Portée et définitions

La Loi 25 est une mise à jour majeure de la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP, RLRQ c. P-39.1). Elle impose aux entreprises québécoises des obligations comparables, et parfois plus strictes, que celles du RGPD européen.

À qui s'applique la Loi 25?#

La LPRPSP s'applique à toute personne qui exploite une entreprise au sens de l'article 1525 du Code civil du Québec et qui, dans le cadre de cette entreprise, collecte, détient, utilise ou communique des renseignements personnels, que ce soit sur papier ou sous forme numérique (art. 1 LPRPSP).

Concrètement, cela vise :

• toutes les entreprises privées établies au Québec (inc., enr., coopératives privées, OBNL avec activité économique);
• les entreprises hors Québec qui collectent des renseignements personnels auprès de résidents québécois dans le cadre d'une activité économique (commerce en ligne, services infonuagiques, plateformes numériques);
• les professions libérales (avocats, comptables, médecins, notaires) pour leur cabinet, en plus de leurs obligations déontologiques propres.

Les organismes publics (ministères, municipalités, écoles, hôpitaux) sont assujettis à la Loi sur l'accès (RLRQ c. A-2.1), une loi distincte. Ce guide ne la traite pas.

Depuis quand la Loi 25 est-elle en vigueur?#

La loi a été adoptée en septembre 2021 (projet de loi 64) et est entrée en vigueur par phases :

Date	Obligations activées
22 septembre 2022	Désignation d'un responsable de la protection des RP · Notification obligatoire des incidents de confidentialité à la CAI et aux personnes concernées · Tenue d'un registre des incidents · Communication de RP à des fins d'études, de recherche ou de statistique (art. 21 à 21.0.2)
22 septembre 2023	Consentement renforcé · Droit à l'information · Évaluation des facteurs relatifs à la vie privée (EFVP) · Politique de gouvernance des RP · Limite de la prise de décision automatisée sans intervention humaine
22 septembre 2024	Droit à la portabilité des renseignements personnels, sur demande, dans un format technologique structuré et couramment utilisé

Aujourd'hui (avril 2026), l'ensemble des dispositions est en vigueur. Une entreprise qui n'a pas commencé sa mise en conformité est donc en retard de près de deux ans sur les obligations les plus exigeantes.

Définitions clés#

Renseignement personnel#

Un renseignement personnel est tout renseignement qui concerne une personne physique et qui permet, directement ou indirectement, de l'identifier (art. 2 LPRPSP).

Exemples typiques :

• nom, adresse, numéro de téléphone, courriel;
• numéro d'assurance sociale, numéro d'assurance maladie, permis de conduire;
• adresse IP lorsqu'elle peut être rattachée à un individu identifiable;
• identifiants d'appareil, cookies de suivi persistants;
• dossiers RH, paie, évaluations de rendement;
• dossiers clients (achats, factures, correspondance);
• données biométriques (empreintes, reconnaissance faciale, voix).

À retenir : un renseignement n'a pas besoin d'être sensible pour être protégé. Le salaire ou le numéro de téléphone personnel d'un employé sont des renseignements personnels comme les autres, même s'ils ne sont pas « sensibles » au sens de l'article 12. (Nuance : le nom, le titre et les coordonnées professionnelles d'un employé — courriel et téléphone de son lieu de travail — répondent bien à la définition de l'article 2, mais l'article 1, 5e alinéa, les exclut spécifiquement de l'application des sections II « Collecte » et III « Caractère confidentiel » lorsqu'ils concernent l'exercice de sa fonction dans l'entreprise.)

Renseignement personnel sensible#

Un renseignement est sensible s'il suscite, par sa nature (notamment médicale, biométrique ou intime) ou par le contexte, un haut degré d'attente raisonnable en matière de vie privée (art. 12, 4e alinéa, 2° LPRPSP).

Sont notamment sensibles :

• les renseignements de santé (diagnostics, dossiers médicaux, tests);
• les données biométriques et génétiques;
• les renseignements financiers détaillés (numéros de carte, détails de comptes, solvabilité);
• les renseignements de nature sexuelle ou relatifs à la vie intime;
• les renseignements révélant l'origine ethnique, les opinions religieuses ou politiques, ou la vie syndicale.

Les renseignements sensibles exigent un niveau de protection plus élevé (consentement explicite, chiffrement, journalisation des accès, délais de conservation plus courts).

Personne concernée#

La personne concernée est l'individu à qui se rapportent les renseignements. C'est elle qui détient les droits prévus par la loi (accès, rectification, portabilité, désindexation, retrait du consentement).

Responsable de la protection des renseignements personnels#

Le responsable de la protection des renseignements personnels (souvent abrégé responsable RP) est la personne physique désignée par l'entreprise pour veiller à l'application de la loi (art. 3.1 LPRPSP). Par défaut, c'est la personne qui dirige l'entreprise, mais cette fonction peut (et devrait) être déléguée par écrit à un cadre ou à un mandataire externe.

Ses coordonnées doivent être publiées et accessibles, notamment sur le site web de l'entreprise.

Chez HiloTech, Pascal Dupuis occupe ce rôle en interne (détails publics). Pour les clients, nous accompagnons leur responsable RP sur les aspects TI : outillage, contrôles techniques, cartographie des flux, formation opérationnelle de l'équipe interne. L'analyse juridique et la rédaction des politiques officielles sont prises en charge par un avocat désigné par le client, nous ne remplaçons pas un conseiller juridique.

Collecte, utilisation, communication, conservation#

La loi distingue quatre cycles de vie d'un renseignement personnel :

• Collecte: obtenir le renseignement auprès de la personne concernée ou d'un tiers (art. 5 et s.).
• Utilisation: exploiter le renseignement à l'intérieur de l'entreprise pour une fin précise (art. 12).
• Communication: transmettre le renseignement à un tiers, avec ou sans contrat (art. 18 et s., 18.3); si la communication se fait à l'extérieur du Québec, une évaluation des facteurs relatifs à la vie privée est en plus requise (art. 17).
• Conservation: stocker le renseignement aussi longtemps que nécessaire, puis le détruire ou l'anonymiser (art. 23).

Chaque cycle a ses propres règles et contraintes de consentement. Voir le chapitre Consentement pour le détail.

Ce que la Loi 25 ne couvre PAS#

La loi ne s'applique pas :

• aux renseignements à usage strictement personnel (ex. : carnet d'adresses personnel, journal intime);
• à la collecte, la détention, l'utilisation ou la communication de matériel journalistique, historique ou généalogique à une fin d'information légitime du public (art. 1, 4e al.);
• aux organismes publics, qui sont soumis à la Loi sur l'accès (RLRQ c. A-2.1);
• aux renseignements personnels ayant un caractère public en vertu de la loi (art. 1, 5e al. LPRPSP) — c'est-à-dire les renseignements qu'un texte législatif ou réglementaire désigne lui-même comme publics (ex. : registre foncier, registre des entreprises, certains registres judiciaires), et uniquement pour l'application des sections II « Collecte » et III « Caractère confidentiel » de la loi (les autres obligations, comme la sécurité des renseignements, continuent de s'appliquer). Le fait qu'une personne rende elle-même ses renseignements publics (ex. : profil public sur les réseaux sociaux) ne leur confère pas ce caractère public : la CAI et le Commissariat à la protection de la vie privée du Canada l'ont expressément rejeté dans l'affaire Clearview AI (2021), rappelant qu'« aucune loi au Québec ne confère un caractère public aux renseignements personnels du seul fait qu'ils sont diffusés sur les réseaux sociaux ou le Web ».

Attention : ces exclusions sont interprétées de façon étroite (voir le Guide Loi 25 de la CAI) — un CRM contenant des contacts professionnels trouvés sur LinkedIn est, dans la très grande majorité des cas, considéré comme soumis à la LPRPSP; à confirmer avec votre avocat si votre situation s'en approche.

Liste de contrôle rapide#

• Nous avons identifié qu'au moins certaines de nos activités relèvent de la LPRPSP.
• Nous avons désigné un responsable RP et publié ses coordonnées.
• Nous savons quels renseignements personnels nous collectons, auprès de qui et pour quelles fins.
• Nous avons classé nos renseignements entre ordinaires et sensibles.
• Nous avons documenté les phases du cycle de vie (collecte → utilisation → communication → conservation → destruction).

Erreurs fréquentes que nous voyons sur le terrain#

• « On n'est pas concernés, on est petits. »: La LPRPSP ne prévoit aucun seuil de taille ou de chiffre d'affaires. Une entreprise de 3 employés est assujettie au même régime qu'une entreprise de 3 000.
• Désigner le dirigeant sans le former.: Le responsable RP doit connaître ses obligations. Un dirigeant mal informé engage la responsabilité de l'entreprise en cas d'incident.
• Confondre renseignement personnel et donnée technique.: L'adresse IP d'un visiteur du site web peut constituer un renseignement personnel si elle peut être rattachée à un individu identifiable (notamment en combinaison avec d'autres données).

Questions à poser à votre conseiller juridique#

• Avons-nous des activités hors Québec qui déclenchent l'application d'autres lois (LPRPDE fédérale, RGPD européen, CCPA/CPRA californien)?
• Notre OBNL est-il assujetti à la LPRPSP en raison de son activité économique?
• Notre structure de groupe (société mère, filiales) doit-elle désigner un responsable RP par entité ou un seul pour le groupe?