# La Loi 25 expliquée : ce qu’elle exige des PME > Ce qu’est la Loi 25, à qui elle s’applique, les obligations d’une petite entreprise, leurs dates d’entrée en vigueur et les sanctions, en termes simples. - URL: https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/ - Language: Français - Other language: https://nextit.tech/blog/law-25-explained-what-quebecs-privacy-law-asks-of-smbs/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # La Loi 25 expliquée : ce que la loi québécoise exige des PME Équipe Confidentialité NextIT 27 oct. 2026 7 min de lecture Vous entendez parler de la Loi 25 par un client, par votre comptable ou par une bannière de témoins. Chacun en décrit une partie différente. Cet article rassemble les morceaux : ce qu’est la loi, qui elle vise, ce qu’elle exige et comment une petite entreprise peut l’aborder. ## Ce qu’est la Loi 25 La Loi 25 est le nom courant du projet de loi 64, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels. Le Québec l’a adoptée en septembre 2021, comme chapitre 25 des lois de cette année. Elle a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), qui s’appliquait déjà aux entreprises du Québec. Pensez à une mise à jour du code du bâtiment. L’immeuble reste le même, mais de nouvelles règles disent où placer les détecteurs de fumée et qui les vérifie. La Loi 25 fait la même chose pour les renseignements personnels. Un renseignement personnel est tout renseignement qui concerne une personne physique et permet de l’identifier, directement ou indirectement. Un nom, une adresse courriel et un relevé de paie en sont des exemples. ## Pourquoi cela compte pour une PME La loi sur le secteur privé vise les renseignements personnels qu’une personne recueille, détient, utilise ou communique dans l’exploitation d’une entreprise. En pratique, elle s’applique à la plupart des organisations qui exercent leurs activités au Québec. Elle ne fixe aucune taille minimale. Certaines obligations s’ajustent toutefois : vos politiques de gouvernance doivent être proportionnées à la nature et à l’ampleur de vos activités. La LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé, s’applique encore au Québec aux entreprises de compétence fédérale, comme les banques. Elle s’applique aussi aux renseignements personnels qui franchissent une frontière provinciale ou nationale. Les règles sont entrées en vigueur en trois phases : - **22 septembre 2022 :** le responsable de la protection des renseignements personnels, le registre des incidents de confidentialité et l’avis en cas d’incident grave. - **22 septembre 2023 :** la plupart des autres règles, dont les politiques de gouvernance, les évaluations des facteurs relatifs à la vie privée, le consentement, la transparence, la désindexation, la communication à l’extérieur du Québec et les nouvelles sanctions. - **22 septembre 2024 :** le droit à la portabilité des données. Les sanctions sont importantes. La Commission d’accès à l’information (CAI), l’organisme de surveillance au Québec, peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé. Pour une entreprise, les amendes pénales vont de 15 000 $ à 25 millions $, ou 4 % du chiffre d’affaires mondial si ce montant est plus élevé. Les amendes doublent en cas de récidive. Un tribunal accorde aussi des dommages-intérêts punitifs d’au moins 1 000 $ lorsque l’atteinte est intentionnelle ou résulte d’une faute lourde. ## Ce que la loi exige Les obligations se regroupent en sept volets. ### Un responsable de la protection des renseignements personnels La personne ayant la plus haute autorité dans l’entreprise, souvent le PDG, exerce la fonction de responsable de la protection des renseignements personnels. Elle peut déléguer tout ou partie de cette fonction par écrit. Vous publiez le titre et les coordonnées du responsable sur votre site Web. ### Des politiques de gouvernance et une politique de confidentialité Vous établissez des politiques et des pratiques de gouvernance pour les renseignements personnels. Elles encadrent la conservation et la destruction des renseignements, le rôle de chaque membre du personnel et le traitement des plaintes. Le responsable les approuve. Vous publiez de l’information détaillée à leur sujet sur votre site Web, en termes simples et clairs. Si vous recueillez des renseignements par un moyen technologique, comme un site Web ou une application, vous publiez aussi une politique de confidentialité. ### La transparence et le consentement Au moment de la collecte, vous informez la personne des fins, des moyens et de ses droits. Recueillez seulement les renseignements nécessaires aux fins que vous avez fixées. Le consentement doit être manifeste, libre et éclairé, et donné à des fins spécifiques. Un renseignement sensible, comme une donnée de santé ou biométrique, exige un consentement exprès. Un produit ou un service offert au public doit utiliser par défaut ses paramètres les plus protecteurs, sauf pour les témoins de navigation. ### Les évaluations des facteurs relatifs à la vie privée Une évaluation des facteurs relatifs à la vie privée (EFVP) examine les risques d’un projet pour la vie privée. Elle est exigée pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique de services qui touche des renseignements