leur répartition et leur support²¹.

Tout transfert hors Québec exige une démonstration documentée que la destination offre une protection essentiellement équivalente à celle prévue par la loi québécoise. Cette évaluation doit être proportionnée aux risques identifiés, intégrée à la gouvernance interne et accompagnée d’une information claire aux personnes concernées.

Le rôle du RPRP est déterminant. Impliqué dès le départ, il structure l’analyse, encadre les mesures de protection et assure la cohérence de l’ensemble. L’EFVP n’est pas un exercice administratif; elle constitue la preuve tangible de la rigueur, de la transparence et de la maturité organisationnelle en matière de renseignements personnels.

2.6 Conservation, anonymisation et droit à la désindexation

Les articles 3.2, 10, 11 al. 2, 12, 23, 28.1 et 36 de la LPRPSP imposent :

la destruction des renseignements personnels lorsque la finalité est atteinte (sous réserve des délais de conservation prévus par la loi ou par règlement);
l’anonymisation lorsque la conservation poursuit des fins sérieuses et légitimes.

Le droit à la cessation de diffusion et à la désindexation, communément appelé « droit à l’oubli »²², permet à une personne de demander le retrait de renseignements lorsque leur diffusion lui cause un préjudice grave ou contrevient à la loi. Les entreprises doivent prévoir des mécanismes internes pour traiter de ces demandes.

PHASE 3 (Depuis septembre 2024)

2.7 Droit à la portabilité des données

Ce droit permet à une personne d’obtenir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé et, le cas échéant, d’en exiger le transfert direct vers une autre organisation autorisée à les recueillir²³.

Il s’applique uniquement aux renseignement fournis par la personne concernée, excluant notamment les données inférées ou dérivées (par ex. : profil d’utilisateur créé à partir de l’analyses d’activités sur le Web, cote de crédit ou de risque générée par une entreprise à partir de données internes.²⁴). Les organisations doivent adapter leurs systèmes pour permettre cette portabilité de manière sécurisée et conforme.

3. SANCTIONS

La Loi 25 prévoit un régime de sanctions particulièrement sévère. Deux types de sanctions peuvent être imposées par la CAI:

Sanctions administratives pécuniaires, pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial de l’entreprise, selon le montant le plus élevé. Ces sanctions visent notamment les manquements liés à la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels en contravention à la Loi, ainsi que l’omission de déclarer un incident de confidentialité présentant un risque de préjudice sérieux²⁵.
Poursuites pénales, intentées par la CAI dans un délai de cinq (5) ans suivant l’infraction, en cas de manquement grave ou répété. Les amendes peuvent s’élever jusqu’à 25 millions de dollars ou 4 % du chiffre d’affaires mondial, toujours selon le montant le plus élevé²⁶.

En parallèle, la Loi reconnaît également la possibilité de recours civils²⁷. Toute personne dont les droits ont été lésés peut réclamer des dommages-intérêts, notamment en cas de négligence grave de la part de l’organisation.

Au-delà de ces sanctions, la non-conformité comporte un risque majeur, soit la perte de confiance du public, des clients et des partenaires.

CONCLUSION

Plus d’un an après l’entrée en vigueur de la Loi 25, les organisations sont désormais jugées non seulement sur leur conformité, mais sur la solidité de leur gouvernance. Les entreprises qui se distinguent sont celles qui ont su intégrer la protection des renseignements personnels à leur structure décisionnelle, et non simplement cocher des cases réglementaires.

Dans les faits, plusieurs dispositifs existent déjà au sein des organisations, mais leur cohérence et leur maturité déterminent la véritable capacité de résilience: processus articulés, responsabilités claires, documentation qui tient la route en cas d’audit ou d’incident. C’est ce niveau d’intégration qui inspire confiance, et qui protège réellement.

Un accompagnement stratégique permet d’assurer cette cohésion et d’offrir une vision structurée, alignée sur les standards appliqués par les organisations les plus rigoureuses du marché.

Pour consolider votre cadre de gouvernance, évaluer vos mécanismes actuels ou renforcer votre dispositif de conformité, notre équipe peut vous soutenir avec une approche précise, efficace et adaptée à vos enjeux opérationnels.

MISE EN GARDE : La présente publication vise à fournir de l’information générale sur des questions juridiques à la date de sa diffusion. Elle ne constitue pas un avis juridique et ne doit pas être interprétée ni invoquée comme tel. Chaque situation étant particulière, les lecteurs sont invités à consulter un professionnel du droit afin d’obtenir des conseils adaptés à leur contexte spécifique.

Me Sarah-Isabelle Avril, Avocate
savril@gattusogbm.com

-------------------------------------

¹ LQ 2021, c. 25. (adoptée en septembre 2021)

² Article 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1. (ci-après « LPRPSP »)

³ Règlement sur les incidents de confidentialité, RLRQ, c. A-2.1, r. 3.1.

⁴ Article 14 al. 1 LPRPSP.

⁵ Article 12 et 13 al. 2 LPRPSP.

⁶ Article 3.2 al. 2 LPRPSP.

⁷ Article 8.1 LPRPSP.

⁸ Article 12 al. 4 (2) LPRPSP.

⁹ Article 10 LPRPSP.

¹⁰ Art. 3.3 LPRPSP; art. 43-45 Loi concernant le cadre juridique des technologies de l’information, RLRQ, c. C-1.1.

¹¹ Article 3.1 al. 2 LPRPSP.

¹² Règlement sur les incidents de confidentialité, préc., note 3.

¹³ Article 3.6 LPRPSP.

¹⁴ En vertu de l’article 3.5 LPRPSP, le signalement d’une entreprise est obligatoire à toute personne dont les renseignements personnels sont concernés par l’incident de confidentialité créant un risque de préjudice sérieux, sauf si cela serait susceptible d’entraver une enquête. De plus, cette évaluation repose sur des critères tels que la nature des renseignements compromis, les conséquences potentielles de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables (art. 3.7 LPRPSP),

¹⁵ Article 3.8 LPRPSP et article 8 du Règlement sur les incidents de confidentialité, RLRQ, c. A-2.1, r. 3.1.

¹⁶ Article 3.5 al. 2 LPRPSP.

¹⁷ Article 9.1 LPRPSP.

¹⁸ Article 8 al. 1(3°) et (4°) LPRPSP; art. 22, 27-28, 30, 35 et 36 LPRPSP.

¹⁹ La CAI du Québec met un modèle d’EFVP à disposition sur son site web ainsi qu’un Guide d’accompagnement pour réaliser en une : Commission d’accès à l’information du Québec (CAI), Modèle générique de rapport d’ÉFVP, en ligne : <https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GAB_RAP_EFVP.docx?v=1715650959> ; Commission d’accès à l’information du Québec (CAI), « Réaliser une évaluation des facteurs relatifs à la vie privée », Guide d’accompagnement à la démarche et à sa documentation, avril 2024, version 3.1, en ligne : <https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_EFVP.pdf>.

²⁰ Article 3.3 LPRPSP.

²¹ Article 3.3 al. 4 LPRPSP.

²² Article 28.1 LPRPSP.

²³ Article 27 LPRPSP.

²⁴ Ces exemples sont tirées des articles suivants : Gouvernement du Québec, Droit à la portabilité, 26 août 2024, en ligne : <https://www.quebec.ca/gouvernement/travailler-gouvernement/travailler-fonction-publique/services-employes-etat/conformite/protection-des-renseignements-personnels/acces-aux-renseignements-personnels/droit-portabilite> (consulté le 2 septembre 2025); CAI, « Responsabilité des entreprises », dans Entreprises et organisations privées, en ligne : <https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/responsable-protection-renseignements-personnels-entreprise#portabilit%C3%A9> (consulté le 2 septembre 2025).

²⁵ Articles 90.1-90.17 LPRPSP; CAI, « Sanctions », dans Protection des renseignements personnels : Entreprises et organisations privées, en ligne : <https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/sanctions-entreprises-poursuites> (consulté le 2 septembre 2025).

²⁶ Id.; Art. 91-93 LPRPSP.

²⁷ Plus précisément, en vertu de l’article 93.1 LPRPSP, un particulier peut réclamer des dommages-intérêts punitifs lorsqu’une atteinte illicite à un droit conféré par la LPRPSP ou par le Code civil du Québec cause un préjudice, pourvu que l’infraction soit intentionnelle ou qu’elle résulte d’une négligence grossière.

Protection des renseignements personnels dans le secteur privé au Québec : ce que les entreprises doivent savoir en 2026