Depuis le 22 septembre 2024, l'ensemble des dispositions de la Loi 25 s'appliquent au Québec, et la Commission d'accès à l'information (CAI) dispose désormais du pouvoir d'imposer, seule et sans passer par les tribunaux, des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial d'une entreprise (CAI, Cadre général d'application des sanctions administratives pécuniaires). Si votre organisation recueille, utilise ou communique des renseignements personnels au Québec, cette loi vous concerne directement, peu importe votre taille ou votre secteur.
Points clés à retenir
➤ La Loi 25 (anciennement le projet de loi 64) est entrée en vigueur en trois phases entre le 22 septembre 2022 et le 22 septembre 2024 (Gouvernement du Québec).
➤ La CAI peut imposer deux types de sanctions distincts : des sanctions administratives pécuniaires (jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, sans procès) et des sanctions pénales devant les tribunaux (jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial pour une entreprise) (CAI, Sanctions).
➤ Toute entreprise doit désigner un responsable de la protection des renseignements personnels, dont le titre et les coordonnées doivent être publiés sur son site web.
➤ La loi accorde aux individus un droit d'action civile, avec des dommages punitifs d'au moins 1 000 $ en cas de faute intentionnelle ou lourde (art. 93.1, Osler).
➤ Le projet de loi fédéral C-27, qui devait moderniser la LPRPDE, est mort au feuilleton lors de la prorogation du Parlement le 6 janvier 2025, et aucun projet de remplacement n'a été déposé depuis (Torys, IAPP) — la Loi 25 reste donc, en pratique, le cadre le plus exigeant applicable aux entreprises qui traitent des renseignements personnels au Québec.
Qu'est-ce que la Loi 25?
La Loi 25 est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, sanctionnée le 22 septembre 2021. Elle modifie en profondeur deux lois existantes : la Loi sur la protection des renseignements personnels dans le secteur privé et la Loi sur l'accès aux documents des organismes publics. Avant son adoption, elle portait le nom de projet de loi 64, un nom que beaucoup de professionnels continuent d'utiliser par habitude, même si le texte adopté s'appelle officiellement la Loi 25.
Renseignement personnel : tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier. La définition n'a pas changé avec la Loi 25, mais son traitement, lui, est désormais beaucoup plus encadré.
L'objectif du législateur était clair : rapprocher le régime québécois des standards internationaux les plus exigeants, notamment le RGPD européen, tout en répondant à une pression citoyenne grandissante après plusieurs fuites de données majeures au Canada. Le résultat est un texte qui dépasse, sur plusieurs points, la loi fédérale équivalente: un constat qui revient régulièrement chez les praticiens du droit de la vie privée au Québec.
Un calendrier d'entrée en vigueur étalé sur trois ans
Contrairement à une loi qui entre en vigueur d'un seul bloc, la Loi 25 a été conçue pour laisser aux entreprises le temps de s'adapter. Trois échéances structurent son application, chacune ajoutant de nouvelles obligations concrètes.
| Date | Ce qui devient obligatoire |
|---|---|
| 22 septembre 2022 | Désignation d'un responsable de la protection des renseignements personnels; obligation de déclarer tout incident de confidentialité présentant un risque de préjudice sérieux |
| 22 septembre 2023 | Consentement manifeste, libre et éclairé; évaluations des facteurs relatifs à la vie privée (EFVP); politiques de gouvernance publiées; pouvoir de la CAI d'imposer des sanctions administratives pécuniaires; déclaration obligatoire des banques de données biométriques |
| 22 septembre 2024 | Droit à la portabilité des renseignements personnels; droit à la désindexation |
Depuis le 22 septembre 2024, la totalité du texte est en vigueur. Il n'y a plus de phase transitoire à surveiller, seulement une obligation de conformité continue que la CAI est désormais outillée pour vérifier.
Qui doit se conformer à la Loi 25?
La règle est volontairement large : toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de ses activités au Québec est visée, quelle que soit sa taille, son secteur d'activité ou son statut à but lucratif ou non. Un travailleur autonome qui tient un fichier de clients est visé au même titre qu'une multinationale.
Deux nuances méritent d'être précisées. D'abord, la loi s'applique dès qu'il y a un lien réel avec le Québec: une entreprise établie ailleurs au Canada mais qui vend à des consommateurs québécois et traite leurs renseignements personnels peut être visée, selon la nature du traitement. Ensuite, les organismes publics québécois relèvent d'un régime parallèle, modifié par la même loi mais avec des règles partiellement distinctes; ce guide se concentre sur le secteur privé.
Ce qui compte comme un renseignement personnel, et ce qui devient « sensible »
La Loi 25 introduit une nouvelle catégorie : le renseignement personnel sensible, défini comme celui qui, en raison de sa nature ou du contexte de son utilisation, suscite un degré élevé d'attente raisonnable en matière de vie privée. Concrètement, cela inclut les renseignements médicaux, biométriques, financiers, ou ceux révélant l'orientation sexuelle ou les convictions religieuses. Cette catégorie déclenche des obligations renforcées : consentement explicite, mesures de sécurité proportionnellement plus strictes, et une évaluation des facteurs relatifs à la vie privée quasi systématique avant tout traitement.
Les caractéristiques biométriques (empreintes digitales, reconnaissance faciale, empreinte vocale) reçoivent un traitement à part. Toute organisation qui crée une banque de données biométriques utilisée à des fins d'identification ou d'authentification doit la déclarer à la CAI au moins 60 jours avant sa mise en service (CAI, Biométrie). La CAI a maintenu une position stricte sur ce point depuis 2024, refusant d'assouplir ses exigences même face aux critiques de certains acteurs du secteur financier (Langlois Avocats).
Les obligations clés pour les entreprises
Un consentement manifeste, libre, éclairé et donné à des fins spécifiques
Le consentement générique, glissé dans des conditions d'utilisation de 40 pages, ne suffit plus. La demande de consentement doit être présentée séparément de toute autre information, en langage clair, et limitée aux fins réellement poursuivies. Pour un renseignement sensible, le consentement doit être exprès: une case précochée ou un consentement implicite ne satisfait pas l'exigence. Sur le web, cela rejoint directement la logique d'une plateforme de gestion du consentement bien configurée, qui trace et horodate chaque choix plutôt que de présumer un accord.
Un responsable de la protection des renseignements personnels, nommé et visible
Par défaut, cette fonction revient automatiquement à la personne ayant la plus haute autorité dans l'entreprise (généralement le président ou le directeur général), mais elle peut être déléguée par écrit à une autre personne, en interne ou en externe. Le titre et les coordonnées de cette personne doivent être publiés sur le site web de l'entreprise ou rendus accessibles par un autre moyen approprié. Une entreprise sans site web n'est pas exemptée : elle doit simplement trouver un autre canal pour rendre cette information accessible.
Une évaluation des facteurs relatifs à la vie privée (EFVP) avant certains traitements
L'EFVP est l'équivalent québécois d'une analyse d'impact relative à la protection des données. Elle devient obligatoire avant : l'acquisition ou la refonte d'un système d'information traitant des renseignements personnels; toute communication de renseignements personnels à l'extérieur du Québec; et la communication de renseignements sans consentement à des fins de recherche ou d'étude statistique. L'EFVP doit être proportionnelle à la sensibilité des renseignements et au volume traité: un projet mineur n'exige pas la même profondeur d'analyse qu'un déploiement à l'échelle de l'entreprise. Les organisations qui gèrent ce processus manuellement gagnent généralement à automatiser leurs évaluations d'impact relatives à la vie privée plutôt que de reconstruire le même formulaire à chaque nouveau projet.
