Loi 25 : résumé pour les PME

La Loi 25 s’applique-t-elle à une petite entreprise ?

On appelle couramment Loi 25 la loi de 2021 qui a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Son article 1 vise les renseignements personnels sur autrui qu’une personne « recueille, détient, utilise ou communique à des tiers à l’occasion de l’exploitation d’une entreprise ». L’article 3 énumère ce que la loi exclut : il s’agit des organismes publics, des renseignements qu’une personne détient pour le compte d’un organisme public et des renseignements de santé et de services sociaux.

Dans le texte lu pour cette page (version à jour au 12 août 2026), ni l’article 1 ni l’article 3 ne retient un seuil de chiffre d’affaires ou de nombre d’employés, et le mot taille n’y figure pas. Ce que l’importance de l’entreprise change, c’est l’ampleur des mesures : les politiques de gouvernance doivent être « proportionnées à la nature et à l’importance des activités de l’entreprise » (art. 3.2), et l’évaluation des facteurs relatifs à la vie privée « proportionnée à la sensibilité des renseignements concernés » (art. 3.3). Un règlement ou une décision qui allégerait les règles pour les petites entreprises n’a pas été cherché : non vérifié.

Le résumé : neuf obligations

1. Désigner un responsable et publier son titre. Sans désignation, la personne qui a la plus haute autorité dans l’entreprise exerce la fonction. Le titre du responsable et ses coordonnées doivent paraître sur le site de l’entreprise, ou, sans site, être rendus accessibles autrement (art. 3.1).
2. Établir des règles de gouvernance et en publier un résumé. Conservation, destruction, rôles du personnel, traitement des plaintes : des politiques approuvées par le responsable, dont des informations détaillées sont publiées sur le site en termes simples et clairs (art. 3.2).
3. Recueillir seulement le nécessaire, par des moyens licites. La personne qui recueille des renseignements « ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte » (art. 5).
4. Informer à la collecte et publier une politique de confidentialité. Fins et moyens de la collecte, droits d’accès et de rectification, droit de retirer son consentement (art. 8) ; une politique publiée sur le site, en termes simples et clairs, quand la collecte passe par un moyen technologique (art. 8.2). Une technologie qui permet d’identifier, de localiser ou de profiler une personne s’annonce au préalable (art. 8.1).
5. Obtenir un consentement valable. Le consentement doit être « manifeste, libre, éclairé et être donné à des fins spécifiques » (art. 14). Un renseignement n’est utilisé qu’aux fins prévues, à moins d’un nouveau consentement (art. 12), et il n’est communiqué à un tiers qu’avec le consentement de la personne ou si la loi le prévoit (art. 13).
6. Protéger les renseignements. Des mesures de sécurité « raisonnables compte tenu, notamment, de leur sensibilité » (art. 10).
7. Gérer les incidents de confidentialité. Réduire les risques, aviser la Commission d’accès à l’information et les personnes concernées quand le risque de préjudice est sérieux, et tenir un registre des incidents (art. 3.5 à 3.8). Le détail des avis et du registre est dans le guide sur l’incident de confidentialité.
8. Évaluer les facteurs relatifs à la vie privée dans les cas visés. Pour un projet de système d’information ou de prestation électronique de services (art. 3.3), et avant de communiquer un renseignement hors Québec (art. 17).
9. Répondre aux demandes des personnes, puis détruire. Confirmer l’existence d’un renseignement et en donner une copie sur demande (art. 27), le rectifier s’il est inexact, incomplet ou équivoque (art. 28), et le détruire ou l’anonymiser quand les fins sont accomplies, sous réserve d’un délai de conservation prévu par une loi (art. 23).

Les exceptions que la loi prévoit à ces règles, les délais de réponse aux demandes d’accès, les règlements et les montants des sanctions ne sont pas repris ici : non vérifié.

Pour le détail, cinq autres guides

• Loi 25 : les obligations des entreprises, article par article : les points 1, 2, 4, 5, 7 et 8 en détail, avec ce que l’entreprise a à faire.
• Ce que la Loi 25 demande au site web d’une entreprise : le point 4 appliqué à un site, dont les témoins (cookies).
• Politique de confidentialité selon la Loi 25, avec un exemple : le contenu de la politique du point 4, rubrique par rubrique.
• Publier sa politique sur Shopify, WordPress ou Wix : où la mettre une fois rédigée.
• Responsable de la protection des renseignements personnels : qui est-ce et quoi publier : le point 1 en détail.