La Loi 25 expliquée pour les PME de l'Outaouais

Les obligations de la Loi 25 sont arrivées par étapes : les premières (une personnes responsable désignée, le registre des incidents) dès septembre 2022, l'essentiel des exigences en septembre 2023, et la portabilité des données en septembre 2024 (dont la portée exacte reste encadrée par règlement). La Commission d'accès à l'information (CAI) peut imposer de lourdes sanctions. Pourtant, la majorité des PME que nous rencontrons en Outaouais n'ont encore rien d'officialisé. Non pas par mauvaise foi, mais parce que tout ce qui est écrit sur le sujet est destiné aux avocats ou aux grandes entreprises.

Voici la version pour vous.

Ce que la loi demande, en cinq points

Ces cinq points sont le point de départ, pas la Loi au complet. D'autres obligations peuvent s'appliquer selon vos activités (par exemple, une évaluation des facteurs relatifs à la vie privée avant un nouveau système qui traite des renseignements personnels).

1. Un responsable désigné. Quelqu'un dans votre entreprise doit être officiellement responsable de la protection des renseignements personnels, et son titre et ses coordonnées doivent être publics (sur votre site web si vous en avez un, par un autre moyen approprié sinon). Par défaut, c'est la personne à la tête de l'entreprise. Vous pouvez le déléguer par écrit.

2. Une politique de confidentialité publiée. Dès que vous recueillez des renseignements personnels (un formulaire de contact suffit, mais le téléphone et le comptoir d'accueil comptent aussi), vous devez publier une politique claire couvrant au minimum : ce que vous recueillez, pourquoi, comment, combien de temps vous le conservez, qui y a accès, avec qui vous le partagez (y compris hors du Québec, le cas échéant), et les modalités permettant à une personne de demander l'accès ou une rectifiction à ses renseignements personnels.

3. Le consentement au bon moment. Le consentement doit être clair, libre et éclairé, demandé pour chaque finalité distincte, et explicite lorsqu'il s'agit de renseignements sensibles. Concrètement : une phrase claire à côté de votre formulaire indiquant qui collecte les données et pourquoi, renvoyant vers votre politique pour le reste (droits, conservation, destinataires), et non un document de 40 pages.

4. Un registre des incidents de confidentialité. En cas de perte, vole ou d'acccès non autorisé à des renseignements personnels, vous devez l'inscrire dans un registre, évaluer le risque d'un préjudice sérieux, puis aviser la CAI et les personnes touchées si ce risque existe. Le registre doit exister même s'il est vide.

5. Des ententes avec vos fournisseurs. Les données de vos clients passent par différents outils: infolettres, comptabilité infonuagique, CRM. La loi exige des ententes écrites adéquates avec ces fournisseurs (utilisation limitée au mandat, confidentialité, avis d'incident), ainsi qu'une évaluation documentée concluant que les renseignements seront protégés de manière adéquate lorsqu'ils quittent le Québec. Tenir la liste de vos fournisseurs est la bonne pratique qui rend tout le reste possible.

Ce que la Loi n'exige pas

Aucune certification, aucun audit externe obligatoire, aucun consultant à 40 000 $. La Loi exige des mesures proportionnées à la sensibilité des renseignements et à l'utilisation que vous en faites. Pour une PME de 10 personnes, un ensemble de documents bien tenu (politique, registre, inventaire des données, liste de fournisseurs) couvre l'essentiel des obligations documentaires.

Les trois erreurs les plus fréquentes

La politique copiée-collée. Une politique générique décrivant des pratiques que vous ne mettez pas en œuvre est pire que l'absence de politique : il s'agit d'un engagement public que vous ne respectez pas. La vôtre doit refléter vos pratiques réelles.

Le formulaire bavard. De nombreux sites collectent plus d'informations qu'ils n'en ont besoin, puis conservent tout indéfiniment. La Loi exige l'inverse : collecter le strict minimum et détruire les données une fois la finalité atteinte.

L'outil gratuit qui coûte cher. Placer les données clients dans un outil grand public gratuit, sans entente de traitement, constitue l'exemple parfait du transfert non documenté. La sitation se corrige, mais il faut d'abord procéder à un inventaire.

Vos priorités pour cette semaine

1. Nommez le responsable et publiez ses coordonnées sur votre site.
2. Faire l'inventaire : quels renseignements, dans quels outils, conservés combien de temps.
3. Publiez une politique qui dit la vérité.
4. Créez le registre des incidents (un tableau vide suffit, tant qu'il existe).
5. Mettez une date de révision annuelle à votre calendrier.

Nous appliquons ces règles à notre propre entreprise : notre politique de confidentialité décrit exactement ce que nous recueillons et pourquoi, et nos mesures internes existent réellement. Si vous voulez la même chose sans y passer vos soirées, notre programme de conformité Loi 25 commence par une évaluation à prix fixe. Une conversation de 30 minutes vous dira où vous en êtes.