Pour les organisations qui gèrent plusieurs entités ou plusieurs cadres réglementaires en parallèle (Loi 25, RGPD, LPRPDE), documenter chaque EFVP manuellement dans un fichier distinct devient rapidement ingérable. C'est précisément le genre de suivi qu'un module de gestion des évaluations d'impact centralisé, comme celui de la plateforme de gouvernance de la vie privée et de l'IA de Secure Privacy, est conçu pour absorber.
Un droit d'action civile assorti d'un plancher de dommages punitifs
L'article 93.1 accorde à toute personne le droit de réclamer réparation pour l'atteinte illicite à un droit protégé par la loi. Lorsque cette atteinte résulte d'une faute intentionnelle ou lourde, le tribunal doit accorder des dommages punitifs d'au moins 1 000 $, sans égard aux critères habituels d'évaluation de ce type de dommages (Osler). Ce plancher, combiné à la multiplication des fuites de données médiatisées, a créé un terrain fertile pour les recours collectifs en matière de vie privée au Québec (Fasken).
Une confidentialité par défaut, sans intervention de l'utilisateur
Tout produit ou service technologique offert au public doit, par défaut, offrir le plus haut niveau de confidentialité possible, sans que l'utilisateur ait à modifier lui-même ses paramètres. C'est l'inverse du modèle « opt-out caché dans les réglages » encore courant sur plusieurs plateformes.
Des droits élargis pour les personnes concernées
Depuis le 22 septembre 2024, toute personne peut exiger que ses renseignements personnels lui soient communiqués dans un format technologique structuré et couramment utilisé: le droit à la portabilité. S'y ajoutent un droit à la désindexation dans certaines circonstances, et un droit d'être informée lorsqu'une décision est prise à son égard exclusivement sur la base d'un traitement automatisé, avec le droit de connaître les renseignements utilisés et de faire valoir son point de vue. Ces droits ressemblent, dans leur logique, à ceux qui encadrent une demande d'accès aux renseignements personnels (DDA) dans d'autres régimes : une entreprise qui a déjà un processus rodé pour l'un s'adapte plus facilement à l'autre.
Des obligations envers les sous-traitants et les fournisseurs tiers
Une entreprise reste responsable des renseignements personnels qu'elle confie à un sous-traitant. Tout contrat avec un fournisseur qui traite des renseignements personnels pour le compte de l'entreprise doit prévoir les mesures de protection applicables, ce qui rend la gestion contractuelle des fournisseurs un enjeu de conformité à part entière, et non un simple détail juridique.
Des exigences renforcées pour les transferts hors Québec
Avant de communiquer des renseignements personnels à l'extérieur du Québec, y compris vers une autre province canadienne, l'entreprise doit procéder à une EFVP démontrant que les renseignements bénéficieront d'une protection adéquate, notamment par la conclusion d'une entente écrite tenant compte des exigences prévues par la loi.
Des mesures de sécurité proportionnelles au risque
La loi exige des mesures de sécurité proportionnelles à la sensibilité des renseignements, à leur finalité, à leur quantité, à leur répartition et à leur support. En cas d'incident de confidentialité (défini comme tout accès, utilisation ou communication non autorisés, ou toute perte ou tout autre compromis de la sécurité d'un renseignement personnel), l'entreprise doit tenir un registre des incidents et, si l'incident présente un risque de préjudice sérieux, en aviser la CAI et les personnes concernées (Éducaloi via SiteQC).
Qui applique la Loi 25, et comment
L'application de la loi relève de la Commission d'accès à l'information du Québec, un organisme quasi judiciaire qui existait déjà avant la Loi 25 mais dont les pouvoirs ont été considérablement élargis. La CAI reçoit les plaintes, mène des enquêtes, émet des orientations et impose des sanctions. Depuis 2023, ses ressources d'inspection ont été renforcées et le volume de plaintes citoyennes est en hausse constante, selon plusieurs cabinets qui suivent l'évolution de son activité de près.
