La Loi 25 en clair : ce qu'elle exige vraiment d'une entreprise

La « Loi 25 » est le nom courant de la loi québécoise adoptée en 2021 qui a réécrit les règles de protection des renseignements personnels. Pour une entreprise privée, ces règles vivent dans la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1). Cette page résume ce que le texte impose, article par article, avec un lien vers le texte officiel pour chaque point. Ce n'est pas un avis juridique : c'est le résumé que nous avons dû faire pour nous-mêmes, publié tel quel.

Textes lus dans la version officielle à jour au 1er avril 2026.

Les obligations, article par article

Chaque ligne est un résumé de notre lecture, pas une citation — le texte officiel est en lien à chaque point, et c'est lui qui fait foi. Là où l'article pose une condition ou une exception qui change le résultat, nous la gardons plutôt que de l'élaguer : un résumé qui allège la règle est exactement le raccourci qui se retourne contre celui qui s'y fie.

1. art. 3.1

   Nommer un responsable — et publier ses coordonnées

   La personne ayant la plus haute autorité dans l'entreprise est d'office responsable de la protection des renseignements personnels. Elle peut déléguer la fonction par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés.

   Source

2. art. 3.2

   Des politiques de gouvernance — écrites, approuvées, publiées

   L'entreprise doit établir et mettre en oeuvre des politiques et pratiques encadrant sa gouvernance des renseignements personnels. Elles doivent prévoir l'encadrement de la conservation et de la destruction, les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements, et un processus de traitement des plaintes. Elles doivent être proportionnées à la nature et à l'importance des activités et approuvées par le responsable. Des informations détaillées à leur sujet doivent être publiées, en termes simples et clairs, sur le site Internet de l'entreprise ou rendues accessibles autrement si elle n'a pas de site.

   Source

3. art. 8

   Dire, à la collecte, pourquoi et comment

   Lorsqu'un renseignement est recueilli auprès de la personne concernée, il faut, lors de la collecte et par la suite sur demande, l'informer des fins poursuivies, des moyens de collecte, de ses droits d'accès et de rectification et de son droit de retirer son consentement. Le cas échéant, il faut aussi lui indiquer le nom du tiers pour qui la collecte est faite, les tiers ou catégories de tiers à qui les renseignements devront être communiqués, et la possibilité que les renseignements soient communiqués à l'extérieur du Québec. Sur demande, s'ajoutent les renseignements recueillis, les catégories de personnes qui y ont accès dans l'entreprise, la durée de conservation et les coordonnées du responsable. Le tout en termes simples et clairs, quel que soit le moyen de collecte.

   Source

4. art. 14

   Un consentement valide : manifeste, libre, éclairé, et demandé fin par fin

   Un consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs, et, lorsqu'il est demandé par écrit, présenté distinctement de toute autre information. Il ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé. Pour un mineur de moins de 14 ans, il est donné par le titulaire de l'autorité parentale ou le tuteur. Un consentement non conforme est sans effet.

   Source

5. art. 9.1

   Confidentialité par défaut, sans que l'utilisateur ait à agir

   Qui recueille des renseignements personnels en offrant au public un produit ou un service technologique doté de paramètres de confidentialité doit s'assurer que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée. Les paramètres de confidentialité d'un témoin de connexion ne sont pas visés.

   Source

6. art. 8.2

   Une politique de confidentialité publiée — et un avis à chaque modification

   Qui recueille des renseignements personnels par un moyen technologique doit publier sur le site Internet de l'entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées, une politique de confidentialité rédigée en termes simples et clairs. La même diffusion est exigée pour l'avis dont toute modification à cette politique doit faire l'objet.

   Source

7. art. 10

   Des mesures de sécurité proportionnées

   Les mesures doivent être raisonnables compte tenu de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. Cet article est antérieur à la Loi 25 et n'a pas été modifié par elle — il s'appliquait déjà.

   Source

8. art. 12.1

   Décision entièrement automatisée : le dire

   Quand une décision est fondée exclusivement sur un traitement automatisé, il faut en informer la personne au plus tard au moment où on lui annonce la décision. Sur demande, il faut aussi lui indiquer les renseignements utilisés, les raisons ainsi que les principaux facteurs et paramètres ayant mené à la décision, et son droit de faire rectifier ces renseignements. Et il faut lui donner l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. C'est l'article que tout projet d'IA doit lire en premier.

   Source

9. art. 12

   Utiliser un renseignement à une autre fin : la liste est fermée

   Un renseignement ne peut être utilisé dans l'entreprise qu'aux fins pour lesquelles il a été recueilli, sauf consentement — exprès s'il s'agit d'un renseignement sensible. Cinq exceptions seulement permettent un autre usage sans consentement : fin compatible, bénéfice manifeste de la personne, prévention et détection de la fraude ou évaluation et amélioration des mesures de sécurité, fourniture d'un produit ou service demandé, et étude, recherche ou statistiques sur des renseignements dépersonnalisés. Une fin n'est « compatible » que s'il existe un lien pertinent et direct avec la fin de collecte, et la prospection commerciale ou philanthropique n'en est jamais une. Un renseignement dépersonnalisé demeure un renseignement personnel, et son utilisateur doit prendre les mesures raisonnables pour limiter les risques de réidentification.

   Source

10. art. 3.3

    Une EFVP pour tout projet de système d'information

    Une évaluation des facteurs relatifs à la vie privée est exigée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels. Le responsable doit être consulté dès le début du projet. Le projet doit en outre permettre qu'un renseignement personnel informatisé recueilli auprès de la personne concernée puisse lui être communiqué dans un format technologique structuré et couramment utilisé. L'ampleur de l'évaluation doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.

    Source

11. art. 17

    Une EFVP avant toute communication hors Québec

    Avant de communiquer un renseignement personnel à l'extérieur du Québec, il faut procéder à une évaluation des facteurs relatifs à la vie privée tenant compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection — y compris contractuelles — dont il bénéficierait, et du régime juridique de l'État destinataire. La loi n'interdit pas la sortie, elle la conditionne : la communication ne peut avoir lieu que si l'évaluation démontre une protection adéquate, et elle doit faire l'objet d'une entente écrite tenant compte des résultats de l'évaluation et des mesures d'atténuation convenues. Il en va de MÊME lorsqu'on confie à une personne ou à un organisme situé hors Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver un tel renseignement pour son compte — l'hébergement et l'infogérance sont donc visés, même sans « communication » au sens courant. Seule exception : la communication faite en situation d'urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée (art. 18, al. 1, par. 7°).

    Source

12. art. 18.3

    Sous-traitance : un contrat écrit, et des mesures nommées

    Un renseignement peut être communiqué à un mandataire ou à un prestataire sans le consentement de la personne concernée si c'est nécessaire à l'exercice du mandat ou à l'exécution du contrat de service ou d'entreprise. Deux conditions : le mandat ou le contrat doit être confié PAR ÉCRIT, et il doit indiquer les mesures que le prestataire doit prendre pour protéger la confidentialité du renseignement, pour qu'il ne soit utilisé que dans l'exécution du contrat, et pour qu'il ne le conserve pas après l'expiration. Le prestataire, de son côté, doit aviser sans délai le responsable de toute violation ou tentative de violation de ces obligations et lui permettre d'effectuer toute vérification relative à la confidentialité. Cette exigence de contenu — celle du deuxième paragraphe, qui énumère les mesures à indiquer — ne s'applique pas lorsque le mandataire est un organisme public ou un membre d'un ordre professionnel. L'obligation de confier le mandat PAR ÉCRIT, elle, demeure.

    Source

13. art. 3.5 à 3.8

    Incidents de confidentialité : agir, aviser, consigner

    Dès qu'une entreprise a des MOTIFS DE CROIRE qu'un incident de confidentialité s'est produit, elle doit prendre les mesures raisonnables pour diminuer les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent. Pour évaluer le risque, elle doit considérer la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables, et consulter son responsable de la protection des renseignements personnels. Si l'incident présente un risque qu'un préjudice SÉRIEUX soit causé, elle doit aviser avec diligence la Commission d'accès à l'information, et elle doit également aviser chaque personne concernée. Attention à la portée du report : l'article ne suspend QUE l'avis aux personnes concernées, « tant que cela serait susceptible d'entraver une enquête » menée par un organisme chargé de prévenir, détecter ou réprimer le crime. L'avis à la Commission, lui, ne se reporte pas. Un registre des incidents doit être tenu et transmis à la Commission sur demande ; le contenu des avis et du registre est prescrit par le Règlement sur les incidents de confidentialité, et le registre se conserve cinq ans.

    Source

14. art. 23

    Détruire ou anonymiser quand c'est fini

    Lorsque les fins auxquelles un renseignement a été recueilli ou utilisé sont accomplies, il doit être détruit ou anonymisé pour être utilisé à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi. Le seuil est exigeant : un renseignement n'est anonymisé que s'il est, EN TOUT TEMPS, raisonnable de prévoir dans les circonstances qu'il ne permet plus, de façon irréversible, d'identifier DIRECTEMENT OU INDIRECTEMENT la personne — et l'anonymisation doit suivre les meilleures pratiques généralement reconnues ainsi que les critères et modalités du Règlement sur l'anonymisation des renseignements personnels (analyse de réidentification, supervision par une personne qualifiée, registre). À ne pas confondre avec la DÉPERSONNALISATION (art. 12), qui n'écarte que l'identification directe : un renseignement dépersonnalisé reste un renseignement personnel soumis à la loi, et son détenteur doit limiter le risque qu'on réidentifie quelqu'un à partir de lui. Tenter de réidentifier une personne à partir de renseignements anonymisés est une infraction (art. 91, par. 5°).

    Source

15. art. 32

    Répondre en 30 jours — le silence vaut refus

    Le responsable doit répondre par écrit à la demande d'accès ou de rectification, avec diligence et au plus tard dans les 30 jours de sa réception ; à défaut de répondre dans ce délai, il est réputé avoir refusé d'y acquiescer. Deux articles voisins complètent la mécanique et ne se lisent pas ici : l'article 30 exige que la demande soit faite par écrit et oblige le responsable à prêter assistance lorsqu'elle n'est pas suffisamment précise ; l'article 33 rend l'accès gratuit, sous réserve de frais raisonnables de transcription, de reproduction ou de transmission dont le montant approximatif doit être annoncé avant d'y procéder.

    Source

16. art. 27 et 28

    Accès et rectification

    Sur demande, l'entreprise doit confirmer l'existence d'un renseignement et en donner communication, avec copie. L'article 27 va plus loin que l'accès : un renseignement informatisé recueilli AUPRÈS du requérant — et non créé ni inféré à partir d'un renseignement le concernant — doit, à sa demande, lui être communiqué « dans un format technologique structuré et couramment utilisé », à moins de difficultés pratiques sérieuses. C'est le droit à la portabilité, et c'est le membre de phrase qui vise le plus directement un fournisseur d'outil. L'article 28 ajoute la rectification d'un renseignement inexact, incomplet ou équivoque, ou dont la collecte, la communication ou la conservation ne sont pas autorisées par la loi.

    Source

17. Guide de la CAI

    Comment documenter une EFVP

    La loi exige l'évaluation mais ne dicte pas sa forme. La Commission d'accès à l'information publie un guide d'accompagnement à la démarche et à sa documentation — c'est l'attente du régulateur, et le document que nous suivons.

    Source

Cette page est un résumé de lecture, pas un avis juridique, et elle ne remplace pas le texte officiel ni votre conseiller. Chaque point renvoie à la source pour que vous puissiez vérifier plutôt que nous croire.

Les questions qu'on nous pose sur la Loi 25

C'est quoi la Loi 25, en une phrase ?

C'est la loi québécoise adoptée en 2021 (chapitre 25 des lois de cette année-là) qui a modernisé la protection des renseignements personnels. Elle n'a pas remplacé le régime existant : elle a modifié des lois en place, dont la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), qui est le texte à lire pour une entreprise privée.

Quand la Loi 25 est-elle entrée en vigueur ?

Par étapes, et l'article 175 de la loi de 2021 les fixe une à une. Le responsable de la protection des renseignements personnels et les obligations sur les incidents de confidentialité (art. 3.1 et 3.5 à 3.8) s'appliquent depuis le 22 septembre 2022. La majorité des autres — EFVP, communication hors Québec, encadrement des prestataires, conservation et destruction, décision automatisée — depuis le 22 septembre 2023. Le droit à la portabilité est arrivé le 22 septembre 2024.

Mon entreprise est petite. Suis-je vraiment visé ?

Oui. L'article 1 ne fixe aucun seuil : ni nombre d'employés, ni chiffre d'affaires — la taille n'est jamais un critère. Dès qu'une personne recueille, détient, utilise ou communique à des tiers des renseignements personnels sur autrui à l'occasion de l'exploitation d'une entreprise, elle est visée. Ce qui varie avec la taille, c'est la proportionnalité des mesures attendues — pas l'application de la loi.

Est-ce que la Loi 25 oblige à héberger les données au Québec ?

Non, et c'est le malentendu le plus répandu — mais « non » ne veut pas dire « sans condition ». L'article 17 n'interdit pas la communication hors Québec : il exige que vous l'évaluiez avant, en tenant compte notamment de la sensibilité du renseignement, de la finalité, des mesures de protection contractuelles et du régime juridique de l'État destinataire. La communication ne peut ensuite avoir lieu que si l'évaluation démontre une protection adéquate, et elle doit faire l'objet d'une entente écrite. Et l'article ne se limite pas à l'envoi de données : son troisième alinéa vise expressément le fait de confier à une personne ou à un organisme situé hors du Québec la tâche de recueillir, d'utiliser, de communiquer ou de conserver un renseignement pour votre compte — donc l'hébergement lui-même, et non seulement un transfert. Certains secteurs ajoutent par ailleurs une vraie exigence de localisation : c'est le cas de la distribution de produits et services financiers, dont l'assurance, où l'article 88 de la LDPSF exige qu'un cabinet tienne au Québec les dossiers de ses clients.

Faut-il une EFVP pour adopter un outil d'IA ?

L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information touchant des renseignements personnels. Une plateforme d'IA que vos équipes alimentent avec vos documents entre dans cette description. Et si les requêtes sortent du Québec, l'article 17 en impose une seconde, sur ce point précis.

Quelles sont les sanctions ?

Trois régimes. La sanction administrative pécuniaire, imposée par une personne désignée par la Commission d'accès à l'information, plafonne à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, le plus élevé des deux (art. 90.12). La poursuite pénale expose à une amende de 15 000 $ à 25 000 000 $ ou 4 % de ce même chiffre d'affaires, le plus élevé des deux (art. 91). Pour une personne physique, les montants sont respectivement 50 000 $ et 5 000 $ à 100 000 $. Un troisième régime existe enfin, qui ne passe pas par la Commission : une atteinte illicite et intentionnelle, ou résultant d'une faute lourde, donne ouverture à des dommages-intérêts punitifs d'au moins 1 000 $ (art. 93.1).

Et si une IA prend une décision à propos de quelqu'un ?

L'article 12.1 s'applique dès que la décision est fondée exclusivement sur un traitement automatisé. Il faut en informer la personne au plus tard au moment de la décision, lui fournir sur demande les renseignements utilisés, les raisons et les principaux facteurs et paramètres, ainsi que son droit de rectification — et lui donner l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. Si un humain tranche réellement, l'article ne s'applique pas. La loi ne définit pas « exclusivement » : notre lecture — et celle que retiennent généralement les autorités de protection — est qu'une intervention humaine purement formelle, sans capacité réelle d'infléchir le résultat, ne transforme pas une décision automatisée en décision humaine. C'est une interprétation, pas le texte.