Trousse de conformité Loi 25

Loi 25 ou LPRPDE, laquelle des deux s'applique à votre entreprise

Si votre entreprise exerce ses activités au Québec et n'est pas une entreprise fédérale, c'est la loi québécoise sur le secteur privé qui s'applique, parce qu'un décret fédéral de 2003 a exclu les organisations québécoises de la partie 1 de la LPRPDE pour ce qu'elles font au Québec. La LPRPDE demeure la loi applicable aux entreprises sous réglementation fédérale, comme les banques et les télécommunications. Selon le Commissariat à la protection de la vie privée du Canada, elle vise aussi les renseignements personnels qui franchissent une frontière provinciale ou nationale dans le cadre d'activités commerciales.

La règle générale pour une PME québécoise

Deux lois existent, et elles ne se disputent pas votre cas par hasard. Le Parlement du Canada a prévu qu'une loi provinciale jugée essentiellement similaire remplace la loi fédérale à l'intérieur de la province. Le Québec a obtenu cette reconnaissance en 2003, par le Décret d'exclusion visant des organisations de la province de Québec, enregistré sous le numéro DORS/2003-374 et en vigueur depuis le 19 novembre 2003.

Ce décret vise les organisations autres que les entreprises fédérales qui exploitent une entreprise au sens de l'article 1525 du Code civil du Québec et qui sont assujetties à la loi québécoise. Il les exclut de la partie 1 de la LPRPDE pour la collecte, l'utilisation et la communication de renseignements personnels qui ont lieu au Québec.

Ce que couvre la loi québécoise

La présente loi a pour objet d'établir, pour l'exercice des droits conférés par les articles 35 à 40 du Code civil en matière de protection des renseignements personnels, des règles particulières à l'égard des renseignements personnels sur autrui qu'une personne recueille, détient, utilise ou communique à des tiers à l'occasion de l'exploitation d'une entreprise au sens de l'article 1525 du Code civil.

Article 1

Le critère est l'exploitation d'une entreprise, pas la taille ni le secteur. Une entreprise de 20 employés y est soumise au même titre qu'une entreprise de 2 000. La définition de ce qui est protégé est également large.

Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier.

Article 2

Une différence qui touche tous les employeurs

La loi québécoise couvre les renseignements personnels que vous détenez à l'occasion de l'exploitation de votre entreprise, ce qui comprend les dossiers de vos employés et de vos candidats. Son article 1 prévoit seulement que les sections II et III ne s'appliquent pas aux renseignements qui concernent l'exercice d'une fonction au sein d'une entreprise, comme le nom, la fonction, l'adresse de travail, le courriel de travail et le numéro de téléphone du lieu de travail.

Du côté fédéral, selon le site de la législation de Justice Canada, la partie 1 de la LPRPDE vise les renseignements personnels recueillis, utilisés ou communiqués dans le cadre d'activités commerciales, et les renseignements sur les employés seulement dans le cadre d'une entreprise fédérale. Un dossier d'employé d'une PME québécoise relève donc de la loi québécoise, et non de la loi fédérale.

Le tableau des situations

La deuxième ligne décrit une frontière que la loi ne tranche pas d'une phrase. Elle se détermine selon vos activités réelles, et la question mérite un avis juridique si une part importante de vos opérations se fait hors du Québec.

Six questions à vous poser aujourd'hui

1. Votre entreprise est-elle une banque, une entreprise de télécommunications ou de radiodiffusion, un transporteur aérien, maritime, ferroviaire ou routier interprovincial. Si oui, la LPRPDE est votre point de départ et cette question ne se règle pas sans conseil.
2. Exploitez-vous une entreprise au sens de l'article 1525 du Code civil. Si vous vendez des biens ou des services de façon organisée, la réponse est très probablement oui.
3. Détenez-vous des renseignements qui permettent d'identifier une personne physique, directement ou indirectement. Les dossiers d'employés, les listes de clients et les candidatures comptent.
4. Vos renseignements sortent-ils du Québec, par un fournisseur, un hébergeur ou une société soeur. Si oui, l'article 17 de la loi québécoise s'applique avant la communication.
5. Agissez-vous pour le compte d'un organisme public. Si oui, l'article 3 de la loi québécoise exclut ces renseignements de son champ et c'est le régime de la loi sur l'accès qui les suit.
6. Détenez-vous des renseignements de santé et de services sociaux pour le compte d'un organisme de ce secteur. Si oui, vérifiez le régime de la loi R-22.1.

Les deux lois peuvent coexister

Rien n'empêche qu'une même entreprise soit visée par la loi québécoise pour ses opérations au Québec et par la loi fédérale pour une autre partie de ses activités. Cela ne double pas votre travail autant qu'on le craint, parce que les deux régimes partagent des principes, soit la limitation de la collecte au nécessaire, l'information de la personne, la sécurité et le droit d'accès.

Les différences portent surtout sur les obligations ajoutées en 2021 au Québec, soit la publication des coordonnées du responsable, le registre des incidents, l'évaluation des facteurs relatifs à la vie privée et les sanctions. Si vous devez satisfaire les deux, construire sur la base québécoise est une pratique recommandée, parce qu'elle est la plus détaillée sur ces quatre points.

Et le Règlement général européen

Il ne s'applique pas parce que vous êtes au Québec. Il peut s'appliquer si vous offrez des biens ou des services à des personnes se trouvant dans l'Union européenne ou si vous suivez leur comportement, ce qui est une question distincte. En aucun cas ses délais ne valent ici, et c'est de là que vient le délai de 72 heures qu'on attribue à tort à la loi québécoise. Le texte québécois dit « avec diligence », comme l'explique la marche à suivre après un incident.

Ce que vous faites de cette réponse

Si la conclusion est que la loi québécoise s'applique, vous avez quatre documents à produire avant tout le reste, et l'ordre est détaillé dans par où commencer quand rien n'est fait. Si vous hésitez encore sur ce que vous risquez, les deux régimes de sanctions sont comparés dans combien coûtent vraiment les manquements. Les gabarits sont écrits pour la loi québécoise, et la trousse en donne la liste complète.

Articles cités, 1, 2, 3, 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.