Renseignements personnels
La Loi 25 pour une PME de vingt personnes : ce qui vous concerne vraiment
· Entrepot360.ca
On entend deux choses sur la Loi 25 : qu’elle ne vise que les grandes entreprises, ou qu’elle exige un service juridique. Ni l’une ni l’autre n’est exacte. Ce texte résume ce que la loi demande à une entreprise de vingt personnes, d’après ce que la Commission d’accès à l’information du Québec (CAI) publie. Il n’est pas un avis juridique : pour votre situation, la CAI et un conseiller font foi.
De quoi parle-t-on ?
« Loi 25 » est le surnom de la loi adoptée en 2021 qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Ses dispositions sont entrées en vigueur par étapes, en septembre 2022, 2023 et 2024 ; elles s’appliquent toutes aujourd’hui.
Elle vise toute entreprise qui recueille, garde, utilise ou communique des renseignements personnels au Québec. Il n’y a pas de seuil de taille.
Avez-vous des renseignements personnels ?
Oui, presque certainement. Un renseignement personnel concerne une personne physique et permet de l’identifier. Dans une PME, on en trouve surtout à trois endroits :
- Les dossiers des employés : adresse, numéro d’assurance sociale, paie, dossier médical d’un accident. C’est souvent ce que vous avez de plus sensible.
- Les clients qui sont des particuliers, si vous en avez.
- Les candidats : les curriculum vitæ reçus, et gardés sans y penser.
Les coordonnées d’affaires d’une personne — son nom, son titre, son courriel et son téléphone au travail — sont en grande partie exclues de la loi depuis 2023. Pour une entreprise qui vend à d’autres entreprises, cela allège beaucoup la tâche ; vérifiez toutefois ce que vos fiches contiennent d’autre.
Ce que la loi demande, en six points
- Un responsable. Par défaut, c’est la personne qui dirige l’entreprise ; elle peut déléguer ce rôle par écrit. Son titre et ses coordonnées doivent être publiés sur votre site.
- Des règles internes. Qui a accès à quoi, combien de temps on garde les dossiers, comment on les détruit, comment on traite une plainte. La loi les veut proportionnées à vos activités : pour vingt personnes, deux ou trois pages claires. Vous devez en publier l’essentiel en termes simples.
- Une politique de confidentialité, si vous recueillez des renseignements par un moyen technologique — un formulaire sur votre site, par exemple.
- Un consentement clair. Dites pourquoi vous demandez un renseignement, et ne vous en servez que pour cela.
- Un registre des incidents. Un courriel envoyé au mauvais destinataire, un portable volé : tout incident s’y inscrit. S’il présente un risque de préjudice sérieux, il faut aussi aviser la CAI et les personnes touchées.
- Une évaluation avant un nouveau système. Avant d’adopter un logiciel qui traitera des renseignements personnels, ou de les confier à un fournisseur hors du Québec, la loi demande une évaluation des facteurs relatifs à la vie privée. Elle aussi est proportionnée : pour un petit projet, quelques pages.
Les droits des personnes
Toute personne peut vous demander de voir les renseignements que vous avez sur elle, de les faire corriger et, depuis 2024, de les recevoir dans un format technologique courant. Vous avez trente jours pour répondre. Prévoyez qui s’en occupe.
Et si on ne fait rien ?
La loi prévoit des sanctions administratives pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et des amendes pénales plus élevées encore. Ces plafonds visent les cas graves. Le risque réel, pour une PME, est plus terre à terre : un incident mal géré, un employé ou un client qui porte plainte, et rien à montrer pour prouver qu’on avait pris la question au sérieux.
Une journée pour se mettre en ordre
- Nommez le responsable et publiez ses coordonnées.
- Dressez la liste de ce que vous gardez, où, et qui y a accès. C’est l’étape la plus utile.
- Supprimez ce qui ne sert plus : les vieux curriculum vitæ, les dossiers d’anciens employés au-delà de ce que vous devez conserver.
- Ouvrez un registre des incidents, même vide.
- Écrivez votre politique et vos règles en termes simples, puis publiez-les.
- Demandez à vos fournisseurs de logiciels où vos données sont hébergées et qui y a accès.
La CAI publie des guides et des modèles gratuits pour chacune de ces étapes ; commencez par là avant de payer quoi que ce soit.
Et votre logiciel d’entrepôt ?
La question se pose à tout fournisseur, nous compris. Pour Entrepot360.ca, les réponses sont écrites dans notre politique de confidentialité : le serveur est au Québec, chaque client a sa propre base, séparée de celle des autres, et les copies qui quittent le serveur sont chiffrées. Un entrepôt contient surtout des produits et des coordonnées d’affaires ; les comptes de votre équipe, eux, sont des renseignements personnels, et ils se gèrent dans vos réglages.