Se rendre au contenu

Loi 25, quatre ans plus tard : ce qui a vraiment changé pour les PME

Passé l'effet d'annonce, où en sont concrètement les PME et OBNL québécois face à la Loi 25?



Dans cet article

Les grandes obligations de la Loi 25 se sont mises en place graduellement, à dates précises : le 22 septembre 2022, puis 2023, puis 2024. Quatre ans se sont écoulés depuis la première échéance, deux depuis la dernière. Ça fait assez de recul pour poser un constat honnête, loin de l'effervescence des premiers mois : qu'est-ce qui a vraiment changé sur le terrain, dans les PME et les OBNL d'ici?

Un rappel des obligations clés

La Loi 25 impose, entre autres, de désigner une personne responsable de la protection des renseignements personnels, de tenir un registre des incidents de confidentialité et de les déclarer, d'adopter une politique de gouvernance, d'obtenir un consentement clair, et de respecter de nouveaux droits pour les citoyens (accès, rectification, portabilité). S'ajoute l'évaluation des facteurs relatifs à la vie privée pour certains projets et certains transferts de données. Le détail du calendrier : la désignation du responsable et le régime d'incidents s'appliquent depuis le 22 septembre 2022; les règles sur le consentement, les décisions automatisées et les transferts hors Québec depuis le 22 septembre 2023; et le droit à la portabilité depuis le 22 septembre 2024.

Une précision sur la portabilité, parce qu'elle est régulièrement mal comprise : elle ne couvre que les renseignements informatisés recueillis auprès de la personne elle-même, et pas ceux que l'organisation a créés ou inférés à son sujet. L'historique d'achats qu'un client a lui-même généré est portable; le score de risque calculé à partir de cet historique ne l'est pas. La distinction est écrite dans l'article 27 de la Loi sur le privé, et elle change beaucoup de choses quand vient le temps d'outiller une demande.

Autre point resté longtemps en suspens : l'anonymisation. La Loi 25 l'a introduite comme solution de rechange à la destruction, mais elle ne devenait praticable qu'une fois les critères fixés par règlement. Le Règlement sur l'anonymisation des renseignements personnels est en vigueur depuis le 30 mai 2024. Les organisations qui avaient inscrit « on anonymisera » dans leur politique de conservation en 2022 ont maintenant un cadre précis à respecter, et une méthode à documenter. Une nuance de calendrier s'y ajoute : l'obligation de consigner les renseignements prescrits dans un registre d'anonymisation n'est en vigueur que depuis le 1er janvier 2025.

Ce qui a bougé dans les PME

Le plus visible d'abord : beaucoup d'organisations ont nommé un responsable, publié une politique de confidentialité et ajouté des bannières de consentement sur leur site. La sensibilité au sujet a clairement augmenté; « renseignement personnel » et « incident de confidentialité » sont entrés dans le vocabulaire courant. C'est un réel progrès par rapport à l'indifférence d'avant.

Les chiffres de la Commission d'accès à l'information donnent une mesure plus fiable que les impressions. Dans son rapport annuel 2024-2025, elle déclare avoir reçu 514 avis d'incidents de confidentialité, une hausse de 16 % sur l'année précédente et de 559 % sur trois ans. De ces 514 avis, 80 % viennent du secteur privé, 16 % du secteur public et 4 % du secteur de la santé et des services sociaux. Les plaintes suivent la même courbe : 549 reçues dans l'année, dont 364 visant des entreprises, et une hausse de 227 % depuis 2021-2022.

Ce que ces avis contiennent est instructif. L'accès non autorisé à un renseignement domine largement avec 251 cas, devant la communication non autorisée (116), la perte ou une autre atteinte à la protection (59) et l'utilisation non autorisée (9). Quinze pour cent des avis cochent plus d'une catégorie pour un même incident. Les causes les plus fréquentes sont les cyberattaques, les erreurs humaines et les rançongiciels.

Cette hausse mérite d'être lue pour ce qu'elle est. Elle ne dit pas que les fuites se sont multipliées par six en trois ans. Elle dit surtout que l'obligation de déclarer est entrée dans les pratiques, et qu'une partie de ce qui se réglait auparavant en silence remonte maintenant jusqu'au régulateur. C'est le signe d'un régime qui prend, pas d'une épidémie.

Ce qui traîne encore

Le revers, c'est que beaucoup ont traité la Loi 25 comme un projet ponctuel : on coche, on classe, on passe à autre chose. Résultat, des registres d'incidents qui restent des gabarits vides, des évaluations de facteurs jamais réalisées, des fournisseurs jamais évalués, et des politiques qui ne sont plus relues. La conformité de papier existe; la conformité vécue, beaucoup moins.

Ce qui a changé du côté de la Commission

Le bilan serait incomplet s'il ne regardait que les entreprises. L'autorité chargée d'appliquer la loi a changé elle aussi, et pas seulement en volume.

Ses moyens ont augmenté, moins vite que ses charges. En 2021-2022, avant l'adoption de la Loi 25, la Commission disposait d'un budget annuel de 8,3 millions de dollars et de 73 équivalents temps complet. En 2026-2027, elle a 12,2 millions et 92 postes autorisés. Dans son rapport quinquennal, elle écrit elle-même que ce rehaussement n'a pas été à la hauteur de l'expansion de ses fonctions, et qu'aucune somme nouvelle n'a accompagné les responsabilités que lui a confiées la loi sur les renseignements de santé et de services sociaux.

Un point de repère a aussi disparu. Depuis 2022, la Commission publiait la liste des organisations ayant déclaré un incident. Elle y a mis fin le 27 mai 2025, pour éviter d'exposer des vulnérabilités informatiques, de nuire à la gestion des incidents en cours et de compromettre ses propres enquêtes. Elle continue de publier des statistiques globales, mais le nom des organisations touchées n'est plus rendu public. Pour une PME qui vérifiait ses fournisseurs dans cette liste, c'est un moyen de contrôle en moins.

Enfin, le 11 juin 2026, la Commission a déposé son septième rapport quinquennal, intitulé « Transparence et vie privée : protéger la démocratie à l'ère numérique ». Il porte 74 recommandations. La dernière vise directement le régime de sanctions : la Commission demande de réviser les dispositions pour que les sanctions administratives pécuniaires ne visent clairement que des manquements de type objectif, et pour en ajouter d'autres, objectifs eux aussi, qui échappent aujourd'hui au régime. Quatre ans après, l'outil de sanction est donc jugé perfectible par celle-là même qui le manie.

Six obligations qui se vérifient de l'extérieur

Le plus révélateur, dans un bilan, ce sont les obligations qu'un tiers peut contrôler sans rien demander à personne. En voici six, toutes vérifiables depuis un navigateur :

  • Les coordonnées du responsable. Le titre et les coordonnées de la personne responsable doivent être publiés sur le site de l'entreprise, ou rendus accessibles autrement si elle n'a pas de site. C'est la vérification la plus rapide qui soit, et c'est souvent la première qui échoue.
  • La politique de confidentialité. Elle doit être rédigée en termes simples et clairs et diffusée sur le site dès qu'on recueille des renseignements par un moyen technologique. Un simple formulaire de contact suffit à déclencher l'obligation.
  • Les politiques et pratiques de gouvernance. Elles ne se contentent pas d'exister : l'entreprise doit en publier une information détaillée. Elles couvrent la conservation et la destruction, les rôles du personnel sur tout le cycle de vie du renseignement, et un processus de traitement des plaintes.
  • Les paramètres de confidentialité par défaut. Un produit ou un service technologique offert au public doit garantir, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée. Les témoins de connexion sont expressément exclus de cette règle.
  • L'information donnée au moment de la collecte. Les fins, les moyens, les droits d'accès et de rectification, le droit de retirer son consentement, et la possibilité que les renseignements soient communiqués à l'extérieur du Québec.
  • La granularité du consentement. Il doit être demandé pour chacune des finalités, en termes simples et clairs, et présenté distinctement du reste quand la demande est écrite. Une case unique qui couvre l'infolettre, l'analytique et le partage avec des partenaires ne tient plus.

Aucune de ces six ne demande de budget. Elles demandent d'avoir écrit les choses une fois, correctement, et de les tenir à jour ensuite.

Ce que ça coûte quand ça tourne mal

La Loi 25 n'a pas seulement ajouté des obligations, elle a ajouté des dents. Trois régimes coexistent, et ils ne visent pas les mêmes gestes.

Les sanctions administratives pécuniaires sont imposées par une personne désignée par la Commission, sans passer par un tribunal. Le maximum est de 50 000 $ dans le cas d'une personne physique et, dans les autres cas, de 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé (article 90.12).

Les dispositions pénales visent notamment le fait de recueillir, d'utiliser, de communiquer, de conserver ou de détruire des renseignements en contravention à la loi, et le fait d'omettre de déclarer un incident quand on est tenu de le faire. L'amende va de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 millions ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé (article 91).

S'ajoute un régime civil. Quand l'atteinte à un droit conféré par la loi cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $ (article 93.1). C'est un plancher, pas un plafond, et dans un recours collectif l'arithmétique se fait vite.

Un mot sur la distance entre le texte et la pratique. Le rapport annuel 2024-2025 de la Commission ne fait état d'aucune sanction administrative pécuniaire imposée dans l'année, et son schéma de traitement des plaintes présente la sanction comme une possibilité en bout de parcours, après l'enquête, le préavis de non-conformité et l'occasion donnée à l'entreprise de présenter ses observations. Plusieurs sites de conformité annoncent pourtant des vagues d'amendes avec des montants précis. Ces chiffres ne se retrouvent nulle part dans les documents officiels de la Commission.

Ces montants impressionnent, et c'est voulu. En pratique, le risque quotidien d'une PME n'est pas l'amende maximale : c'est le petit incident mal géré, non consigné et non déclaré, qui finit par devenir une plainte.

L'angle mort : la conformité n'est pas un projet, c'est une habitude

C'est le vrai enseignement de ces quatre ans. Chaque nouveau logiciel, chaque nouveau fournisseur, chaque nouvelle collecte de données peut introduire un risque. Une organisation réellement conforme révise, surveille et ajuste en continu. Celle qui s'est arrêtée au lancement est aujourd'hui exactement aussi exposée qu'avant, avec en prime un faux sentiment de sécurité.

Notre lecture

Du côté technique, la conformité se gagne dans les fondations : savoir où vivent les données, qui y a accès, comment elles sont sauvegardées et chiffrées, et être capable de détecter un incident. C'est ce qu'on intègre par défaut dans les infrastructures qu'on déploie, parce que la protection des renseignements personnels n'est pas un module qu'on ajoute à la fin, c'est une manière de construire. Pour la partie juridique et organisationnelle, des partenaires spécialisés prennent le relais.

Votre conformité s'est arrêtée le jour du lancement? On la remet en mouvement.

Sources

Rédiger une politique d'utilisation de l'IA pour votre PME
Vos employés utilisent déjà l'IA. Une politique claire transforme un risque diffus en usage encadré, sans sacrifier les gains de productivité.