Votre politique de confidentialité est en ligne. Le titre de votre responsable de la protection des renseignements personnels aussi. Pour bien des PME québécoises, la Loi 25 s'est arrêtée là : quelques documents rédigés à la course en 2023, puis plus rien.
Le problème, c'est que la loi ne se juge pas sur papier. Elle se juge le jour où un compte courriel est compromis ou qu'un portable disparaît dans le métro. La vraie question devient alors : aviez-vous pris des « mesures de sécurité raisonnables », comme l'exige l'article 10 ?
Cette checklist traduit les obligations de la Loi 25 en contrôles de cybersécurité vérifiables. Elle vise une PME de 10 à 100 employés, sans équipe de sécurité à temps plein.
En bref
- La Loi 25 n'impose pas de liste technique : elle exige des mesures « raisonnables » selon la sensibilité, la quantité, la répartition et le support des renseignements (art. 10).
- Cinq blocs à vérifier : gouvernance, inventaire et accès, contrôles techniques, incidents, fournisseurs.
- Il n'y a pas de délai fixe de 72 heures pour aviser la CAI : la loi exige d'agir « avec diligence ».
- Gardez des preuves de chaque mesure : c'est votre dossier de défense.
Ce que la Loi 25 exige, traduit en langage TI
La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), modernisée par la Loi 25, contient peu de termes techniques. Plusieurs articles ont pourtant des conséquences directes sur votre informatique.
| Article | Obligation | Ce que ça veut dire pour vos TI |
|---|---|---|
| 3.1 | Un responsable de la protection des RP | Une personne qui a son mot à dire sur les décisions de sécurité |
| 3.2 et 23 | Politiques de gouvernance, conservation et destruction | Des règles de rétention appliquées dans vos systèmes, pas seulement écrites |
| 3.3 | EFVP pour tout projet de système d'information | Évaluer la sécurité d'un logiciel avant de le déployer |
| 3.5 et 3.8 | Gérer, déclarer et consigner les incidents | Détecter, journaliser, documenter |
| 8.1 et 9.1 | Transparence sur le profilage, confidentialité par défaut | Revoir les traceurs de votre site et les paramètres de vos applications |
| 10 | Mesures de sécurité raisonnables | MFA, correctifs, sauvegardes, chiffrement, journalisation |
| 17 | EFVP avant toute communication hors Québec | Savoir où sont hébergées vos données infonuagiques |
| 18.3 | Contrat écrit avec les fournisseurs qui traitent des RP | Clauses de sécurité et d'avis de violation |
Bloc 1 : gouvernance
La sécurité commence par des décisions claires, prises par quelqu'un qui a l'autorité de les faire appliquer.
- Le responsable de la protection des renseignements personnels est désigné (par écrit s'il y a délégation), et son titre et ses coordonnées sont publiés sur votre site Web.
- Vos politiques de gouvernance (conservation, destruction, rôles, traitement des plaintes) sont approuvées par ce responsable et résumées en termes simples sur votre site.
- Une politique de sécurité d'une ou deux pages existe : mots de passe, MFA, appareils personnels, télétravail.
- Le personnel reçoit une formation de sensibilisation au moins une fois par année, hameçonnage compris.
- La direction fait le point sur la sécurité au moins une fois par trimestre.
Bloc 2 : inventaire et contrôle des accès
On ne protège pas ce qu'on ne connaît pas. La CAI place d'ailleurs l'inventaire des renseignements personnels au cœur de sa propre liste de contrôle pour les entreprises, publiée en janvier 2026. Elle y précise aussi que cocher des cases n'assure pas la conformité : chaque élément doit être réellement en place.
- Vous avez un inventaire des renseignements personnels : lesquels, où (logiciel, serveur, infonuagique, papier), qui y a accès, combien de temps vous les gardez.
- Les renseignements sensibles (NAS, santé, données bancaires) sont identifiés.
- Chaque employé n'accède qu'aux renseignements nécessaires à ses fonctions (art. 20).
- Les comptes des employés qui partent sont désactivés le jour même.
- Les comptes administrateurs sont séparés des comptes de tous les jours, et peu nombreux.
- Les renseignements dont la finalité est accomplie sont détruits ou anonymisés (art. 23).
Exemple : en faisant son inventaire, un cabinet comptable de Laval découvre que des déclarations de revenus de 2014 dorment encore dans un dossier partagé ouvert à tout le personnel, stagiaires compris. Pas besoin d'un pirate pour que ce soit un problème.
Bloc 3 : contrôles techniques de base
L'article 10 parle de mesures raisonnables « compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support ». Pour une PME en 2026, le socle raisonnable ressemble à ceci :
- Authentification multifacteur sur le courriel, l'accès à distance et chaque logiciel infonuagique qui contient des renseignements personnels, idéalement résistante à l'hameçonnage (notre guide pour choisir son MFA).
- Correctifs de sécurité appliqués rapidement sur les postes, les serveurs, les pare-feu et les logiciels.
- Sauvegardes automatiques, dont une copie hors ligne ou immuable, validées par une vraie restauration.
- Chiffrement des portables et des appareils mobiles.
