En une phrase. La Loi 25 (« Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », sanctionnée en septembre 2021, ex-projet de loi 64) a modifié les lois québécoises du secteur privé et du secteur public en trois vagues — 22 septembre 2022, 2023 et 2024 — imposant aux entreprises un responsable de la protection des renseignements personnels, la notification des incidents de confidentialité, des évaluations des facteurs relatifs à la vie privée (EFVP), un consentement renforcé et la portabilité, sous le contrôle de la Commission d’accès à l’information (CAI), avec des sanctions administratives jusqu’à 10 M$ CA ou 2 % du chiffre d’affaires mondial et des sanctions pénales jusqu’à 25 M$ CA ou 4 %.
Pour les entreprises francophones, le Québec est souvent le premier marché nord-américain — et la Loi 25 la première rencontre avec un « RGPD d’Amérique ». La parenté est réelle et assumée par le législateur québécois, mais les différences de détail (consentement, EFVP obligatoires, transferts hors Québec, régime de sanctions) piègent les conformités transposées telles quelles.
Ce guide présente le calendrier, les obligations en vigueur, les sanctions, la comparaison structurée avec le RGPD, et un plan d’action pour les entreprises européennes actives au Québec. Il complète notre série jurisdictionnelle : RGPD en Suisse, en Belgique et au Luxembourg.
Points clés
- Texte : Loi 25 (2021), modernisant principalement la Loi sur la protection des renseignements personnels dans le secteur privé (« Loi sur le privé ») et son équivalent public.
- Entrée en vigueur en trois vagues : 22 septembre 2022, 22 septembre 2023 (le gros des obligations), 22 septembre 2024 (portabilité).
- Autorité : Commission d’accès à l’information (CAI) — pouvoirs d’enquête, d’ordonnance et de sanction administrative.
- Sanctions administratives : jusqu’à 10 M$ CA ou 2 % du CA mondial ; pénales : jusqu’à 25 M$ CA ou 4 % — des plafonds calqués sur la logique RGPD.
- Obligations phares : responsable de la protection des renseignements personnels, registre des incidents de confidentialité et notification, EFVP (y compris avant communication hors Québec), consentement granulaire, transparence des décisions automatisées, portabilité.
1. Le calendrier en trois vagues
22 septembre 2022
- Désignation d’un responsable de la protection des renseignements personnels (par défaut : le dirigeant le plus haut placé, avec délégation possible) — l’équivalent fonctionnel du DPO européen, publication de son titre et de ses coordonnées sur le site web ;
- Incidents de confidentialité : tenue d’un registre, notification à la CAI et aux personnes concernées de tout incident présentant un risque de préjudice sérieux — le cousin québécois de la notification de violation RGPD, sans le délai fixe de 72 h mais « avec diligence » ;
- Encadrement de la communication de renseignements à des fins d’étude ou de recherche.
22 septembre 2023 — le cœur de la réforme
- Politiques et pratiques de gouvernance publiées en termes simples et clairs ;
- EFVP (évaluation des facteurs relatifs à la vie privée) obligatoire pour tout projet d’acquisition, de développement ou de refonte de système impliquant des renseignements personnels, et avant toute communication hors Québec — plus systématique que l’AIPD européenne, réservée aux traitements à risque élevé ;
- Consentement : manifeste, libre, éclairé, à des fins spécifiques, demandé « en termes simples et clairs » et séparément de toute autre information ; consentement exprès pour les renseignements sensibles ;
- Transparence des décisions automatisées et des technologies d’identification, de localisation ou de profilage (avec possibilité de désactivation) ;
- Confidentialité par défaut : lorsqu’une entreprise offre au public un produit ou un service technologique doté de paramètres de confidentialité, ceux-ci doivent assurer par défaut le niveau le plus élevé, sans intervention de la personne. Les paramètres d’un témoin de connexion sont exclus de cette règle (article 9.1 de la Loi sur le privé) ;
- Destruction ou anonymisation des renseignements une fois les fins accomplies (voir notre guide de l’anonymisation) ;
- Droit à l’oubli à la québécoise : désindexation et cessation de diffusion dans certaines conditions.
22 septembre 2024
- Droit à la portabilité : communication des renseignements personnels informatisés dans un format technologique structuré et couramment utilisé — l’écho direct de l’article 20 RGPD.
2. Les sanctions : un régime à deux étages
Pour les entreprises relevant de la Loi sur le privé, les voies de sanction sont distinctes :
| Régime | Plafond | Prononcé par |
|---|---|---|
| Sanctions administratives pécuniaires | 10 M$ CA ou 2 % du chiffre d’affaires mondial | CAI |
| Sanctions pénales | 25 M$ CA ou 4 % du chiffre d’affaires mondial (doublées en cas de récidive) | Tribunal, sur poursuite |
| Dommages-intérêts punitifs | Minimum légal de 1 000 $ lorsque les conditions de l’article 93.1 sont réunies | Tribunaux civils |
Les dommages punitifs civils obéissent à des conditions distinctes des sanctions administratives et pénales; une action collective éventuelle exige encore l’examen des faits et de la procédure applicable.
3. Loi 25 vs RGPD : la comparaison utile
| Sujet | Loi 25 | RGPD |
|---|---|---|
| Champ | Renseignements personnels, entreprises exerçant au Québec | Données personnelles, champ extraterritorial (art. 3) |
| Bases légales | Consentement au centre, exceptions limitées | 6 bases légales alternatives, dont l’intérêt légitime |
| Analyse d’impact | EFVP pour les projets et communications hors Québec visés par la loi | AIPD si risque élevé (art. 35) |
| Violation / incident | Notification si « risque de préjudice sérieux », « avec diligence » | Notification sous 72 h sauf absence de risque |
| Gouvernance | Responsable PRP (dirigeant par défaut) | DPO obligatoire par critères (art. 37) |
| Transferts | EFVP avant communication hors Québec (protection adéquate) | Chapitre V : adéquation, CCT, BCR (guide transferts) |
| Portabilité | Depuis sept. 2024, données informatisées | Art. 20, données fournies, traitement automatisé |
| Sanctions max | 25 M$ CA / 4 % (pénal) | 20 M€ / 4 % (administratif) |
Deux différences structurantes pour un acteur européen :
- Pas d’intérêt légitime général : le droit québécois reste bâti sur le consentement et des exceptions énumérées. Des traitements confortablement assis sur l’intérêt légitime en Europe (prospection B2B, certaines analyses) exigent une base différente au Québec.
- L’EFVP se décide par déclencheur légal : projet d’acquisition, de développement ou de refonte d’un système ou d’une prestation électronique impliquant des renseignements personnels, et communication hors Québec. Une méthode de collecte des faits, de décision et de revue facilite ces évaluations sans les réduire à un formulaire automatique.
À noter enfin : le Canada bénéficie d’une décision d’adéquation européenne partielle (couvrant les traitements commerciaux sous PIPEDA), réexaminée et maintenue par la Commission européenne en janvier 2024 — certains flux UE→Canada couverts par cette décision peuvent bénéficier du mécanisme d’adéquation, sous réserve de son champ (voir la liste des pays reconnus adéquats).
4. Plan d’action pour une entreprise européenne active au Québec
- Qualifier l’exposition : vendez-vous, employez-vous ou traitez-vous des renseignements de résidents québécois ? La CAI précise qu’une organisation extérieure au Québec peut être assujettie lorsqu’elle traite des renseignements dans le cadre de ses activités d’entreprise au Québec; le seul accès possible à un site depuis le Québec ne suffit pas à conclure sans analyse.
- Désigner et publier le responsable de la protection des renseignements personnels.
- Adapter le consentement : granularité, termes simples, consentement exprès pour les données sensibles, désactivation du profilage — votre CMP et vos parcours européens (consentement RGPD) sont une base, pas un produit fini.
- Industrialiser les EFVP : gabarit, critères, registre des évaluations — y compris pour les transferts Québec→France, qui exigent une EFVP côté québécois.
- Brancher les incidents : étendre votre procédure de violation RGPD au registre et aux critères québécois (« risque de préjudice sérieux », notification CAI).
- Réviser contrats et sous-traitance : les communications à des tiers et mandataires doivent être encadrées par écrit — logique proche de l’article 28 RGPD.