personnels. Consultez le responsable dès le début du projet. ### La communication à l’extérieur du Québec Avant que des renseignements personnels quittent le Québec, vous réalisez une EFVP. Elle tient compte de la sensibilité des renseignements, de leur finalité, des mesures de protection et des lois de l’endroit visé. Vous ne communiquez les renseignements que s’ils bénéficient d’une protection adéquate, selon une entente écrite. La même règle s’applique quand un fournisseur hors du Québec recueille, utilise ou conserve les renseignements pour vous. ### Les incidents de confidentialité Un incident de confidentialité est un accès, une utilisation ou une communication d’un renseignement personnel que la loi n’autorise pas, ou sa perte. Dès que vous soupçonnez un incident, prenez des mesures raisonnables pour diminuer le risque de préjudice. Consignez chaque incident dans un registre, quelle que soit sa gravité. Si l’incident présente un risque de préjudice sérieux, avisez promptement la CAI et les personnes concernées. La CAI peut demander une copie du registre. ### Les droits des personnes concernées Les personnes peuvent demander l’accès à leurs renseignements personnels et leur rectification. Depuis septembre 2024, elles peuvent aussi en obtenir une copie dans un format technologique structuré et couramment utilisé. Dans certains cas, une personne peut exiger que vous cessiez de diffuser ses renseignements ou que vous désindexiez un lien rattaché à son nom. Vous répondez par écrit aux demandes d’accès et de rectification, dans les 30 jours. Notre [guide sur les demandes des personnes concernées](https://nextit.tech/fr/blogue/demandes-des-personnes-concernees-sous-la-loi-25/) présente les étapes. ## Comment aborder le sujet Commencez par les obligations qui vous protègent le plus, puis bâtissez le reste par-dessus. 1. Désignez le responsable, par écrit si vous déléguez, et publiez son titre et ses coordonnées. 2. Ouvrez le registre des incidents dès maintenant, avant d’en avoir besoin. Décidez qui consigne un incident et qui décide de l’avis. 3. Dressez la liste des logiciels et des fournisseurs qui détiennent des renseignements personnels, et notez ceux qui les conservent hors du Québec. 4. Réalisez une EFVP pour chaque nouveau système et chaque communication hors du Québec. Conservez le résultat avec le contrat. 5. Rédigez vos politiques de gouvernance et votre politique de confidentialité en termes simples, puis publiez-les. 6. Préparez un processus pour les demandes d’accès, de rectification et de portabilité, afin de répondre dans les 30 jours. Notre [liste de contrôle pratique pour la Loi 25](https://nextit.tech/fr/blogue/la-loi-25-en-2026-une-liste-de-controle-pratique-pour-les-pme/) transforme les obligations principales en cinq tâches, chacune avec un responsable et une preuve. ## Erreurs courantes - Croire que la loi vise seulement les grandes entreprises. Elle ne fixe aucun seuil de taille. - Désigner un responsable sans publier son titre ni ses coordonnées. - Consigner seulement les incidents graves. Le registre couvre chaque incident. - Oublier que la même évaluation s’applique à un outil infonuagique qui conserve vos données hors du Québec. - Traiter la Loi 25 comme un projet qui se termine. Les politiques, les évaluations et le registre demandent une révision régulière. **Bon à savoir :** Cet article présente une information générale, et non un avis juridique. Pour vos obligations, consultez un avocat qualifié. ## Comment NextIT vous aide NextIT regroupe au même endroit le travail principal de la Loi 25. Le registre des incidents de sécurité consigne chaque incident et vous aide à rédiger un avis d’atteinte. Dans Confidentialité et conformité, vous réalisez des évaluations des facteurs relatifs à la vie privée et tenez votre registre des activités de traitement. Le générateur de politique de confidentialité rédige une politique visant la Loi 25 à partir du profil de votre entreprise. Le [guide Confidentialité et conformité](https://nextit.tech/fr/docs/confidentialite-et-conformite/) et le [guide Gestion des incidents](https://nextit.tech/fr/docs/gestion-des-incidents/) présentent chaque volet. Pour voir comment cela s’applique à votre entreprise, [réservez une démonstration](https://nextit.tech/fr/reserver-une-demo/). Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Confidentialité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Confidentialité NextIT aide les PME québécoises et canadiennes à respecter la Loi 25 et la LPRPDE sans service de conformité dédié, de la première liste de contrôle jusqu’à l’audit. ### Plus d’articles de NextIT - [Le cadre de cybersécurité 2.0 du NIST expliqué aux PME 27 oct. 2026](https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/) - [Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige 27 oct. 2026](https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/) - [SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer 27 oct. 2026](https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) - [Conformité 101 pour les PME : cadres, contrôles et preuves en termes simples 15 oct. 2026](https://nextit.tech/fr/blogue/conformite-101-cadres-controles-et-preuves/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada