Trousse de conformité Loi 25

Rien n'est fait dans votre PME, voici par où commencer et dans quel ordre

Commencez par les quatre obligations qui se constatent de l'extérieur ou qui vous manqueront le jour d'un incident, soit désigner le responsable, publier son titre et ses coordonnées, ouvrir le registre des incidents et écrire votre procédure d'incident. Vient ensuite la gouvernance, politiques écrites et informations publiées. La collecte, les contrats de fournisseurs et le cycle de vie des renseignements suivent. Chaque étape se termine par une preuve datée, pas par une intention.

La logique de l'ordre proposé

L'ordre qui suit est une pratique recommandée, la loi n'établit aucune séquence entre ses obligations. Mais les obligations ne se valent pas en urgence. Trois questions les classent. Est-ce qu'un tiers peut constater le manquement sans entrer chez vous. Est-ce que l'absence de cette pièce vous bloquera le jour d'un incident. Est-ce que cette pièce est nécessaire pour faire les suivantes. Les quatre premiers gestes répondent oui aux trois questions.

Phase 1, les quatre gestes qui ne peuvent pas attendre

Les détails de chacun sont dans qui doit être le responsable chez vous et dans le registre des incidents de confidentialité.

Phase 2, la gouvernance écrite

L'article 3.2 est celui qui demande le plus de rédaction, et c'est pour cela qu'il vient en deuxième plutôt qu'en premier.

Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l'égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l'encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements et un processus de traitement des plaintes relatives à la protection de ceux-ci.

Article 3.2

Le texte nomme donc trois contenus minimaux, soit la conservation et la destruction, les rôles et responsabilités du personnel, et le traitement des plaintes. Il ajoute deux conditions, la proportionnalité à la nature et à l'importance de vos activités, et l'approbation par le responsable. Enfin, des informations détaillées sur ces politiques doivent être publiées sur le site Internet, en termes simples et clairs.

Notez la distinction. La politique complète est un document interne. Ce qui est publié, c'est une présentation détaillée mais lisible de son contenu. Si vous recueillez des renseignements par un formulaire web ou une infolettre, l'article 8.2 exige en plus une politique de confidentialité publiée et diffusée.

Phase 3, la collecte et le consentement

Cette phase se règle dans vos formulaires, vos contrats et vos scripts de téléphone. Elle demande peu de rédaction et beaucoup de passage en revue.

• Déterminer les fins de la collecte avant de collecter, comme l'exige l'article 4.
• Ne recueillir que les renseignements nécessaires à ces fins, selon l'article 5. En cas de doute, l'article 9 prévoit qu'un renseignement est réputé non nécessaire.
• Informer la personne, lors de la collecte, des fins, des moyens, de ses droits d'accès et de rectification et de son droit de retirer son consentement, selon l'article 8. Le même article prévoit aussi, sur demande, l'information sur les catégories de personnes qui ont accès aux renseignements dans l'entreprise, la durée de conservation et les coordonnées du responsable.
• Si vous utilisez une technologie qui permet d'identifier, de localiser ou de profiler une personne, l'informer au préalable du recours à cette technologie et des moyens d'en désactiver les fonctions, selon l'article 8.1.
• Si votre produit ou service technologique offert au public comporte des paramètres de confidentialité, s'assurer qu'ils assurent par défaut le plus haut niveau de confidentialité, selon l'article 9.1.
• Obtenir un consentement manifesté de façon expresse pour un renseignement sensible, selon les articles 12 et 13.

Phase 4, les fournisseurs et les projets

Dressez la liste des fournisseurs qui voient des renseignements sur vos employés, vos clients et vos candidats, puis vérifiez deux choses pour chacun, l'existence d'un écrit et la présence de mesures de protection dans cet écrit. C'est l'exigence de l'article 18.3. Si le fournisseur ou son hébergement se trouvent à l'extérieur du Québec, l'article 17 ajoute une évaluation et une entente écrite, dont le résultat doit se retrouver dans les clauses du contrat.

À partir de maintenant, tout nouveau projet de système d'information touchant des renseignements personnels déclenche une évaluation des facteurs relatifs à la vie privée, selon l'article 3.3, et la consultation du responsable dès le début du projet.

Phase 5, le cycle de vie et les droits des personnes

C'est la phase la plus longue, parce qu'elle touche des dossiers accumulés depuis des années.

• Établir une durée de conservation par catégorie de dossier, puis détruire ou anonymiser lorsque les fins sont accomplies, comme l'exige l'article 23, sous réserve d'un délai de conservation prévu par une autre loi.
• Mettre en place le traitement des demandes d'accès et de rectification, avec la réponse écrite au plus tard dans les 30 jours exigée par l'article 32.
• Prévoir la communication, sur demande, d'un renseignement informatisé recueilli auprès de la personne dans un format technologique structuré et couramment utilisé, selon l'article 27.
• Connaître le droit de faire cesser la diffusion ou de faire désindexer un hyperlien, prévu à l'article 28.1.
• Si une décision est fondée exclusivement sur un traitement automatisé, en informer la personne et lui donner l'occasion de présenter ses observations, selon l'article 12.1.

Combien de temps, et pourquoi nous ne vous donnons pas un nombre

Nous n'avançons aucun nombre d'heures ni de semaines, parce que nous n'avons pas de mesure vérifiée à citer et qu'un chiffre inventé ne vous aiderait pas à planifier. Ce que nous pouvons dire, c'est ce qui allonge ou raccourcit le travail chez vous.

• Le nombre de systèmes qui contiennent des renseignements personnels, parce que chacun demande un examen.
• Le nombre de fournisseurs sans contrat écrit, parce que chaque contrat à refaire suppose une négociation.
• La dispersion des dossiers papier, parce qu'un classeur au sous-sol se trie à la main.
• L'existence ou non d'une personne capable d'écrire les documents sans tout réapprendre.

La phase 1 est la seule qui ne dépend pas de ces facteurs, puisqu'elle se compose de quatre documents courts. Rien n'empêche de la terminer cette semaine.

Les deux erreurs les plus coûteuses au départ

La première consiste à commencer par la politique complète. Un document de trente pages approuvé par personne ne vous met pas en meilleure position qu'une délégation signée et un registre ouvert.

La seconde consiste à vous appuyer sur des textes européens. Les délais, les termes et les montants n'y sont pas les mêmes. Et avant tout, vérifiez quelle loi vous gouverne, puisqu'une entreprise sous réglementation fédérale ou qui transmet des renseignements hors du Québec dans le cadre d'activités commerciales n'est pas dans la même situation. La réponse est dans laquelle des deux lois s'applique à votre entreprise.

Les documents de la phase 1 et de la phase 2, soit la délégation, le bloc à publier, le registre, la procédure d'incident et la politique de gouvernance, existent en gabarits remplissables dans la trousse.

Articles cités, 3.1, 3.2, 3.3, 3.5, 3.8, 4, 5, 8, 8.1, 8.2, 9, 9.1, 12, 12.1, 13, 17, 18.3, 23, 27, 28.1, 32 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.