- Journaux d'accès activés et conservés (Microsoft 365, Google Workspace, logiciels de gestion).
- SPF, DKIM et DMARC configurés sur votre domaine de courriel.
- Antivirus géré ou EDR sur tous les postes.
Ces mesures recoupent les exemples donnés par la CAI elle-même : mots de passe forts, chiffrement, pare-feu, journalisation des accès et mises à jour systématiques.
Bloc 4 : gestion des incidents
La loi définit l'incident de confidentialité largement : accès, utilisation ou communication non autorisés, perte, ou toute autre atteinte à la protection d'un renseignement personnel (art. 3.6). Un courriel envoyé au mauvais client en est un.
- Une procédure d'une page indique quoi faire et qui appeler en cas d'incident, la fin de semaine aussi.
- Une grille d'évaluation du risque de préjudice sérieux existe : sensibilité, conséquences appréhendées, probabilité d'utilisation préjudiciable (art. 3.7).
- Vous savez comment aviser la CAI et les personnes concernées. Rappel : la Loi 25 n'impose aucun délai de 72 heures, un chiffre qui vient du RGPD européen. Elle exige d'aviser « avec diligence » lorsque l'incident présente un risque de préjudice sérieux (art. 3.5).
- Un registre des incidents de confidentialité est tenu, incidents mineurs compris (art. 3.8).
Pour le pas-à-pas complet, lisez notre guide pour déclarer un incident à la CAI.
Bloc 5 : fournisseurs et infonuagique
Vos renseignements personnels vivent souvent ailleurs : logiciel de paie, CRM, impartiteur TI. Vous en restez responsable.
- Chaque fournisseur qui traite des renseignements personnels pour vous a un contrat écrit qui précise ses mesures de sécurité et l'oblige à aviser sans délai votre responsable de toute violation (art. 18.3).
- Vous savez dans quel pays vos données sont hébergées, et une EFVP a été faite avant tout transfert hors Québec (art. 17).
- Les accès de votre impartiteur TI sont nominatifs, protégés par MFA et révisés régulièrement.
- Une EFVP précède l'acquisition ou la refonte de tout système qui touche des renseignements personnels (art. 3.3).
Par où commencer : un plan sur 90 jours
Tout faire d'un coup est irréaliste. Voici un ordre qui réduit le risque le plus vite.
| Période | Priorités |
|---|---|
| Jours 1 à 30 | MFA partout, sauvegardes testées, procédure d'incident d'une page, registre créé |
| Jours 31 à 60 | Inventaire des renseignements, ménage des accès et des comptes inactifs, révision des contrats fournisseurs |
| Jours 61 à 90 | Politiques approuvées et publiées, formation du personnel, validation externe |
Gardez une trace de chaque étape : capture de la console MFA, rapport de test de restauration, procès-verbal de la rencontre de direction. Le jour où la CAI pose des questions, c'est ce dossier qui parle pour vous.
Cette checklist est un outil de vulgarisation, pas un avis juridique : validez l'interprétation de vos obligations avec votre conseiller juridique. Pour le volet technique, notre accompagnement en conformité Loi 25 peut partir de cette liste et la confronter à vos systèmes réels.
Questions fréquentes
La Loi 25 s'applique-t-elle aux entreprises de moins de 10 employés ?+
Oui. La loi vise toute personne qui exploite une entreprise au Québec, sans seuil de taille ni de chiffre d'affaires. Elle exige toutefois que les politiques de gouvernance soient proportionnées à la nature et à l'importance de vos activités (art. 3.2), ce qui permet une démarche plus légère pour une très petite entreprise.
Quelles sanctions risque une PME qui ne respecte pas la Loi 25 ?+
Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales 25 M$ ou 4 %. Ces maximums visent les cas graves : la CAI tient compte notamment de la gravité du manquement, de la sensibilité des renseignements et de la collaboration de l'entreprise. Des dommages-intérêts punitifs d'au moins 1 000 $ sont aussi possibles en cas d'atteinte intentionnelle ou de faute lourde.
La Loi 25 oblige-t-elle à faire un audit de cybersécurité ?+
Non, aucun article n'impose d'audit externe. Mais l'article 10 exige des mesures de sécurité raisonnables, et l'article 3.5 des mesures pour éviter que les incidents se répètent. Un audit est la façon la plus simple de démontrer que vous avez vérifié l'efficacité de vos mesures au lieu de la présumer.
Les témoins (cookies) de mon site Web sont-ils visés par la Loi 25 ?+
Oui, lorsqu'ils permettent d'identifier, de localiser ou de profiler un visiteur. Vous devez l'en informer au préalable et lui offrir les moyens d'activer ces fonctions (art. 8.1), ce qui revient à les laisser désactivées tant qu'il ne les a pas acceptées. Faites valider votre bandeau de témoins par votre conseiller juridique.
Sources
- 1.Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1)
- 2.CAI — Prévenir les incidents de confidentialité : liste de contrôle pour les entreprises (janvier 2026)
- 3.CAI — Incidents de confidentialité et mesures de sécurité (entreprises)
- 4.Osler — Loi 25 : nouveau régime d'application de la loi québécoise