# Loi 25 : répondre aux personnes concernées en 30 jours > Les cinq droits que la Loi 25 accorde aux personnes, le délai de 30 jours et une façon de répondre par écrit à chaque demande. - URL: https://nextit.tech/fr/blogue/demandes-des-personnes-concernees-sous-la-loi-25/ - Language: Français - Other language: https://nextit.tech/blog/data-subject-requests-under-law-25/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # Demandes des personnes concernées sous la Loi 25 : comment répondre dans les 30 jours Équipe Confidentialité NextIT 15 oct. 2026 6 min de lecture Une ancienne cliente vous écrit. Elle demande une copie de tout ce que vous détenez à son sujet, dans un format qu’elle peut transmettre à une autre entreprise. Savez-vous où se trouvent ces renseignements, et qui répondra ? ## Ce qu’est une demande de la personne concernée Une **demande de la personne concernée** est une demande écrite par laquelle une personne veut exercer un droit sur ses renseignements personnels. Pensez-y comme à une lettre officielle, datée. Elle exige une réponse claire, par écrit, dans un délai fixé. La demande peut venir de toute personne dont vous détenez des renseignements : clients, visiteurs du site, candidats à un emploi, anciens employés. Chacune a les mêmes droits. Elle peut arriver par courriel, par lettre ou par un formulaire en ligne. Vérifiez donc chaque canal. La Loi 25 accorde cinq droits aux personnes : - **Accès :** la personne peut consulter les renseignements personnels que vous détenez à son sujet. - **Rectification :** la personne peut vous demander de corriger des renseignements erronés ou incomplets. - **Retrait du consentement :** la personne peut retirer son consentement à l’utilisation de ses renseignements. - **Désindexation :** la personne peut demander que cessent la diffusion de ses renseignements et que soient retirés les liens qui y donnent accès. - **Portabilité :** depuis septembre 2024, la personne peut obtenir une copie de ses renseignements dans un format technologique structuré et couramment utilisé. La portabilité est le droit le plus récent. Choisissez le format avant l’arrivée de la première demande. La copie ne couvre que les renseignements de la personne, pas toute votre base de données, et elle doit être dans un format qu’une autre entreprise peut lire. ## Pourquoi cela compte pour une PME Les personnes peuvent vous poursuivre en dommages-intérêts, et des dommages punitifs s’appliquent aux atteintes intentionnelles ou causées par une négligence grossière. Une réponse tardive est facile à prouver, parce que la demande porte une date. Le délai de 30 jours est aussi court lorsque les renseignements sont dispersés dans plusieurs outils. Chaque outil doit avoir un responsable, sinon la recherche s’arrête. Si la recherche traîne, la réponse traîne aussi. Une réponse tardive ou incomplète nuit à la confiance. La confiance se rebâtit difficilement, et une petite entreprise en dépend. Une demande met aussi vos registres à l’épreuve. Si vous ne trouvez pas un renseignement, vous découvrez que vos registres sont incomplets. Comblez cet écart avant la prochaine demande, pas pendant. Votre responsable de la protection des renseignements personnels est le propriétaire naturel de ce processus. Par défaut, c’est la personne qui détient la plus haute autorité, souvent le PDG. Ce rôle peut être délégué par écrit. La LPRPDE (PIPEDA), la loi fédérale sur la protection des renseignements personnels dans le secteur privé, peut aussi s’appliquer si votre entreprise exerce des activités à l’extérieur du Québec. Elle énonce dix principes d’équité dans le traitement de l’information, et l’accès individuel en est un. Concrètement, une personne peut demander ce que vous détenez à son sujet, et vous devez répondre. Le même principe couvre la correction. Demandez à votre conseiller comment la LPRPDE s’applique à votre entreprise. Les registres servent aussi lors d’un audit. Un auditeur qui demande comment vous avez traité la dernière demande reçoit une réponse datée, pas un souvenir. ## Comment répondre à une demande Préparez les étapes avant l’arrivée de la première demande. Mettez-les sur une page, nommez un responsable et parcourez une fois une demande d’exercice. Les étapes ci-dessous couvrent une demande du début à la fin. 1. **Consignez la demande le jour où elle arrive.** Notez la date, le droit demandé et le canal utilisé. Attribuez-lui un numéro de référence pour la retrouver. 2. **Vérifiez l’identité de la personne.** Demandez seulement ce qu’il faut pour confirmer qui elle est. Ne recueillez pas de nouveaux renseignements juste pour la vérifier. Si quelqu’un agit pour une autre personne, vérifiez qu’il en a le pouvoir. 3. **Cherchez dans chaque outil qui peut contenir ces renseignements.** Vérifiez le courriel, le dossier client, la paie, les dossiers partagés et les données que vos fournisseurs détiennent pour vous. La liste de vos logiciels indique quels outils consulter. Demandez à chaque propriétaire d’outil de confirmer ce qu’il détient. 4. **Examinez ce que vous avez trouvé.** Ne gardez que les renseignements de la personne qui demande. Retirez les renseignements sur d’autres personnes avant tout envoi. 5. **Répondez par écrit, dans les 30 jours.** Utilisez un langage simple. Pour une demande de portabilité, envoyez la copie dans un format structuré et couramment utilisé. Dites ce que vous avez fait et joignez ce que vous avez envoyé. Une bonne réponse confirme ce que vous détenez, remet la copie ou la correction, et indique la date. 6. **Conservez un registre.** Gardez la demande, votre recherche, votre réponse et la date d’envoi. Ce registre est votre preuve. 7. **Si vous refusez, donnez vos motifs.** Expliquez la raison en termes simples, dans la réponse écrite, et conservez-la au dossier. Un refus reste une réponse, donc il suit les mêmes règles : écrit, daté et consigné. Une demande bien traitée demande du temps la première fois. Une fois le responsable, les étapes et les outils connus, la demande suivante emprunte le même chemin. ## Les erreurs courantes - **Commencer en retard.** La demande dort dans la boîte d’un représentant pendant une semaine. Acheminez chaque demande à une personne désignée le jour même. - **Ne chercher que dans un outil.** Le courriel est vérifié, mais pas le dossier client ni le partage de fichiers. - **Oublier une source.** La première réponse rate un outil, et la personne doit redemander. - **Oublier le format de la portabilité.** Une page numérisée ne se réutilise pas facilement ailleurs. - **Demander trop pour vérifier l’identité.** Chaque détail superflu recueilli est un renseignement de plus à protéger. - **Envoyer les données à la mauvaise personne.** Une copie envoyée à une adresse non vérifiée devient un incident de confidentialité. Consignez-le dans votre registre des incidents. - **Répondre seulement par téléphone.** Un appel ne laisse aucune réponse écrite, et la Loi 25 exige une réponse écrite. **Bon à savoir :** Cet article est une information générale, et non un avis juridique. Pour vos obligations, consultez un avocat qualifié. ## Comment NextIT vous aide `Demandes de portabilité` traitent les demandes de la personne concernée grâce à un lien public de demande. Le guide des [demandes des personnes concernées](https://nextit.tech/fr/docs/demandes-des-personnes-concernees/) présente le module. L’inventaire des logiciels liste les outils que vous utilisez, ce qui vous aide à repérer où se trouvent les renseignements personnels. Pour voir le module avec vos propres données, [réservez une démonstration](https://nextit.tech/fr/reserver-une-demo/). Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Confidentialité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Confidentialité NextIT aide les PME québécoises et canadiennes à respecter la Loi 25 et la LPRPDE sans service de conformité dédié, de la première liste de contrôle jusqu’à l’audit. ### Plus d’articles de NextIT - [La Loi 25 expliquée : ce que la loi québécoise exige des PME 27 oct. 2026](https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/) - [Le cadre de cybersécurité 2.0 du NIST expliqué aux PME 27 oct. 2026](https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/) - [Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige 27 oct. 2026](https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/) - [SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer 27 oct. 2026](https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada