La Ley 25 en claro: lo que realmente exige a una empresa

«Ley 25» es el nombre corriente de la ley quebequense adoptada en 2021 que reescribió las reglas de protección de la información personal. Para una empresa privada, esas reglas viven en la Loi sur la protection des renseignements personnels dans le secteur privé (ley de protección de la información personal en el sector privado; RLRQ, capítulo P-39.1). Esta página resume lo que el texto impone, artículo por artículo, con un enlace al texto oficial en cada punto. No es un dictamen jurídico: es el resumen que tuvimos que hacer para nosotros mismos, publicado tal cual.

Textos leídos en la versión oficial actualizada al 1 de abril de 2026.

Las obligaciones, artículo por artículo

Cada línea es un resumen de nuestra lectura, no una cita — el texto oficial está enlazado en cada punto, y es él el que da fe. Allí donde el artículo plantea una condición o una excepción que cambia el resultado, la conservamos en lugar de podarla: un resumen que aligera la regla es justo el atajo que se vuelve contra quien se fía de él.

1. art. 3.1

   Nombrar un responsable — y publicar sus datos de contacto

   La persona con la más alta autoridad en la empresa es de oficio responsable de la protección de la información personal. Puede delegar la función por escrito, total o parcialmente. El título y los datos de contacto del responsable deben publicarse.

   Fuente

2. art. 3.2

   Políticas de gobernanza — escritas, aprobadas, publicadas

   La empresa debe establecer y aplicar políticas y prácticas que encuadren su gobernanza de la información personal. Deben prever el encuadre de la conservación y de la destrucción, las funciones y responsabilidades del personal a lo largo de todo el ciclo de vida de la información, y un proceso de tramitación de reclamaciones. Deben ser proporcionadas a la naturaleza y a la importancia de las actividades y estar aprobadas por el responsable. Debe publicarse información detallada sobre ellas, en términos simples y claros, en el sitio web de la empresa, o hacerse accesible por otro medio si esta no dispone de sitio web.

   Fuente

3. art. 8

   Decir, al recoger, por qué y cómo

   Cuando la información se recoge de la propia persona afectada, hay que informarla, en el momento de la recogida y después a petición suya, de las finalidades perseguidas, de los medios de recogida, de sus derechos de acceso y rectificación y de su derecho a retirar el consentimiento. En su caso, hay que indicarle además el nombre del tercero por cuenta del cual se realiza la recogida, los terceros o categorías de terceros a los que deberá comunicarse la información, y la posibilidad de que la información se comunique fuera de Quebec. A petición suya se añaden la información recogida, las categorías de personas que tienen acceso a ella dentro de la empresa, el plazo de conservación y los datos de contacto del responsable. Todo ello en términos simples y claros, sea cual sea el medio de recogida.

   Fuente

4. art. 14

   Un consentimiento válido: manifiesto, libre, informado y pedido finalidad por finalidad

   El consentimiento debe ser manifiesto, libre e informado, y darse para finalidades específicas. Se pide para cada una de esas finalidades, en términos simples y claros y, cuando se pide por escrito, se presenta de forma separada de cualquier otra información. Solo vale durante el tiempo necesario para realizar las finalidades para las que se pidió. Para un menor de 14 años lo da el titular de la patria potestad o el tutor. Un consentimiento que no se ajuste a estas reglas carece de efecto.

   Fuente

5. art. 9.1

   Confidencialidad por defecto, sin que el usuario tenga que actuar

   Quien recoge información personal ofreciendo al público un producto o un servicio tecnológico dotado de parámetros de confidencialidad debe asegurarse de que, por defecto, esos parámetros garanticen el más alto nivel de confidencialidad, sin intervención alguna de la persona afectada. Los parámetros de confidencialidad de una cookie no están incluidos.

   Fuente

6. art. 8.2

   Una política de confidencialidad publicada — y un aviso en cada modificación

   Quien recoge información personal por un medio tecnológico debe publicar en el sitio web de la empresa, en su caso, y difundir por cualquier medio idóneo para alcanzar a las personas afectadas, una política de confidencialidad redactada en términos simples y claros. La misma difusión se exige para el aviso del que debe ser objeto toda modificación de esa política.

   Fuente

7. art. 10

   Medidas de seguridad proporcionadas

   Las medidas deben ser razonables atendiendo a la sensibilidad de la información, a la finalidad de su uso, a su cantidad, a su distribución y a su soporte. Este artículo es anterior a la Ley 25 y no fue modificado por ella — ya se aplicaba.

   Fuente

8. art. 12.1

   Decisión totalmente automatizada: decirlo

   Cuando una decisión se basa exclusivamente en un tratamiento automatizado, hay que informar a la persona a más tardar en el momento en que se le comunica la decisión. A petición suya, hay que indicarle además la información utilizada, las razones y los principales factores y parámetros que llevaron a la decisión, y su derecho a rectificarla. Y hay que darle la oportunidad de presentar sus observaciones a un miembro del personal capaz de revisar la decisión. Es el artículo que todo proyecto de IA debería leer primero.

   Fuente

9. art. 12

   Utilizar un dato para otra finalidad: la lista es cerrada

   La información solo puede utilizarse dentro de la empresa para las finalidades para las que se recogió, salvo consentimiento — expreso si se trata de información sensible. Solo cinco excepciones permiten otro uso sin consentimiento: una finalidad compatible, el beneficio manifiesto de la persona, la prevención y detección del fraude o la evaluación y mejora de las medidas de seguridad, el suministro de un producto o servicio solicitado, y el estudio, la investigación o la elaboración de estadísticas sobre información despersonalizada. Una finalidad solo es «compatible» si existe un vínculo pertinente y directo con la finalidad de la recogida, y la prospección comercial o filantrópica nunca lo es. La información despersonalizada sigue siendo información personal, y quien la utiliza debe adoptar las medidas razonables para limitar los riesgos de reidentificación.

   Fuente

10. art. 3.3

    Una EFVP para todo proyecto de sistema de información

    Se exige una evaluación de los factores relativos a la vida privada para todo proyecto de adquisición, desarrollo o rediseño de un sistema de información o de prestación electrónica de servicios que implique la recogida, el uso, la comunicación, la conservación o la destrucción de información personal. El responsable debe ser consultado desde el inicio del proyecto. El proyecto debe además permitir que un dato personal informatizado recogido de la propia persona afectada pueda comunicársele en un formato tecnológico estructurado y de uso corriente. La amplitud de la evaluación debe ser proporcionada a la sensibilidad de la información, a la finalidad de su uso, a su cantidad, a su distribución y a su soporte.

    Fuente

11. art. 17

    Una EFVP antes de toda comunicación fuera de Quebec

    Antes de comunicar información personal fuera de Quebec hay que realizar una evaluación de los factores relativos a la vida privada que tenga en cuenta, en particular, la sensibilidad de la información, la finalidad de su uso, las medidas de protección — incluidas las contractuales — de que gozaría, y el régimen jurídico del Estado destinatario. La ley no prohíbe la salida, la condiciona: la comunicación solo puede efectuarse si la evaluación demuestra una protección adecuada, y debe ser objeto de un acuerdo escrito que tenga en cuenta los resultados de la evaluación y las medidas de mitigación acordadas. Lo MISMO ocurre cuando se confía a una persona o a un organismo situado fuera de Quebec la tarea de recoger, utilizar, comunicar o conservar tal información por cuenta de usted — el alojamiento y la externalización están, por tanto, incluidos, aun sin «comunicación» en el sentido corriente. Única excepción: la comunicación realizada en una situación de urgencia que ponga en peligro la vida, la salud o la seguridad de la persona afectada (art. 18, párr. 1, inc. 7.º).

    Fuente

12. art. 18.3

    Subcontratación: un contrato escrito y medidas nombradas

    La información puede comunicarse a un mandatario o a un prestador sin el consentimiento de la persona afectada si es necesario para el ejercicio del mandato o la ejecución del contrato de servicios o de obra. Dos condiciones: el mandato o el contrato debe conferirse POR ESCRITO, y debe indicar las medidas que el prestador debe adoptar para proteger la confidencialidad de la información, para que solo se utilice en la ejecución del contrato y para que no la conserve una vez expirado. El prestador, por su parte, debe avisar sin demora al responsable de toda violación o intento de violación de esas obligaciones y permitirle efectuar cualquier verificación relativa a la confidencialidad. Esta exigencia de contenido —la del segundo párrafo, que enumera las medidas que deben indicarse— no se aplica cuando el mandatario es un organismo público o un miembro de un colegio profesional. La obligación de conferir el mandato POR ESCRITO, en cambio, permanece.

    Fuente

13. art. 3.5 à 3.8

    Incidentes de confidencialidad: actuar, avisar, registrar

    En cuanto una empresa tiene MOTIVOS RAZONABLES PARA CREER que se ha producido un incidente de confidencialidad, debe adoptar las medidas razonables para reducir el riesgo de que se cause un perjuicio y para evitar que se produzcan nuevos incidentes de la misma naturaleza. Para evaluar el riesgo debe considerar la sensibilidad de la información, las consecuencias previsibles de su uso y la probabilidad de que se utilice con fines perjudiciales, y debe consultar a su responsable de la protección de la información personal. Si el incidente presenta un riesgo de perjuicio SERIO, debe avisar con diligencia a la Commission d'accès à l'information, y debe asimismo avisar a cada persona afectada. Atención al alcance del aplazamiento: el artículo suspende ÚNICAMENTE el aviso a las personas afectadas, «mientras ello pudiera entorpecer una investigación» realizada por un organismo encargado de prevenir, detectar o reprimir el delito. El aviso a la Comisión no se aplaza. Debe llevarse un registro de incidentes y remitirse a la Comisión cuando lo solicite; el contenido de los avisos y del registro está prescrito por el Règlement sur les incidents de confidentialité (reglamento sobre los incidentes de confidencialidad), y el registro se conserva cinco años.

    Fuente

14. art. 23

    Destruir o anonimizar cuando ha terminado

    Cumplidas las finalidades para las que la información se recogió o se utilizó, debe destruirse o anonimizarse para poder utilizarse con fines serios y legítimos, sin perjuicio de un plazo de conservación previsto por una ley. El umbral es exigente: la información solo está anonimizada si, EN TODO MOMENTO, es razonable prever en las circunstancias que ya no permite, de forma irreversible, identificar DIRECTA O INDIRECTAMENTE a la persona — y la anonimización debe seguir las mejores prácticas generalmente reconocidas, así como los criterios y modalidades del Règlement sur l'anonymisation des renseignements personnels (reglamento sobre la anonimización de la información personal): análisis de reidentificación, supervisión por una persona cualificada, registro. No debe confundirse con la DESPERSONALIZACIÓN (art. 12), que solo descarta la identificación directa: un dato despersonalizado sigue siendo información personal sometida a la ley, y quien lo posee debe limitar el riesgo de que alguien sea reidentificado a partir de él. Intentar reidentificar a una persona a partir de información anonimizada es una infracción (art. 91, inc. 5.º).

    Fuente

15. art. 32

    Responder en 30 días — el silencio equivale a una negativa

    El responsable debe responder por escrito a la solicitud de acceso o de rectificación, con diligencia y a más tardar en los 30 días siguientes a su recepción; de no responder en ese plazo, se presume que ha rechazado atenderla. Dos artículos vecinos completan el mecanismo y no son lo que este dice: el artículo 30 exige que la solicitud se haga por escrito y obliga al responsable a prestar asistencia cuando no es suficientemente precisa; el artículo 33 hace gratuito el acceso, sin perjuicio de gastos razonables de transcripción, reproducción o transmisión cuyo importe aproximado debe anunciarse antes de proceder.

    Fuente

16. art. 27 et 28

    Acceso y rectificación

    A petición, la empresa debe confirmar la existencia de un dato y comunicarlo, permitiendo obtener copia. El artículo 27 va más allá del acceso: un dato informatizado recogido DEL solicitante — y no creado ni inferido a partir de un dato que le concierne — debe, a petición suya, comunicársele «en un formato tecnológico estructurado y de uso corriente», salvo dificultades prácticas serias. Es el derecho a la portabilidad, y es el inciso que atañe más directamente a un proveedor de herramientas. El artículo 28 añade la rectificación de un dato inexacto, incompleto o equívoco, o cuya recogida, comunicación o conservación no estén autorizadas por la ley.

    Fuente

17. Guide de la CAI

    Cómo documentar una EFVP

    La ley exige la evaluación pero no dicta su forma. La Commission d'accès à l'information publica una guía de acompañamiento del proceso y de su documentación — es la expectativa del regulador y el documento que seguimos.

    Fuente

Esta página es un resumen de lectura, no un dictamen jurídico, y no sustituye ni al texto oficial ni a su asesor. Cada punto remite a la fuente para que pueda verificar en lugar de creernos.

Lo que nos preguntan sobre la Ley 25

¿Qué es la Ley 25, en una frase?

