Concept

Loi 25

Loi québécoise qui encadre la protection des renseignements personnels dans les entreprises privées et les organismes publics.

D'où ça vient

Son titre officiel est Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Elle était d'abord connue comme le projet de loi 64, déposé à l'Assemblée nationale le 12 juin 2020 par la ministre Sonia LeBel. Elle a été adoptée le 21 septembre 2021 et sanctionnée le lendemain. Elle met à jour la Loi sur le secteur privé (1993) et la Loi sur l'accès (1982), et son entrée en vigueur s'échelonne de 2022 à 2024.

C'est quoi, concrètement

La Loi 25 fixe des règles sur la façon dont une entreprise recueille, utilise, communique, conserve et détruit des renseignements personnels. Au quotidien, elle touche la gouvernance, le consentement, les incidents de confidentialité, les transferts hors Québec et les décisions prises seulement par un traitement automatisé. Elle donne aussi des droits aux personnes concernées, comme l'accès, la rectification et le retrait du consentement. La Commission d'accès à l'information du Québec (CAI) surveille son application.

Exemples

Responsable de la protection des renseignements personnels : Chaque entreprise doit en désigner un, par défaut la personne ayant la plus haute autorité, et publier ses coordonnées.
Évaluation des facteurs relatifs à la vie privée (EFVP) : Elle se fait avant d'acquérir, de développer ou de refondre un système d'information ou de prestation électronique de services qui traite des renseignements personnels.
Registre des incidents de confidentialité : L'entreprise y consigne les incidents et avise la CAI et les personnes concernées en cas de risque de préjudice sérieux.
Formulaire unique de la CAI : Il sert entre autres à déclarer un incident de confidentialité, et tu le trouves sur le site officiel de la Commission.
Avis sur les décisions automatisées : Si une décision repose exclusivement sur un traitement automatisé, tu informes la personne et elle peut présenter ses observations à un membre du personnel.

Ce que ça permet

Elle donne un cadre clair pour traiter les renseignements personnels.
Elle exige un consentement manifeste, libre et éclairé, donné à des fins précises.
Elle donne aux personnes des droits concrets sur leurs renseignements.
Elle oblige à de la transparence quand une décision est prise par un traitement automatisé.
Elle pousse à réfléchir à la vie privée avant de choisir ou de changer un système.

Pièges à éviter

Ignorer la loi expose à des sanctions administratives et pénales, et à un droit privé d'action.
Oublier l'EFVP avant d'adopter un nouveau système est un piège fréquent.
Un transfert de renseignements hors du Québec demande une analyse documentée avant d'être fait.
Un incident non consigné ou non déclaré peut te causer des ennuis.
Cette fiche est un survol: valide toujours avec le texte officiel sur LégisQuébec et les ressources de la CAI.

Pour ta PME

Vérifie d'abord qui est ton responsable de la protection des renseignements personnels et si tes pratiques, ton consentement et ton registre d'incidents sont à jour. Avant d'adopter un nouvel outil qui touche des renseignements personnels, y compris un outil d'IA, fais une EFVP et vérifie où vont les données. Évite d'y mettre des données sensibles, et garde un humain pour approuver toute décision qui touche une personne.

Site officiel

Sources : Wikipédia · Site officiel · mis à jour le 2026-11-06

Infolettre gratuite

« 5 prompts, 1 café »

Reçois 5 prompts prêts à copier chaque matin à 6 h 30.