Checklist RPRP Loi 25 : nommer et publier votre Responsable en 2026

Pourquoi l'article 3.1 est non négociable

Le RPRP n'est pas un titre ajouté à une page « À propos ». C'est le point de responsabilité qui permet à une entreprise de savoir qui répond aux questions sur les renseignements personnels, qui coordonne les demandes et qui suit les décisions prises. L'article 3.1 demande à l'entreprise de désigner une personne responsable et de rendre ses coordonnées accessibles au public.

Cette exigence touche la plupart des PME qui ont un site avec formulaire, une liste de clients, un système de paie, un CRM ou une infolettre. Il n'existe pas de passe-droit général pour les petites entreprises. Une équipe de trois personnes peut avoir une structure légère, mais elle doit quand même savoir qui prend en charge la protection des renseignements personnels.

La publication est aussi une question d'observabilité. Une personne qui veut exercer un droit ou signaler un problème ne devrait pas devoir chercher une adresse personnelle, passer par un ancien employé ou envoyer un message général sans savoir qui le recevra. Un nom, une fonction et une adresse professionnelle créent un chemin clair.

Les interventions, plaintes et décisions de la Commission d'accès à l'information (CAI) rappellent une réalité simple : une politique ou une nomination sur papier ne suffit pas si personne ne connaît la procédure ou si les coordonnées sont périmées. La CAI peut examiner la gouvernance réelle de l'organisation, ses registres, ses réponses et les mesures prises après un incident. Le RPRP doit donc être joignable et capable de démontrer le suivi.

L'enjeu financier est sérieux. L'article 90.12 prévoit des sanctions administratives pécuniaires qui peuvent atteindre 25 M$ ou 4 % du chiffre d'affaires mondial annuel, selon le montant applicable le plus élevé. La sanction ne se résume pas à l'absence d'un nom dans le footer : elle peut s'inscrire dans un ensemble de manquements, par exemple une politique absente, un registre inexistant ou une réponse inadéquate à un incident.

Qu'est-ce qu'un RPRP? Définition juridique

Le Responsable de la protection des renseignements personnels est la personne qui porte la responsabilité organisationnelle de la protection des renseignements personnels. Son travail consiste à faire le lien entre la direction, les équipes qui utilisent les données, les fournisseurs technologiques, les personnes concernées et la CAI.

Dans une PME, le RPRP peut coordonner la tenue du registre des traitements, réviser la politique de confidentialité, répondre aux demandes, participer à l'évaluation des nouveaux outils et maintenir une procédure d'incident. Il ne fait pas nécessairement tout le travail lui-même. Il doit plutôt savoir qui fait quoi, à quel moment, avec quelle preuve.

Un bon RPRP comprend les activités de l'entreprise. Il sait quelles données entrent par le site, où elles vont après un formulaire, quels fournisseurs y ont accès et combien de temps l'organisation les conserve. Il n'a pas besoin d'être avocat ou informaticien, mais il doit pouvoir poser les bonnes questions et obtenir des réponses précises.

Le profil type varie. Dans une petite entreprise, ce sera souvent la personne qui dirige les opérations, qui connaît les fournisseurs et qui peut faire approuver un changement. Dans une entreprise plus structurée, le poste peut revenir à une personne en droit, en conformité, en sécurité de l'information ou en ressources humaines. Un mandataire externe peut aussi convenir, à condition que le mandat soit clair et que l'entreprise garde la capacité de décider.

Le RPRP ne remplace pas la direction. La direction demeure responsable des décisions de l'entreprise et doit fournir les ressources nécessaires. Le RPRP doit avoir accès aux systèmes, aux contrats et aux personnes qui détiennent l'information. Sans cet accès, sa nomination devient symbolique.

RPRP interne ou externe?

Il n'y a pas une réponse universelle. Le bon choix dépend du volume de renseignements personnels, du nombre de systèmes, des changements prévus et de la disponibilité de l'équipe. La comparaison suivante aide à partir du concret.

Avant de choisir, posez quatre questions : qui connaît les flux de données? qui peut faire changer une pratique? qui sera disponible dans six mois? et qui peut expliquer la décision à la direction? Les réponses valent mieux qu'un titre prestigieux.

Les 7 étapes pour nommer votre RPRP

1. Identifier le bon profil dans votre équipe

Commencez par dresser la liste des personnes qui touchent aux données : direction, marketing, ventes, service à la clientèle, paie et TI. Cherchez une personne rigoureuse, capable de faire circuler l'information et à l'aise avec les détails. Le RPRP doit pouvoir dire « je ne sais pas encore, je vais vérifier » plutôt que d'approuver une pratique sans la comprendre.

Notez aussi les absences et les périodes de pointe. Si la personne choisie est la seule à gérer les paies ou les ventes, prévoyez une relève. Un responsable inaccessible pendant une semaine ne répond pas à l'objectif de transparence.

2. Vérifier les critères de compétence

La compétence se mesure par la capacité d'agir, pas par une certification affichée. Vérifiez que la personne comprend la différence entre collecte, utilisation, communication et conservation. Elle doit savoir lire une politique, suivre un registre, documenter une décision et reconnaître un incident potentiel.

Faites-lui parcourir le site, les formulaires, le CRM, la paie et les outils infonuagiques. Cette cartographie technique révèle rapidement les zones inconnues. Si personne ne sait où aboutit une adresse courriel après l'envoi d'un formulaire, le problème n'est pas le titre du RPRP : c'est le manque d'observabilité.

3. Formaliser la nomination

Rédigez une résolution du conseil, une décision du propriétaire ou un document de nomination signé. Indiquez le nom, la fonction, la date de début, le périmètre, l'autorité, les ressources disponibles et le mécanisme de remplacement. Pour un mandat externe, joignez le contrat ou la lettre de mandat.

Conservez une version dans vos dossiers de gouvernance. La nomination doit pouvoir être retrouvée en cas de question de la CAI, de changement de direction ou d'incident. Ajoutez une date de révision, même si la fonction est sans limite de durée.

4. Documenter les responsabilités dans le registre

Le RPRP doit être relié aux activités réelles. Dans votre registre, ajoutez ses responsabilités : recevoir les demandes, coordonner la mise à jour de la politique prévue à l'article 35.18, maintenir la liste des traitements, participer à l'évaluation des risques et superviser la réponse aux incidents visés aux articles 3.5 à 3.8.

Ne transformez pas le registre en document décoratif. Pour chaque traitement, indiquez le propriétaire interne, les données concernées, les outils utilisés, les destinataires et la durée de conservation. Le RPRP doit pouvoir repérer une modification lorsque l'entreprise ajoute un logiciel, un formulaire ou un fournisseur.

5. Publier ses coordonnées

Publiez une adresse courriel professionnelle contrôlée par l'entreprise, le nom du responsable et sa fonction. Placez l'information dans la politique de confidentialité, sur une page de contact facile à trouver et, si possible, dans le footer. Évitez une adresse personnelle qui disparaîtra au prochain changement d'emploi.

Testez le parcours sur mobile et avec une recherche Google. Un lien qui mène vers une page supprimée, une adresse qui rebondit ou un formulaire sans accusé de réception affaiblit la transparence. La publication doit rester cohérente partout : une seule adresse officielle, vérifiée régulièrement.

6. Former l'équipe aux obligations Loi 25

Une courte séance suffit pour commencer, si elle est pratique. Expliquez quelles informations sont personnelles, qui peut y accéder, quoi faire lorsqu'une personne demande une copie et quoi faire lorsqu'un courriel est envoyé au mauvais destinataire. Montrez aussi où se trouve la politique et comment joindre le RPRP.

Ajoutez une procédure pour les nouveaux employés et les fournisseurs. Les équipes marketing et TI doivent comprendre que l'ajout d'un pixel, d'un chatbot ou d'un outil d'IA peut modifier les flux de données. Le RPRP doit être consulté avant les projets à risque, notamment ceux qui nécessitent une évaluation des facteurs relatifs à la vie privée selon l'article 18.1.

7. Mettre en place le suivi annuel

Bloquez une rencontre annuelle avec la direction. Révisez le nom et les coordonnées publiés, les traitements ajoutés, les fournisseurs, les incidents, les demandes reçues et les actions qui restent ouvertes. Comparez votre politique à ce que votre site fait réellement.

Un suivi annuel ne veut pas dire attendre douze mois pour agir. Utilisez un journal de changements : nouveau formulaire, nouveau cookie, migration du CRM, départ d'un employé ou changement de fournisseur. Le RPRP peut ensuite prioriser les corrections et conserver une preuve de décision.

Erreurs courantes à éviter

L'auto-nomination du CEO sans capacité réelle. Le chef de la direction peut être RPRP, mais son titre ne règle rien. S'il n'a pas le temps de répondre, d'examiner les fournisseurs ou de tenir le registre, désignez une personne opérationnelle en soutien.

Le RPRP fantôme. Un nom dans une résolution, sans accès aux systèmes ni invitation aux projets, est difficile à défendre. Documentez ses rencontres, ses décisions et les demandes qu'il a coordonnées.

Des coordonnées manquantes ou périmées. Un courriel personnel, une boîte surveillée par personne ou un nom d'ancien employé crée une rupture de transparence. Testez l'adresse au moins une fois par trimestre.

Une politique copiée sans vérification. La présence d'un RPRP dans une politique ne garantit pas que les autres informations sont exactes. La politique doit refléter vos outils, vos finalités et vos pratiques, notamment celles visées par l'article 35.18.

Confondre score et certification. Un score Veridy indique des signaux observables. Il ne certifie pas l'ensemble de vos processus internes et ne remplace pas le jugement du RPRP ou d'un professionnel du droit.

Cas particulier : les très petites entreprises

Une très petite entreprise n'a pas besoin de reproduire la structure d'une grande société. Elle a cependant besoin d'un responsable identifiable si elle traite des renseignements personnels. Le nombre d'employés n'efface pas l'obligation de l'article 3.1.

La solution légère peut tenir en quelques documents bien entretenus : une décision de nomination, une adresse courriel professionnelle, une politique claire, un registre simple et une procédure d'incident. Le propriétaire peut assumer la fonction, avec une demi-journée par mois réservée à la revue des demandes et des changements.

Si la direction manque de temps ou d'expertise, un mandataire externe quelques heures par trimestre peut suffire pour commencer. L'important est de définir le mandat et de garder les décisions dans l'entreprise. Un outil d'observabilité peut ensuite signaler les changements visibles sans remplacer cette responsabilité.

Outils pour suivre votre conformité

Le scanner gratuit de Veridy.ca analyse les signaux publics de votre site et produit un score A+ à F. Utilisez-le avant la nomination, après la publication et lors de votre revue annuelle. Les modules automatisés peuvent vous aider à suivre les liens, la politique, les formulaires et certains traceurs.

Pour l'interne, le registre des traitements demeure votre référence. Reliez chaque traitement à un propriétaire, à une finalité et à un fournisseur. Une cartographie technique claire aide le RPRP à répondre aux questions sans repartir de zéro.

Enfin, utilisez votre registre public comme exercice de transparence, puis consultez la solution Veridy si vous avez besoin d'un suivi plus structuré. Vous pouvez aussi comparer les options dans la page tarifs. Ces outils soutiennent le travail du RPRP; ils ne le remplacent pas.

FAQ : RPRP et Loi 25

Qu'est-ce qu'un RPRP selon la Loi 25?

C'est la personne désignée pour exercer la responsabilité de la protection des renseignements personnels dans l'organisation. L'article 3.1 encadre sa désignation et la publication de ses coordonnées.

Toute entreprise doit-elle nommer un RPRP?

Une entreprise qui recueille, utilise ou détient des renseignements personnels au Québec doit analyser ses obligations. Pour une entreprise assujettie, la désignation prévue à l'article 3.1 s'applique sans seuil général fondé uniquement sur le nombre d'employés.

Le RPRP peut-il être le PDG?

Oui. Le PDG doit alors disposer du temps, de l'information et de l'autorité nécessaires. Si la fonction est seulement nominale, ajoutez un responsable opérationnel ou choisissez un autre profil.

Le RPRP doit-il être un employé?

Non. Un mandataire externe peut exercer le rôle. Le mandat doit préciser les responsabilités, les accès, la confidentialité et la relève.

Que risque une entreprise sans RPRP?

Elle s'expose à une gouvernance défaillante, à des plaintes plus difficiles à traiter et à l'intervention de la CAI. Les sanctions administratives pécuniaires sont prévues notamment à l'article 90.12.

Doit-on publier le nom du RPRP?

L'article 3.1 exige la publication des coordonnées du responsable. Publier le nom, la fonction et une adresse professionnelle rend l'information plus claire, sans exposer de données personnelles inutiles.

Le RPRP doit-il recevoir une formation?

Une formation pratique est fortement recommandée. Elle devrait couvrir la politique de l'article 35.18, le registre, les demandes, les fournisseurs et les incidents visés aux articles 3.5 à 3.8.

Le RPRP peut-il être un avocat externe?

Oui, si le mandat est clair. L'entreprise doit conserver l'autorité décisionnelle et fournir l'accès aux informations nécessaires.

Que faire si le RPRP quitte l'entreprise?

Nommez rapidement une relève, documentez la transition et remplacez toutes les coordonnées publiées. Vérifiez aussi les signatures, la politique, le footer et les pages de contact.

Le RPRP doit-il apparaître sur la politique de confidentialité?

Oui, c'est le meilleur emplacement pour rendre la fonction visible et cohérente avec l'article 35.18. Ajoutez un chemin de contact accessible et testez-le régulièrement.

Ce contenu est fourni à des fins d'information générale et ne constitue pas un avis juridique. Pour une situation particulière, consultez un professionnel qualifié.