Guide complet Loi 25 pour PME québécoises (2026)

Pourquoi ce guide existe

La très grande majorité des quelque 200 000 PME québécoises ne sont aujourd'hui pas en conformité avec la Loi 25. Ce n'est pas par mauvaise volonté — c'est par méconnaissance. La loi est dense, les articles s'enchaînent, les sanctions font peur, et la plupart des propriétaires de PME n'ont ni le temps ni les ressources pour consulter un cabinet juridique à 5 000 $ l'audit ponctuel.

Veridy.ca est né précisément pour combler ce fossé. Notre scanner gratuit analyse en 60 secondes la transparence Loi 25 d'un site web et retourne un score A+ à F basé sur 19 critères techniques et juridiques. Le présent guide complète le scan en expliquant, dans un langage accessible aux non-juristes, ce que dit la loi, ce qu'elle exige concrètement, et comment s'y conformer sans exploser son budget.

Si vous ne deviez retenir qu'une chose : la Loi 25 n'est pas un projet optionnel. C'est une obligation légale en vigueur, avec des sanctions pouvant atteindre 25 millions de dollars ou 4 % de votre chiffre d'affaires mondial. Le moment de se conformer, c'est maintenant.

Qu'est-ce que la Loi 25 exactement ?

La Loi 25 est le nom courant de la loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Elle a été sanctionnée le 22 septembre 2021 par l'Assemblée nationale du Québec, à la suite du dépôt du projet de loi 64. Sa mise en application a été étalée sur trois ans : les premières obligations sont entrées en vigueur en 2022 et 2023, et les sanctions administratives pécuniaires (SAP) sont en vigueur depuis le 22 septembre 2024.

Concrètement, la Loi 25 modifie la Loi sur l'accès à l'information et la protection des renseignements personnels (L.R.Q., chapitre A-2.1) — souvent appelée « Loi sur l'accès » — pour y intégrer des obligations inspirées du Règlement général sur la protection des données (RGPD) de l'Union européenne. Si vous avez déjà entendu parler du RGPD, vous retrouverez plusieurs concepts similaires : consentement explicite, droit à l'effacement, registre des traitements, analyse d'impact, notification des incidents.

Une loi québécoise, pas canadienne

La Loi 25 s'applique spécifiquement au Québec, pas au reste du Canada. Les entreprises des autres provinces sont régies par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) au palier fédéral. Si votre entreprise opère à la fois au Québec et dans une autre province, vous devez composer avec les deux cadres. La Loi 25 est généralement plus exigeante que la LPRPDE.

Loi 25 vs RGPD : les différences importantes

Le RGPD et la Loi 25 partagent une philosophie commune — protéger la vie privée des citoyens — mais leurs mécanismes divergent. Le RGPD s'applique à toute entreprise traitant des données de résidents européens, peu importe sa localisation; la Loi 25 s'applique aux entreprises qui collectent des données personnelles au Québec, peu importe la nationalité des personnes concernées. Les autorités de contrôle diffèrent : la Commission d'accès à l'information (CAI) au Québec, la CNIL en France, et les autorités nationales de chaque État membre en Europe. Les seuils de sanctions différent également : jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial pour la Loi 25 (article 90.12), jusqu'à 20 M€ ou 4 % du CA pour le RGPD.

Êtes-vous visé par la Loi 25 ?

Toute entreprise qui recueille, utilise, conserve ou communique des renseignements personnels au Québec est visée par la Loi 25. Il n'y a pas de seuil minimal d'effectif, de chiffre d'affaires ou de nombre de clients. Les critères sont simples : faites-vous une de ces choses ?

• Vous avez un site web avec un formulaire de contact, de candidature ou de commande.
• Vous utilisez des cookies analytiques (Google Analytics, Matomo, Plausible, etc.).
• Vous envoyez des infolettres par courriel et conservez des adresses courriel.
• Vous avez un système de paie qui contient des NAS, des adresses et des comptes bancaires.
• Vous avez une base de données clients avec noms, adresses, historique d'achats.
• Vous avez un système de clavardage (chatbot) ou un widget de prise de rendez-vous en ligne.
• Vous partagez des données avec des fournisseurs tiers : CRM, comptabilité infonuagique, marketing automation.

Si vous avez répondu « oui » à au moins un de ces critères, vous êtes visé. Seules les entreprises qui n'ont aucune interaction numérique avec des personnes physiques au Québec peuvent se considérer hors du champ d'application — c'est un cas très rare en 2026.

