# Loi 25 en 2026 : liste de contrôle pratique pour les PME > Les cinq obligations de toute entreprise québécoise, ce que chacune implique au quotidien et comment garder les preuves prêtes pour un audit. - URL: https://nextit.tech/fr/blogue/la-loi-25-en-2026-une-liste-de-controle-pratique-pour-les-pme/ - Language: Français - Other language: https://nextit.tech/blog/law-25-in-2026-a-practical-compliance-checklist-for-smbs/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # La Loi 25 en 2026 : une liste de contrôle pratique pour les PME Équipe Confidentialité NextIT 1er oct. 2026 4 min de lecture **En bref :** les cinq obligations de la Loi 25 en un coup d’œil | Obligation | Ce que ça signifie pour vous | Dans NextIT | | --- | --- | --- | | Responsable | Désignez-en un et publiez son titre et ses coordonnées. | Conformité | | Registre des incidents | Consignez chaque incident ; avisez la CAI en cas de risque de préjudice sérieux. | Incidents | | Évaluations EFVP | Évaluez le risque avant un nouveau système ou un transfert hors du Québec. | Confidentialité | | Politiques de gouvernance | Publiez des règles claires sur la façon dont vous traitez les renseignements personnels. | Conformité | | Accès et portabilité | Répondez aux demandes des personnes dans un délai de 30 jours. | Demandes | La plupart des PME du Québec savent que la Loi 25 existe. Moins nombreuses sont celles qui savent ce qu’elle exige un mardi ordinaire : qui répond à une question de confidentialité, où l’on consigne un incident et ce qu’un inspecteur demandera à voir. Cette liste transforme la loi en cinq tâches. Chacune a un responsable, une preuve et un endroit où la conserver. Faites-les dans l’ordre et vous serez prêt pour un audit bien avant qu’on vous en demande un. ## Qu’est-ce que la Loi 25 ? La Loi 25 est la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle s’applique à toute entreprise qui détient des renseignements personnels sur des personnes au Québec, quelle que soit sa taille. Ses règles sont entrées en vigueur en trois phases, entre 2022 et 2024. - **Responsabilité :** une personne désignée répond de la protection des renseignements personnels. - **Transparence :** vous publiez vos politiques et expliquez comment vous utilisez les données. - **Gestion des incidents :** vous consignez chaque incident et signalez les plus graves. - **Droits des personnes :** chacun peut consulter, corriger et emporter ses renseignements. Les sanctions peuvent atteindre 25 millions $ ou 4 % du chiffre d’affaires mondial. Pour la plupart des PME, le plus grand risque est un contrat perdu : les grands clients exigent désormais une preuve de conformité avant de signer. ## Une liste de contrôle Loi 25 en cinq étapes ### 1\. Désignez votre responsable Par défaut, c’est votre PDG. Vous pouvez déléguer ce rôle par écrit à une personne qui a le temps de s’en occuper. Publiez son titre et ses coordonnées sur votre site Web. Contrôles Loi 25 72 % complété Responsable désigné Fait Registre des incidents de confidentialité Fait Évaluation des facteurs pour les nouveaux systèmes En cours Politique de gouvernance publiée À faire Processus d’accès et de portabilité En cours La vue Loi 25 suit chaque contrôle, son responsable et ses preuves. Données d’exemple. ### 2\. Ouvrez un registre des incidents de confidentialité Chaque incident va au registre, même un petit : un portable perdu, un courriel envoyé à la mauvaise personne, un partage de fichiers exposé. Lorsqu’un incident présente un risque de préjudice sérieux, vous avisez la Commission d’accès à l’information et les personnes concernées. ### 3\. Évaluez le risque avant de partager des données Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise avant de déployer un nouveau système qui traite des renseignements personnels, et avant que des données quittent le Québec. Notez le fournisseur, consignez la décision et conservez le résultat avec le contrat. **Notre avis franc :** le registre et les évaluations sont là où la plupart des PME prennent du retard. Faciles à lancer et faciles à oublier : donnez à chacun un responsable et une date de révision. ### 4\. Publiez vos politiques de gouvernance Décrivez comment vous recueillez, conservez et détruisez les renseignements personnels, et qui peut les consulter. Employez un langage clair et publiez le tout là où les gens peuvent le trouver. ### 5\. Préparez-vous aux demandes d’accès et de portabilité Les personnes peuvent demander à consulter leurs renseignements, à les faire corriger ou à en obtenir une copie à emporter ailleurs. Vous avez 30 jours pour répondre : convenez des étapes avant que la première demande arrive. ## Questions fréquentes ### La Loi 25 s’applique-t-elle à une entreprise de 10 personnes ? Oui. La loi s’applique à toute entreprise qui détient des renseignements personnels sur des personnes au Québec, sans taille minimale. ### Qui peut être le responsable ? Le PDG par défaut. Le PDG peut déléguer ce rôle par écrit à tout employé ou à un expert externe. ### Combien de temps faut-il pour devenir conforme ? De quelques semaines en autonomie à un déploiement entièrement accompagné, selon l’aide que vous souhaitez. Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Confidentialité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Confidentialité NextIT aide les PME québécoises et canadiennes à respecter la Loi 25 et la LPRPDE sans service de conformité dédié, de la première liste de contrôle jusqu’à l’audit. ### Plus d’articles de NextIT - [La Loi 25 expliquée : ce que la loi québécoise exige des PME 27 oct. 2026](https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/) - [Le cadre de cybersécurité 2.0 du NIST expliqué aux PME 27 oct. 2026](https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/) - [Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige 27 oct. 2026](https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/) - [SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer 27 oct. 2026](https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada