Loi 25 pour une PME : par où commencer (plan sur 30 jours)

Un grossiste en alimentation de Drummondville, 22 employés, reçoit un questionnaire de son plus gros client : « Êtes-vous conforme à la Loi 25 ? Joignez votre politique de confidentialité et le nom de votre responsable. » Le président n'a ni l'un ni l'autre, et il a 30 jours pour répondre.

Trente jours suffisent pour mettre en place l'essentiel, à condition de suivre un ordre logique. Ce plan s'adresse aux PME de 5 à 50 employés, sans juriste ni équipe TI interne. Il renvoie à nos guides détaillés pour chaque étape.

La Loi 25 s'applique-t-elle à ma PME ?

Oui : la Loi sur la protection des renseignements personnels dans le secteur privé vise toute personne qui exploite une entreprise au Québec, sans seuil d'employés ni de chiffre d'affaires. Ses nouvelles obligations sont entrées en vigueur par phases, les 22 septembre 2022, 2023 et 2024. Elles s'appliquent donc toutes aujourd'hui.

La loi prévoit toutefois que vos politiques soient « proportionnées à la nature et à l'importance des activités de l'entreprise » (art. 3.2). Un grossiste de 22 employés n'a pas besoin d'un manuel de 40 pages. Il a besoin de documents courts, appliqués et à jour. Pour mesurer ce qui est en jeu, lisez notre article sur les amendes et sanctions de la Loi 25.

Le plan sur 30 jours en un coup d'œil

Le plan suit un principe simple : d'abord savoir qui décide et ce que vous détenez, ensuite se préparer au pire, puis corriger ce qui est visible, et enfin formaliser.

Semaine 1 : désigner le responsable et faire l'inventaire

La première semaine répond à deux questions : qui est responsable, et quels renseignements personnels détenez-vous ? Par défaut, le responsable de la protection des renseignements personnels est la personne ayant la plus haute autorité dans l'entreprise (art. 3.1). Elle peut déléguer la fonction par écrit, en tout ou en partie. La CAI recommande alors de choisir une personne compétente, avec un réel pouvoir de décision, et rappelle que le dirigeant demeure imputable.

• Signez la délégation, s'il y a lieu, et publiez le titre et les coordonnées du responsable sur votre site. La CAI n'a pas à en être informée.
• Dressez l'inventaire dans un simple tableur : quels renseignements, sur qui (clients, employés, candidats), où (logiciel, infonuagique, papier), qui y a accès, combien de temps vous les gardez, et s'ils sont hébergés hors Québec.
• Commencez par vos logiciels : comptabilité, paie, gestion de la clientèle, courriel, dossiers partagés.

Semaine 2 : se préparer aux incidents de confidentialité

Toute entreprise doit tenir un registre de ses incidents de confidentialité, même mineurs (art. 3.8) : c'est souvent le premier document qu'on vous demandera. Un courriel envoyé au mauvais client est déjà un incident.

• Créez votre registre à partir de notre modèle de registre des incidents. Il doit être conservé au moins cinq ans, selon le Règlement sur les incidents de confidentialité.
• Rédigez une procédure d'une page : qui appeler, comment contenir l'incident, qui évalue le risque.
• Prévoyez la grille d'évaluation du risque de préjudice sérieux : sensibilité des renseignements, conséquences appréhendées, probabilité d'une utilisation préjudiciable (art. 3.7).

Rappel : la Loi 25 n'impose pas de délai de 72 heures. Elle exige d'aviser la CAI et les personnes concernées « avec diligence » lorsque l'incident présente un risque de préjudice sérieux (art. 3.5). Notre guide pour déclarer un incident à la CAI détaille la marche à suivre.

Semaine 3 : mettre votre site Web en ordre

Votre site Web est la partie la plus visible de votre conformité, et la plus facile à vérifier de l'extérieur. Trois chantiers :

• Politique de confidentialité. Toute entreprise qui recueille des renseignements par un moyen technologique doit en publier une, en termes simples et clairs (art. 8.2). Partez de notre plan de politique de confidentialité Loi 25.
• Témoins et traceurs. Ceux qui permettent d'identifier, de localiser ou de profiler les visiteurs doivent rester désactivés tant que le visiteur ne les a pas activés (art. 8.1). Voyez notre guide sur les témoins et la Loi 25.
• Formulaires. Ne demandez que les renseignements nécessaires aux fins annoncées (art. 5). La date de naissance dans un formulaire de soumission, par exemple, est rarement justifiable.

Semaine 4 : adopter vos politiques et vérifier la sécurité de base

Vos politiques de gouvernance doivent couvrir au minimum la conservation et la destruction des renseignements, les rôles du personnel et le traitement des plaintes, et être approuvées par le responsable (art. 3.2). Des informations détaillées à leur sujet doivent ensuite être publiées sur votre site, en termes simples et clairs.

Côté sécurité, l'article 10 exige des mesures raisonnables selon la sensibilité et la quantité des renseignements. Pour une PME, le minimum ressemble à ceci :

• Authentification multifacteur sur le courriel et les logiciels infonuagiques.
• Sauvegardes automatiques, validées par un vrai test de restauration.
• Comptes des employés partis désactivés le jour même.
• Contrats écrits avec les fournisseurs qui traitent des renseignements pour vous, avec des clauses de confidentialité (art. 18.3).
• Une évaluation des facteurs relatifs à la vie privée avant tout nouveau logiciel qui touche des renseignements personnels (art. 3.3).

Après 30 jours : la suite

Après 30 jours, l'essentiel est en place ; la conformité devient ensuite une routine. Formez votre personnel au moins une fois par année, hameçonnage compris. Préparez-vous aux demandes d'accès : le responsable doit y répondre par écrit dans les 30 jours (art. 32), y compris, depuis septembre 2024, sous la forme d'un fichier dans un format technologique structuré et couramment utilisé lorsqu'on le demande (art. 27). Revoyez l'inventaire et la politique de confidentialité chaque année, ou à chaque nouveau logiciel.

Pour aller plus loin, notre checklist cybersécurité Loi 25 propose un plan sur 90 jours, centré sur les contrôles techniques.

Ce plan vulgarise vos obligations et ne remplace pas un avis juridique : validez vos documents et vos décisions avec votre conseiller juridique. Si vous voulez valider votre point de départ avec nous, réservez une discussion gratuite.