Les exemptions sont limitées

Quelques exemptions partielles existent, principalement pour les entreprises qui collectent des renseignements personnels uniquement à des fins de journalisme, de recherche, de sécurité publique ou d'application de la loi. Pour une PME commerciale typique, ces exemptions ne s'appliquent pas. Notez aussi que la Loi 25 s'applique cumulativement aux autres lois de protection, dont la LPRPDE fédérale et le RGPD si vous avez une clientèle européenne — vous ne pouvez pas invoquer la conformité à une autre loi pour vous soustraire à la Loi 25.

Les six obligations principales de la Loi 25

La Loi 25 prévoit un ensemble d'obligations qui se renforcent mutuellement. Les voici expliquées une par une, avec leur fondement légal.

1. Nommer un Responsable de la protection des renseignements personnels (RPRP)

L'article 3.1 de la Loi 25 exige que toute entreprise désigne un Responsable de la protection des renseignements personnels (RPRP). Cette personne supervise la conformité, reçoit les demandes d'accès et de rectification, et agit comme point de contact avec la CAI. Le nom et les coordonnées du RPRP doivent être publiés sur votre site web — généralement dans votre politique de confidentialité ou en pied de page.

Concrètement, pour une PME de moins de 25 employés, le RPRP est souvent le propriétaire-dirigeant lui-même, ou un administrateur. Pour les entreprises plus grandes ou multisites, il peut être un employé dédié ou un mandataire externe (avocat, consultant). Aucune qualification particulière n'est requise par la loi, mais le RPRP doit avoir une compréhension pratique des obligations.

2. Publier une politique de confidentialité conforme

L'article 35.18 exige que l'entreprise publie une politique de confidentialité accessible au public, rédigée en termes clairs et contenant au minimum : les coordonnées du RPRP, les catégories de renseignements personnels collectées, les fins de leur utilisation, les catégories de tiers à qui ils sont communiqués, les moyens de retirer un consentement, et les droits d'accès et de rectification. Cette politique doit être proportionnelle à la sensibilité des données traitées.

Une politique de confidentialité copiée-collée d'un modèle générique ne suffit pas : la CAI vérifie que les pratiques décrites correspondent aux pratiques réelles. Si votre politique dit « nous ne partageons pas vos données » alors que vous utilisez Google Analytics qui transfère des données aux États-Unis, vous êtes en non-conformité.

3. Tenir un registre de traitement

L'article 35.2 exige que l'entreprise tienne un registre de ses activités de traitement de renseignements personnels. Ce registre est un document interne (non public) qui décrit, pour chaque traitement : la nature des renseignements, les fins de la collecte, les catégories de personnes concernées, les catégories de destinataires, les durées de conservation, et les mesures de sécurité appliquées.

Pour une PME typique, ce registre compte entre 10 et 50 entrées : site web (formulaires, cookies analytiques), paie, comptabilité infonuagique, infolettres, CRM, système de rendez-vous, etc. Le registre doit être maintenu à jour et pouvoir être transmis à la CAI sur demande.

4. Obtenir un consentement libre, éclairé et spécifique

L'article 8.1 exige que le consentement à la collecte de renseignements personnels soit libre (sans conditionnement d'un service), éclairé (information claire sur l'usage), et spécifique (par finalité distincte). Un consentement global « j'accepte toutes les pratiques de l'entreprise » ne satisfait pas à cette exigence.

Concrètement, cela signifie : cases à cocher non pré-cochées, possibilité de refuser sans perdre l'accès au service principal, granularité du consentement (par exemple, accepter les infolettres sans accepter les cookies analytiques), et traçabilité de la preuve de consentement (date, version de la politique acceptée, IP).

5. Déclarer les incidents de confidentialité

Les articles 3.5 à 3.8 exigent que tout incident de confidentialité présentant un risque de préjudice sérieux soit déclaré à la CAI et aux personnes concernées dans les meilleurs délais. L'article 12.1 demande que chaque incident fasse l'objet d'une évaluation de sa gravité (échelle de risque). Un incident non déclaré peut transformer une situation gérable en sanction majeure.

Concrètement, si vous découvrez qu'une base de données clients a été compromise, vous avez 72 heures pour notifier la CAI et informer nominativement les personnes touchées. Plus vite vous avez la cartographie technique de vos systèmes (qui a accès à quoi, où sont les données), plus vite vous pouvez répondre.

6. Réaliser des évaluations d'impact (EFVP)

L'article 18.1 exige qu'une évaluation des facteurs relatifs à la vie privée (EFVP) soit réalisée avant tout nouveau projet ou traitement susceptible de présenter un risque élevé pour les droits des personnes. Cela inclut l'introduction d'un nouveau système de reconnaissance faciale, d'un outil d'IA générative qui traite des données clients, ou d'un partenariat commercial qui implique un transfert massif de données.

