Aller au contenu
NextITNextIT
Blog

La Loi 25 en 2026 : une liste de contrôle pratique pour les PME

Équipe Confidentialité NextIT4 min de lecture

En bref : les cinq obligations de la Loi 25 en un coup d’œil

Obligation Ce que ça signifie pour vous Dans NextIT
Responsable Désignez-en un et publiez son titre et ses coordonnées. Conformité
Registre des incidents Consignez chaque incident ; avisez la CAI en cas de risque de préjudice sérieux. Incidents
Évaluations EFVP Évaluez le risque avant un nouveau système ou un transfert hors du Québec. Confidentialité
Politiques de gouvernance Publiez des règles claires sur la façon dont vous traitez les renseignements personnels. Conformité
Accès et portabilité Répondez aux demandes des personnes dans un délai de 30 jours. Demandes

La plupart des PME du Québec savent que la Loi 25 existe. Moins nombreuses sont celles qui savent ce qu’elle exige un mardi ordinaire : qui répond à une question de confidentialité, où l’on consigne un incident et ce qu’un inspecteur demandera à voir.

Cette liste transforme la loi en cinq tâches. Chacune a un responsable, une preuve et un endroit où la conserver. Faites-les dans l’ordre et vous serez prêt pour un audit bien avant qu’on vous en demande un.

Qu’est-ce que la Loi 25 ?

La Loi 25 est la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle s’applique à toute entreprise qui détient des renseignements personnels sur des personnes au Québec, quelle que soit sa taille. Ses règles sont entrées en vigueur en trois phases, entre 2022 et 2024.

  • Responsabilité : une personne désignée répond de la protection des renseignements personnels.
  • Transparence : vous publiez vos politiques et expliquez comment vous utilisez les données.
  • Gestion des incidents : vous consignez chaque incident et signalez les plus graves.
  • Droits des personnes : chacun peut consulter, corriger et emporter ses renseignements.

Les sanctions peuvent atteindre 25 millions $ ou 4 % du chiffre d’affaires mondial. Pour la plupart des PME, le plus grand risque est un contrat perdu : les grands clients exigent désormais une preuve de conformité avant de signer.

Une liste de contrôle Loi 25 en cinq étapes

1. Désignez votre responsable

Par défaut, c’est votre PDG. Vous pouvez déléguer ce rôle par écrit à une personne qui a le temps de s’en occuper. Publiez son titre et ses coordonnées sur votre site Web.

Contrôles Loi 2572 % complété
Responsable désignéFait
Registre des incidents de confidentialitéFait
Évaluation des facteurs pour les nouveaux systèmesEn cours
Politique de gouvernance publiéeÀ faire
Processus d’accès et de portabilitéEn cours
La vue Loi 25 suit chaque contrôle, son responsable et ses preuves. Données d’exemple.

2. Ouvrez un registre des incidents de confidentialité

Chaque incident va au registre, même un petit : un portable perdu, un courriel envoyé à la mauvaise personne, un partage de fichiers exposé. Lorsqu’un incident présente un risque de préjudice sérieux, vous avisez la Commission d’accès à l’information et les personnes concernées.

3. Évaluez le risque avant de partager des données

Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise avant de déployer un nouveau système qui traite des renseignements personnels, et avant que des données quittent le Québec. Notez le fournisseur, consignez la décision et conservez le résultat avec le contrat.

Notre avis franc : le registre et les évaluations sont là où la plupart des PME prennent du retard. Faciles à lancer et faciles à oublier : donnez à chacun un responsable et une date de révision.

4. Publiez vos politiques de gouvernance

Décrivez comment vous recueillez, conservez et détruisez les renseignements personnels, et qui peut les consulter. Employez un langage clair et publiez le tout là où les gens peuvent le trouver.

5. Préparez-vous aux demandes d’accès et de portabilité

Les personnes peuvent demander à consulter leurs renseignements, à les faire corriger ou à en obtenir une copie à emporter ailleurs. Vous avez 30 jours pour répondre : convenez des étapes avant que la première demande arrive.

Questions fréquentes

La Loi 25 s’applique-t-elle à une entreprise de 10 personnes ?

Oui. La loi s’applique à toute entreprise qui détient des renseignements personnels sur des personnes au Québec, sans taille minimale.

Qui peut être le responsable ?

Le PDG par défaut. Le PDG peut déléguer ce rôle par écrit à tout employé ou à un expert externe.

Combien de temps faut-il pour devenir conforme ?

De quelques semaines en autonomie à un déploiement entièrement accompagné, selon l’aide que vous souhaitez.

Rapport de posture gratuit

Votre PME est-elle exposée? Sachez-le en 5 minutes.

Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité.

Réserver une rencontre stratégique
  • Aucune carte requise
  • Hébergé au Canada

Équipe Confidentialité NextIT

Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME.

À propos de l’auteur

L’équipe Confidentialité NextIT aide les PME québécoises et canadiennes à respecter la Loi 25 et la LPRPDE sans service de conformité dédié, de la première liste de contrôle jusqu’à l’audit.

Plus d’articles de NextIT

Scannez votre entreprise.
Ou parlons stratégie.

Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe.

Aucune carte requise · Bilingue FR / EN · Hébergé au Canada