Un mécanisme d'engagement volontaire existe : une entreprise visée par un manquement peut s'engager auprès de la CAI à corriger la situation ou à en atténuer les conséquences. Si la Commission approuve cet engagement et qu'il est respecté, l'entreprise ne peut pas faire l'objet d'une sanction administrative pécuniaire pour les faits visés par l'engagement.
Il faut être honnête sur un point que plusieurs guides passent sous silence : au moment d'écrire ces lignes, aucune décision publique nommant une entreprise sanctionnée n'a été confirmée par une source primaire vérifiable, malgré des rumeurs de « premières sanctions » qui circulent depuis 2025 dans certains contenus promotionnels non sourcés. Ce que l'on sait avec certitude, c'est que le cadre est opérationnel depuis le 22 septembre 2023, que la CAI a publié les critères précis qu'elle utilise pour calculer ses sanctions, et que ses ressources d'enquête ont augmenté: trois signaux qui pointent vers une application plus active, sans qu'on puisse encore citer un cas précis rendu public.
Sanctions et amendes : deux régimes, pas un seul
C'est l'un des points les plus mal compris de la Loi 25 : il n'existe pas une seule échelle de pénalités, mais deux régimes distincts qui peuvent s'appliquer à des manquements différents.
| Régime | Qui l'impose | Montant maximal | Exemples de manquements visés |
|---|---|---|---|
| Sanction administrative pécuniaire (SAP) | La CAI, sans procès | 10 M$ CAD ou 2 % du chiffre d'affaires mondial, selon le plus élevé | Défaut de désigner un responsable, défaut de déclarer un incident, mesures de sécurité insuffisantes |
| Sanction pénale | Les tribunaux, sur poursuite | 25 M$ CAD ou 4 % du chiffre d'affaires mondial pour une entreprise (5 000 $ à 100 000 $ pour un individu), doublé en cas de récidive | Manquements graves ou répétés, entrave à une enquête de la CAI |
La CAI a publié dès mai 2023 un cadre général précisant sa méthode : elle classe d'abord chaque manquement selon quatre niveaux de gravité (mineur, modéré, sérieux, très sérieux), avec des montants de base allant de 1 000 $ à 15 000 $ pour une entreprise, puis ajuste ce montant à la hausse ou à la baisse selon des facteurs aggravants ou atténuants — la sensibilité du renseignement en cause, le préjudice réel subi, ou encore la bonne foi démontrée par l'entreprise (McCarthy Tétrault). Le plafond de 25 M$ ou 4 % pour la voie pénale place la Loi 25 dans la même tranche de sévérité que le RGPD européen, un rapprochement que la CAI elle-même invoque régulièrement pour justifier la sévérité de son régime.
Loi 25 et LPRPDE : deux régimes qui coexistent, pas un remplacement
La Loi 25 ne remplace pas la loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE, mieux connue sous son acronyme anglais PIPEDA). Les deux coexistent : la Loi 25 s'applique aux entreprises privées pour leurs activités intraprovinciales au Québec, tandis que la LPRPDE continue de s'appliquer aux organisations sous réglementation fédérale et aux transferts interprovinciaux ou internationaux de renseignements personnels.
| Aspect | Loi 25 (Québec) | LPRPDE (fédérale) |
|---|---|---|
| Portée | Entreprises privées avec un lien réel avec le Québec, sans égard à la taille | Organisations sous réglementation fédérale; s'applique aussi dans les provinces sans loi équivalente jugée substantiellement similaire |
| Consentement | Manifeste, libre, éclairé, présenté séparément; exprès pour les renseignements sensibles | Consentement valable requis, mais le texte de loi est nettement moins directif sur sa présentation |
| Responsable désigné | Obligatoire, avec publication des coordonnées | Un responsable doit être identifié, mais l'obligation de publication est moins prescriptive |
| Droits des personnes | Portabilité, désindexation, droit sur les décisions automatisées | Droit d'accès et de rectification; pas de droit à la portabilité équivalent |
| Pouvoir de sanction du régulateur | La CAI peut imposer elle-même des sanctions administratives pécuniaires | Le Commissariat à la protection de la vie privée du Canada ne peut pas imposer d'amende; il enquête, publie des rapports et peut saisir la Cour fédérale |
| Amende maximale | 25 M$ ou 4 % du chiffre d'affaires mondial (voie pénale) | Aucune sanction administrative pécuniaire prévue par la loi actuelle |
La différence la plus significative pour une entreprise québécoise tient au pouvoir de sanction : la CAI peut agir directement, alors que le régulateur fédéral doit passer par les tribunaux pour obtenir une conséquence contraignante. Cette asymétrie explique en grande partie pourquoi les cabinets juridiques traitent désormais la Loi 25, et non la LPRPDE, comme la référence par défaut pour évaluer le risque de conformité d'une entreprise opérant au Québec.
Un mot sur le contexte fédéral, puisqu'il évolue : le projet de loi C-27, qui aurait remplacé la LPRPDE par la Loi sur la protection de la vie privée des consommateurs et introduit une loi encadrant l'intelligence artificielle, est mort au feuilleton lors de la prorogation du Parlement le 6 janvier 2025, dans le contexte de la démission du premier ministre Justin Trudeau (Fasken, DataGuidance). Aucun projet de remplacement n'avait été déposé au moment de la rédaction de ce guide. Concrètement, cela signifie que la modernisation de la loi fédérale reste à l'arrêt, et que la Loi 25 continue d'occuper, seule, le rôle de cadre le plus exigeant pour les entreprises qui traitent des renseignements personnels au Canada.
Comment préparer votre organisation
Une mise en conformité efficace suit rarement l'ordre des articles de loi: elle suit l'ordre des risques réels. Voici les priorités concrètes, dans l'ordre où elles ont généralement le plus d'impact :
- Désigner formellement le responsable de la protection des renseignements personnels et publier ses coordonnées, si ce n'est pas déjà fait.
- Cartographier les renseignements personnels détenus : quoi, où, pourquoi, avec qui ils sont partagés. Impossible de protéger ce qu'on n'a pas répertorié.
- Réviser les mécanismes de consentement existants pour s'assurer qu'ils sont manifestes, séparés des autres conditions, et exprès pour tout renseignement sensible.
- Mettre en place un registre des incidents de confidentialité et un processus clair pour évaluer, en cas d'incident, s'il présente un risque de préjudice sérieux.
- Réviser les contrats avec les sous-traitants et fournisseurs pour y intégrer les clauses de protection exigées par la loi.
- Documenter les EFVP pour tout nouveau système ou tout transfert de renseignements hors Québec, avant de lancer le projet, pas après.
- Sensibiliser et former le personnel qui recueille, utilise, communique, conserve ou détruit des renseignements personnels. La loi exige des mesures de gouvernance raisonnables, et une formation adaptée au rôle de chaque personne, continue dans le temps et documentée, est le moyen reconnu d'y répondre.
C'est à l'étape de la cartographie que la plupart des équipes internes perdent le plus de temps, en particulier lorsque les renseignements personnels sont dispersés entre plusieurs outils, filiales ou juridictions. Un registre des activités de traitement centralisé, le module Data Map & ROPA de la plateforme de gouvernance de la vie privée et de l'IA de Secure Privacy, permet de maintenir cette cartographie à jour automatiquement plutôt que dans un fichier Excel qui devient obsolète après le premier trimestre.
Et le RGPD, dans tout ça?
Une organisation québécoise qui a aussi une clientèle ou des activités en Europe reste soumise au RGPD pour cette portion de ses traitements. La Loi 25 ne la dispense de rien à cet égard, et l'inverse est également vrai. Les deux régimes partagent des concepts proches (consentement, analyse d'impact, droit à la portabilité), ce qui simplifie la mise en conformité conjointe pour une entreprise qui bâtit un programme de gouvernance unique couvrant plusieurs juridictions, plutôt que des programmes séparés qui se dédoublent. Mais pour l'écrasante majorité des entreprises qui n'opèrent qu'au Québec ou ailleurs au Canada, le RGPD n'est pas une préoccupation directe — c'est la Loi 25, avec ou sans la LPRPDE en complément, qui détermine l'essentiel du risque de conformité.
Foire aux questions
Qu'est-ce qu'un incident de confidentialité selon la Loi 25?
Un incident de confidentialité est tout accès, toute utilisation ou toute communication non autorisés d'un renseignement personnel, ainsi que toute perte ou tout autre compromis de sa sécurité. L'obligation de notifier la CAI et les personnes concernées ne s'applique que si l'incident présente un risque de préjudice sérieux, évalué notamment selon la sensibilité du renseignement et la probabilité qu'il soit utilisé à des fins préjudiciables.
Une entreprise doit-elle déclarer l'utilisation de caractéristiques biométriques à la CAI?
Oui, si la banque de données biométriques sert à identifier ou authentifier une personne par un moyen technologique. Cette déclaration doit être faite à la CAI au moins 60 jours avant la mise en service de la banque, en plus d'obtenir le consentement exprès des personnes concernées, puisque les renseignements biométriques sont considérés comme sensibles.
À partir de quel âge un mineur peut-il consentir lui-même à la collecte de ses renseignements personnels?
À partir de 14 ans, un mineur peut consentir lui-même. Pour un enfant de moins de 14 ans, le consentement doit venir du titulaire de l'autorité parentale ou du tuteur, sauf si la collecte est manifestement au bénéfice du mineur, par exemple dans une situation d'urgence médicale.
La Loi 25 s'applique-t-elle à une entreprise qui n'a pas d'établissement physique au Québec?
Elle peut s'appliquer si l'entreprise a un lien réel et important avec le Québec, par exemple si elle offre activement ses services à des consommateurs québécois et traite leurs renseignements personnels dans ce cadre. L'absence de bureau physique n'est pas, à elle seule, un motif d'exclusion.
Quelle est la différence entre une sanction administrative pécuniaire et une sanction pénale sous la Loi 25?
La sanction administrative pécuniaire est imposée directement par la CAI, sans procès, et peut atteindre 10 M$ ou 2 % du chiffre d'affaires mondial. La sanction pénale est imposée par un tribunal à la suite d'une poursuite, et vise les manquements les plus graves, avec un plafond pouvant atteindre 25 M$ ou 4 % du chiffre d'affaires mondial pour une entreprise.
Une petite entreprise québécoise doit-elle vraiment se conformer à la Loi 25?
Oui. La loi ne prévoit aucune exemption fondée sur la taille de l'entreprise ou son chiffre d'affaires. Un travailleur autonome qui tient un fichier de clients contenant des renseignements personnels est visé exactement comme une grande entreprise, même si l'ampleur des obligations pratiques (registre des incidents, EFVP) sera proportionnelle au volume de renseignements traités.
La conformité à la Loi 25 n'est pas un exercice ponctuel qu'on referme une fois le calendrier 2022-2024 dépassé. C'est un programme continu, et la CAI a maintenant les moyens de le vérifier. Pour les organisations qui doivent jongler avec la Loi 25 en parallèle du RGPD, de la LPRPDE, ou d'autres régimes internationaux, gérer chaque cadre réglementaire dans un système séparé multiplie le risque d'oubli. La plateforme de gouvernance de la vie privée et de l'IA de Secure Privacy centralise la cartographie des données (Data Map & ROPA), le traitement des demandes d'accès (gestion des DDA), les évaluations des facteurs relatifs à la vie privée et la gestion multi-entités couvrant plus de 60 réglementations à la fois, dont la Loi 25, le RGPD et la LPRPDE. Réservez une démonstration pour voir comment elle s'applique à votre structure.