L'EFVP est un document écrit qui décrit le projet, identifie les risques, propose des mesures d'atténuation et documente la décision finale. Pour une PME typique, l'EFVP est nécessaire une à trois fois par an, principalement lors de l'adoption de nouveaux outils technologiques.

Les sanctions prévues par la Loi 25

L'article 90.12 de la Loi 25 prévoit des sanctions administratives pécuniaires (SAP) pouvant atteindre le plus élevé des deux montants suivants : 25 millions de dollars OU 4 % du chiffre d'affaires mondial annuel. Le montant le plus élevé est retenu. À cela s'ajoutent des amendes pénales distinctes pour les manquements les plus graves, pouvant atteindre 500 000 $ pour une personne physique et 2 millions de dollars pour une personne morale.

La CAI a publié en juillet 2026 son premier bilan des sanctions depuis l'entrée en vigueur des SAP. Les manquements les plus sanctionnés sont, dans l'ordre : absence de RPRP désigné, politique de confidentialité absente ou non conforme, registre de traitement non tenu, incidents non déclarés dans les délais, et transferts hors Québec sans garanties appropriées.

Comment lire un score Veridy.ca

Le scanner Veridy.ca évalue 19 critères organisés en six catégories : transparence, cookies et traceurs, sécurité technique, scripts tiers, formulaires, et conformité Loi 25. Chaque critère reçoit un score, et l'agrégation pondérée produit une note finale de A+ (excellent) à F (échec critique). Le score n'est pas une certification juridique, mais il reflète l'état observable de votre site public — qui est la première chose qu'un inspecteur de la CAI, un client vigilant ou un concurrent cherchera à vérifier.

Comment se mettre en conformité — pas à pas

Voici une feuille de route réaliste pour une PME québécoise qui part de zéro. Le temps indiqué est approximatif et suppose un travail dédié.

1. Étape 1 — Lancer le scan gratuit (5 minutes). Rendez-vous sur veridy.ca et entrez l'URL de votre site. Vous obtenez immédiatement votre score A+ à F et la liste des 19 critères évalués.
2. Étape 2 — Nommer le RPRP (1 heure). Désignez formellement le RPRP dans une résolution du conseil d'administration ou une décision écrite. Publiez son nom et son courriel sur votre site.
3. Étape 3 — Rédiger la politique de confidentialité (1 journée). Utilisez un générateur spécialisé ou faites appel à un avocat. La politique doit couvrir les 6 éléments de l'article 35.18.
4. Étape 4 — Configurer le consentement (1 journée). Installez une bannière de cookies conforme (granularité par finalité), vérifiez que vos formulaires ont des cases à cocher non pré-cochées, et configurez votre CRM pour tracer la preuve de consentement.
5. Étape 5 — Constituer le registre de traitement (2-3 jours). Listez tous les outils numériques qui traitent des données : site web, CRM, paie, infolettres, outils de prise de rendez-vous, etc. Documentez pour chacun : nature des données, finalité, destinataires tiers, durée de conservation.
6. Étape 6 — Sécuriser les transferts hors Québec (1-2 jours). Identifiez les fournisseurs cloud ou SaaS dont les serveurs sont hors du Canada. Documentez les garanties contractuelles (clauses contractuelles types, certifications).
7. Étape 7 — Mettre en place la procédure d'incident (1 jour). Écrivez un protocole interne : qui détecte l'incident, comment évaluer la gravité, qui notifie la CAI, sous quel délai. Stockez les modèles de notification prêts à l'emploi.

Veridy.ca vs cabinet juridique vs Privacy Horizon

Pour vous aider à choisir l'approche qui vous convient, voici un tableau comparatif honnête.

Ressources et prochaines étapes

Vous avez maintenant une vision claire de ce qu'exige la Loi 25. La prochaine étape concrète est de mesurer votre état actuel. Le scanner gratuit Veridy.ca analyse en 60 secondes votre site public et vous donne un score A+ à F basé sur 19 critères objectifs. Vous pouvez ensuite explorer la plateforme complète, consulter les tarifs pour vos besoins au-delà du scan, ou voir le registre public pour comparer votre transparence à celle de vos pairs.

Pour toute question juridique spécifique à votre situation, consultez un avocat spécialisé en protection des renseignements personnels. Le présent guide a une visée pédagogique et ne constitue pas un avis juridique.