Qualifier une activité québécoise avant de réutiliser le programme RGPD
La première question est celle du secteur et de l’activité. La Loi 25 a modifié plusieurs textes, mais une société commerciale doit d’abord lire la Loi sur la protection des renseignements personnels dans le secteur privé. La Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels impose un autre régime aux organismes publics. Une société qui fournit un logiciel à une municipalité ne devient pas, pour cette seule raison, un organisme public : il faut distinguer ses propres fichiers, son rôle contractuel et les données confiées par le client. Les règles propres aux renseignements de santé et de services sociaux exigent aussi une qualification distincte.
Prenons une entreprise française qui facture des abonnements à des clients montréalais et exploite un service client en français. Elle doit relever les opérations réellement liées à cette activité : création de compte, paiement, assistance, analyses de fréquentation et envoi commercial. Pour chacune, elle identifie la personne qui détient les renseignements, le lieu d’accès, le prestataire éventuel et la finalité. Une cartographie des données peut aider à retrouver ces flux, à condition d’y ajouter les rôles et lieux propres au Québec. Ce dossier factuel permet d’étudier l’assujettissement sans affirmer qu’une simple visite du site depuis Montréal équivaut à exercer une entreprise au Québec. La fiche de champ d’application de la CAI est le point de départ officiel.
Décider quand réaliser une EFVP
L’EFVP doit intervenir dès le début d’un projet d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique qui implique des renseignements personnels. Ce n’est pas une formalité systématique pour chaque opération quotidienne inchangée. Un changement de fournisseur de CRM, l’ajout d’une fonction de géolocalisation ou une refonte de l’espace client justifient une analyse de projet, avec les équipes qui connaissent effectivement les données et les risques. Le guide de la CAI sur l’EFVP aide à documenter les mesures proposées; son exemple doit être adapté à l’opération.
Une autre EFVP est requise avant une communication de renseignements personnels hors du Québec. L’évaluation considère notamment la sensibilité, les finalités, les mesures de protection et le cadre juridique applicable dans le lieu de destination. Si l’article 17 s’applique et que l’EFVP conclut à une protection adéquate, la communication doit faire l’objet d’une entente écrite tenant compte notamment des résultats de l’évaluation et, s’il y a lieu, des mesures convenues pour atténuer les risques. Cette entente ne remplace pas la conclusion documentée sur la protection adéquate; l’article 17 prévoit une exception pour la communication d’urgence visée à l’article 18, premier alinéa, paragraphe 7°. Le transfert Québec–France ne s’efface pas parce que la France applique le RGPD. À l’inverse, cette EFVP québécoise ne remplace pas l’analyse du chapitre V du RGPD pour un flux venant de l’EEE. Il faut décrire les deux sens du flux avant de choisir les documents pertinents.
Traiter un incident selon son risque réel
La CAI explique qu’un accès non autorisé, une utilisation ou communication non autorisée, une perte ou une autre atteinte à la protection des renseignements peut constituer un incident. L’entreprise prend d’abord les mesures raisonnables pour diminuer les risques et empêcher la répétition. Elle consigne l’incident au registre même si l’évaluation ne conduit pas à un avis externe. Un modèle de registre des violations peut servir de structure, après adaptation aux critères québécois. Si le risque de préjudice est sérieux, l’avis à la CAI et aux personnes concernées doit partir avec diligence; il n’existe pas ici de transposition automatique du délai de 72 heures du RGPD.
Par exemple, l’envoi accidentel à un mauvais destinataire d’un fichier de rendez-vous médicaux réclame immédiatement une recherche du destinataire, une tentative de retrait, une analyse de la sensibilité et de la probabilité d’usage préjudiciable. Une perte de données chiffrées avec clés restées intactes appelle une analyse différente, mais doit tout de même être enregistrée. Le responsable de la protection des renseignements personnels participe à l’évaluation. Si le même fait touche des personnes dans l’EEE, la procédure RGPD de notification se mène en parallèle selon ses propres critères.
Consentement, droits et preuve de la réponse
Le consentement doit correspondre à une fin déterminée et être demandé de façon compréhensible. Il n’est toutefois pas exact de dire qu’il constitue la seule voie possible : la Loi sur le privé prévoit des situations où la collecte, l’utilisation ou la communication peut être autorisée sans consentement. Une équipe habituée à l’intérêt légitime du RGPD ne doit donc pas copier sa conclusion européenne; elle doit identifier la disposition québécoise applicable et la finalité réelle. La distinction est particulièrement utile pour la sécurité du service, la prévention de la fraude et les échanges avec des prestataires.
Pour une fonction qui suit la localisation, l’identification ou le profilage, expliquez la technologie et les moyens de l’activer avant sa première utilisation, puis prévoyez la possibilité de la désactiver lorsque la loi l’exige. Pour une décision fondée exclusivement sur un traitement automatisé, préparez une information sur la décision, les renseignements utilisés et la possibilité de faire valoir des observations. Une simple phrase « nous utilisons l’intelligence artificielle » ne permet pas d’exercer ces droits.
Le droit de recevoir certains renseignements personnels informatisés dans un format technologique structuré et couramment utilisé est entré en vigueur en septembre 2024. Il comporte des conditions et exceptions : il ne transforme pas toute note interne, tout dossier papier ou tout renseignement créé par analyse en fichier portable. Documentez le périmètre de chaque demande, l’identité vérifiée, le format remis et les raisons d’une limitation. Une procédure de portabilité RGPD peut inspirer le canal, mais son champ juridique n’est pas identique.
Ne pas transformer les maxima en prédiction de sanction
La CAI présente les sanctions administratives pécuniaires et les poursuites pénales comme deux mécanismes différents. Le maximum administratif de 10 millions de dollars ou 2 % du chiffre d’affaires mondial concerne certains manquements de la Loi sur le privé. Une poursuite pénale peut mener, pour une personne morale, au maximum de 25 millions de dollars ou 4 % prévu pour certaines infractions. Une enquête, un avis de non-conformité, une décision de sanction et un jugement pénal sont des événements différents. Les dommages punitifs civils obéissent encore à leurs propres conditions. Un dossier de direction doit donc évaluer l’exposition juridique et les faits, sans présenter tous ces plafonds comme une amende cumulée ou déjà prononcée.
Le projet fédéral C-27 a été présenté comme une réforme possible de la loi canadienne sur la protection des renseignements personnels dans les activités commerciales. Il ne faut pas le confondre avec la Loi 25 déjà en vigueur ni déduire de son intitulé une obligation actuelle au Québec. Pour une activité interprovinciale, vérifiez séparément les textes fédéraux et provinciaux applicables au flux concerné, puis datez cette analyse.
FAQ
La Loi 25 s’applique-t-elle à une entreprise française sans bureau au Québec ?
Elle peut être assujettie si elle exerce effectivement une activité d’entreprise au Québec et traite des renseignements personnels dans ce cadre, même sans bureau local. Une vente ciblée et suivie à des clients québécois peut être pertinente; l’accès occasionnel à un site depuis le Québec ne permet pas, à lui seul, de trancher. Documentez les faits et appliquez la fiche de la CAI sur le champ d’application.
Une conformité RGPD suffit-elle pour la Loi 25 ?
Elle fournit des pratiques réutilisables de gouvernance, sécurité, droits et incidents, mais aucun pourcentage de couverture ne peut être présumé. Il faut vérifier séparément : consentement plus strict (pas d’intérêt légitime), EFVP systématiques, notification CAI, publication du responsable PRP, portabilité au format québécois.
Qu’est-ce qu’un « incident de confidentialité » ?
Tout accès, utilisation, communication non autorisés ou perte de renseignements personnels. Il doit être consigné au registre ; si un risque de préjudice sérieux existe (sensibilité, conséquences, malveillance), il faut notifier la CAI et les personnes concernées avec diligence.
Quelles sanctions ont déjà été prononcées ?
Ne confondez pas le plafond légal et une sanction effectivement imposée. La page officielle des sanctions de la CAI explique les deux voies, administrative et pénale; pour citer un montant réellement prononcé, il faut identifier la décision et son état procédural.
Conclusion
La Loi 25 présente plusieurs points communs avec le RGPD — consentement renforcé, analyses d’impact, portabilité, sanctions en pourcentage du chiffre d’affaires. Pour une entreprise européenne, la stratégie efficace n’est pas de dupliquer un deuxième programme de conformité, mais d’étendre le socle existant : mêmes registres, mêmes cartographies, mêmes procédures d’incident, avec une surcouche québécoise sur le consentement, les EFVP et la CAI. L’analyse reste à rattacher aux activités québécoises et aux textes qui leur sont applicables.