Qui est visé par la Loi 25?
La Loi 25 s'applique à toute entreprise qui exerce une activité au Québec et qui collecte, détient, utilise ou communique des renseignements personnels — peu importe sa taille.
Pourquoi une nouvelle loi en 2021?
Pendant près de 30 ans, la protection des renseignements personnels dans le secteur privé québécois reposait sur une loi adoptée en 1994 — une époque sans téléphones intelligents, sans infonuagique et sans intelligence artificielle. Les fuites massives de données, la monétisation des données personnelles et l'omniprésence du numérique ont rendu ce cadre obsolète.
La Loi 25 — adoptée le 21 septembre 2021 sous le titre officiel Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — modernise principalement la Loi sur la protection des renseignements personnels dans le secteur privé. Elle s'inspire largement du RGPD européen, ce qui fait du Québec l'une des juridictions les plus strictes d'Amérique du Nord.
Responsabiliser · Redonner le contrôle · Dissuader
- Responsabiliser les organisations. Les entreprises ne peuvent plus traiter les données personnelles comme une ressource gratuite. Elles doivent en répondre formellement.
- Redonner le contrôle aux citoyens. De nouveaux droits permettent à chacun de savoir, corriger, récupérer et, dans certains cas, faire effacer ses renseignements.
- Dissuader par des sanctions réelles. Des amendes pouvant atteindre des millions de dollars donnent du mordant à la loi (voir le chapitre 14–15).
Qui est concerné? (Indice : probablement vous)
La Loi 25 s'applique à toute entreprise qui exerce une activité au Québec et qui recueille, détient, utilise ou communique des renseignements personnels, peu importe sa taille. Cela inclut :
- Les PME et PMI de tous les secteurs
- Les travailleurs autonomes et professionnels (notaires, comptables, courtiers, cliniques…)
- Les organismes à but non lucratif (OBNL) qui exploitent une « entreprise » au sens du Code civil
- Les commerces de détail, manufacturiers, agences, cabinets-conseils
Différence avec la loi fédérale
La LPRPDE (loi fédérale) s'applique notamment aux activités commerciales interprovinciales et internationales. Le Québec ayant adopté sa propre loi, c'est généralement la Loi 25 qui prime pour les activités intra-québécoises. Pour les entreprises qui œuvrent à l'international, les deux régimes peuvent s'appliquer simultanément.
✓ Checklist de départ
- ☐ Notre organisation recueille-t-elle des renseignements personnels? (Réponse quasi certaine : oui)
- ☐ Avons-nous déjà désigné un responsable de la protection des renseignements personnels (RPRP)?
- ☐ Connaissons-nous les 3 phases d'entrée en vigueur de la loi?
- ☐ Avons-nous évalué notre risque financier en cas de non-conformité?