Quel est l’impact de la Loi 25 du Québec sur les outils que j’utilise?
La Loi 25 est le régime de protection des renseignements personnels le plus strict au Canada, et elle encadre ce que vous pouvez recueillir, où vous pouvez le stocker, combien de temps vous le conservez et ce que vous devez divulguer — ce qui, en pratique, encadre la configuration de votre CRM, vos formulaires et tout outil qui transfère des renseignements personnels hors du Québec.
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé par étapes entre 2022 et 2024, et ses obligations s’appliquent maintenant pleinement à toute entreprise qui traite des renseignements personnels de personnes au Québec — y compris les entreprises établies ailleurs. Les exigences structurelles viennent en premier : quelqu’un dans votre organisation est le responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité, fonction qui peut être déléguée par écrit, avec des coordonnées publiées), vous devez tenir un registre des incidents de confidentialité, et les incidents qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission d’accès à l’information et aux personnes concernées. Rien de cela n’est, à première vue, une décision d’outils, mais tout finit par le devenir : un registre des incidents n’est tenable que si vos systèmes peuvent vous dire ce qui a été consulté, et une atteinte ne peut être déclarée à temps que si quelqu’un peut réellement dresser la liste des personnes dont un outil compromis détenait les données.
L’obligation qui touche le plus profondément les outils d’une PME ordinaire est l’évaluation des facteurs relatifs à la vie privée préalable à la communication de renseignements personnels à l’extérieur du Québec. La plupart des logiciels en ligne (SaaS) — le CRM, la plateforme de courriel, la suite d’analytique, le service d’IA — traitent les données aux États-Unis, alors avant d’en adopter un, vous devez évaluer si les renseignements bénéficieront d’une protection adéquate, en tenant compte du régime juridique de l’endroit de destination et des garanties contractuelles. En pratique, cela transforme le choix d’outils en exercice documenté : quels renseignements personnels ce fournisseur touche, où il les traite et les stocke, à quoi s’engage son entente de traitement des données, et si nous pouvons récupérer les données et les faire supprimer. Les équipes qui bâtissent un modèle d’évaluation d’une page et le remplissent pour chaque fournisseur transforment une obligation légale en habitude gérable; celles qui s’en passent accumulent des outils dont elles ne peuvent pas rendre compte.
Les exigences de consentement et de transparence façonnent le haut de votre entonnoir de vente. Le consentement doit être manifeste, éclairé, réellement libre et demandé pour chaque fin spécifique, en termes simples — ce qui met fin à la case précochée et au consentement unique qui couvre le marketing, l’analytique et les « partenaires ». Les technologies qui permettent d’identifier, de localiser ou de profiler une personne doivent être désactivées jusqu’à ce que la personne les active, et c’est pourquoi les sites qui s’adressent au Québec affichent maintenant des bannières de consentement où le suivi est réellement inactif par défaut, et non reconnu pour la forme. Les formulaires ne devraient recueillir que ce dont la finalité déclarée a besoin : chaque champ « utile à avoir » est maintenant un passif plutôt qu’un atout. Les personnes ont aussi des droits que vos systèmes doivent pouvoir respecter — accès, rectification, suppression et, depuis la dernière étape, portabilité des renseignements personnels informatisés qu’elles ont fournis, dans un format structuré et couramment utilisé. Un CRM où la suppression passe par un billet de soutien à un fournisseur qui « archive » au lieu de supprimer est une lacune de conformité que vous avez héritée en l’achetant.
Le plafond des pénalités explique pourquoi cette loi a changé le comportement des fournisseurs là où les régimes canadiens précédents n’y étaient pas parvenus : les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les dispositions pénales, 25 millions de dollars ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Jusqu’ici, l’application de la loi a surtout visé à amener les organisations à se conformer plutôt qu’à imposer des amendes maximales, mais ce plafond fait de « nous sommes trop petits pour être visés » un pari plutôt qu’une politique — et le registre, le responsable désigné et les évaluations sont exactement les documents qui démontrent votre bonne foi si la Commission pose un jour des questions.
Les entreprises qui servent des clients au Québec héritent de ces obligations même si elles n’y sont pas établies, et la position pratique qui en découle est celle selon laquelle nous bâtissons : traiter la Loi 25 comme la norme de référence pour l’ensemble de vos outils au Canada, parce qu’un système qui la respecte satisfait à la LPRPDE (PIPEDA) et à tous les autres régimes provinciaux sans travail distinct. Des calendriers de conservation configurés dans les outils plutôt que promis dans une politique, un consentement consigné comme une donnée avec sa finalité et sa date, une suppression qui supprime vraiment, et une liste de fournisseurs que vous pouvez produire sur demande. Bâtir selon la norme la plus stricte coûte généralement moins cher qu’adapter après coup à la suite d’une plainte — les adaptations se font sous la pression d’une échéance, sur des systèmes qui n’ont jamais été conçus pour répondre aux questions posées.
Dernière révision le 28 août 2026