Es la ley quebequense adoptada en 2021 (capítulo 25 de las leyes de ese año) que modernizó la protección de la información personal. No sustituyó el régimen existente: modificó leyes ya vigentes, entre ellas la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), que es el texto que debe leer una empresa privada.

¿Cuándo entró en vigor la Ley 25?

Por etapas, y el artículo 175 de la ley de 2021 las fija una a una. El responsable de la protección de la información personal y las obligaciones sobre incidentes de confidencialidad (art. 3.1 y 3.5 a 3.8) se aplican desde el 22 de septiembre de 2022. La mayoría de las demás — EFVP, comunicación fuera de Quebec, encuadre de los prestadores, conservación y destrucción, decisión automatizada — desde el 22 de septiembre de 2023. El derecho a la portabilidad llegó el 22 de septiembre de 2024.

Mi empresa es pequeña. ¿De verdad me afecta?

Sí. El artículo 1 no fija ningún umbral: ni número de empleados, ni facturación — el tamaño nunca es un criterio. En cuanto una persona recoge, conserva, utiliza o comunica a terceros información personal sobre otras personas con ocasión de la explotación de una empresa, queda alcanzada. Lo que varía con el tamaño es la proporcionalidad de las medidas esperadas — no la aplicación de la ley.

¿Obliga la Ley 25 a alojar los datos en Quebec?

No, y es el malentendido más extendido — pero «no» no significa «sin condiciones». El artículo 17 no prohíbe la comunicación fuera de Quebec: exige que la evalúe antes, atendiendo en particular a la sensibilidad de la información, a la finalidad, a las medidas de protección contractuales y al régimen jurídico del Estado destinatario. La comunicación solo puede efectuarse después si la evaluación demuestra una protección adecuada, y debe ser objeto de un acuerdo escrito. Y el artículo no se limita al envío de datos: su párrafo tercero contempla expresamente el hecho de confiar a una persona o a un organismo situado fuera de Quebec la tarea de recoger, utilizar, comunicar o conservar información por cuenta de usted — es decir, el alojamiento mismo, y no solo una transferencia. Algunos sectores añaden además una verdadera exigencia de localización: es el caso de la distribución de productos y servicios financieros, incluidos los seguros, donde el art. 88 de la Loi sur la distribution de produits et services financiers (ley sobre la distribución de productos y servicios financieros) exige que un despacho conserve en Quebec los expedientes de sus clientes.

¿Hace falta una EFVP para adoptar una herramienta de IA?

El artículo 3.3 exige una evaluación de los factores relativos a la vida privada para todo proyecto de adquisición, desarrollo o rediseño de un sistema de información que implique información personal. Una plataforma de IA que sus equipos alimentan con sus documentos encaja en esa descripción. Y si las consultas salen de Quebec, el artículo 17 impone una segunda evaluación sobre ese punto concreto.

¿Cuáles son las sanciones?

Tres regímenes. La sanción administrativa pecuniaria, impuesta por una persona designada por la Commission d'accès à l'information, tiene un tope de 10 000 000 $ o el 2 % de la facturación mundial del ejercicio anterior, el más alto de los dos (art. 90.12). El proceso penal expone a una multa de 15 000 $ a 25 000 000 $ o al 4 % de esa misma facturación, el más alto de los dos (art. 91). Para una persona física, los importes son 50 000 $ y de 5 000 $ a 100 000 $ respectivamente. Existe por último un tercer régimen, que no pasa por la Comisión: una vulneración ilícita e intencionada, o resultante de una falta grave, da lugar a daños e intereses punitivos de al menos 1 000 $ (art. 93.1).

¿Y si una IA toma una decisión sobre alguien?

El artículo 12.1 se aplica en cuanto la decisión se basa exclusivamente en un tratamiento automatizado. Hay que informar a la persona a más tardar en el momento de la decisión, facilitarle si lo pide la información utilizada, las razones y los principales factores y parámetros, junto con su derecho de rectificación — y darle la oportunidad de presentar sus observaciones a un miembro del personal capaz de revisar la decisión. Si un humano decide realmente, el artículo no se aplica. La ley no define «exclusivamente»: nuestra lectura — y la que suelen adoptar las autoridades de protección — es que una intervención humana puramente formal, sin capacidad real de alterar el resultado, no convierte una decisión automatizada en una decisión humana. Es una interpretación, no el texto.