Loi 25 Québec — Guide de Conformité Complet pour PME 2025

La Loi 25 — officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — est en vigueur au Québec. Elle s’applique à toute entreprise qui collecte des informations personnelles, peu importe sa taille. Votre formulaire de contact, votre boutique en ligne, votre infolettre — tous sont concernés.

Ce guide pratique vous explique ce que votre PME doit faire, par quand, et comment le faire sans vous ruiner.

La Loi 25 s’applique-t-elle à votre PME?

Si votre entreprise fait l’une de ces choses, la Loi 25 s’applique :

• Possède un formulaire de contact sur son site web
• Envoie des infolettres ou des courriels marketing
• Vend en ligne (boutique WooCommerce, Shopify, etc.)
• Collecte des informations pour des soumissions ou des devis
• Utilise Google Analytics ou des cookies de suivi
• Gère un programme de fidélité ou une liste de clients

En bref : si vous avez un site web avec un formulaire ou une boutique en ligne, vous êtes concerné.

Ce que la Loi 25 exige concrètement

1. Responsable de la protection des renseignements personnels (RPRP)

Votre entreprise doit désigner un responsable (souvent le propriétaire dans une PME) et publier son titre et coordonnées sur votre site web. Ce n’est pas une personne supplémentaire à embaucher — c’est vous, formellement désigné.

2. Politique de confidentialité conforme

Votre politique de confidentialité doit expliquer en langage clair :

• Quelles informations vous collectez (nom, courriel, téléphone, IP…)
• Pourquoi vous les collectez
• Qui y a accès et avec qui elles sont partagées
• Combien de temps vous les conservez
• Comment les individus peuvent accéder à leurs données ou demander leur suppression

3. Consentement explicite pour le marketing

Vous ne pouvez plus simplement cocher automatiquement la case “J’accepte de recevoir votre infolettre”. Le consentement doit être actif (case non cochée par défaut) et spécifique à chaque usage.

4. Banderole de cookies (si vous utilisez Google Analytics)

Si votre site utilise des cookies de traçage (Analytics, Facebook Pixel, etc.), vous devez afficher une bannière de consentement aux cookies dès l’arrivée sur le site — avec la possibilité de refuser.

5. Évaluation des facteurs relatifs à la vie privée (EFVP)

Pour tout nouveau projet qui implique des données sensibles (données de santé, données financières, données sur des mineurs), une EFVP doit être réalisée avant le lancement.

6. Registre des incidents

Si vous subissez une brèche de sécurité (données volées, accès non autorisé), vous devez le déclarer à la Commission d’accès à l’information (CAI) et notifier les personnes concernées.

Ce que vous devez faire maintenant (liste de contrôle)

• Désigner un RPRP et afficher son titre sur le site
• Rédiger ou mettre à jour votre politique de confidentialité
• Ajouter une banderole de cookies conforme (Complianz, CookieYes, ou similaire)
• Vérifier que vos formulaires ont un consentement explicite pour l’infolettre
• Documenter vos processus de collecte de données
• Avoir un processus pour répondre aux demandes d’accès ou de suppression

Les amendes en cas de non-conformité

La Commission d’accès à l’information (CAI) peut imposer des amendes :

• Jusqu’à 25 millions de dollars ou 4% du chiffre d’affaires mondial pour les infractions les plus graves
• Jusqu’à 10 millions de dollars ou 2% pour les infractions moins graves

En pratique, les PME qui font preuve de bonne foi et s’améliorent activement sont rarement la cible première. Mais l’absence totale de politique de confidentialité ou la collecte de données sans consentement sont des risques réels.

Combien coûte la conformité Loi 25 pour une PME?

Pour une PME standard avec un site web :

• Plugin de cookies (Complianz) : 89$/an
• Rédaction de politique de confidentialité : 500-1500$ (si externalisé)
• Ajustements techniques au site web : 300-800$
• Total estimé : 1000-3000$ une seule fois, puis environ 100-200$/an de maintenance

Ces coûts peuvent être inclus dans des demandes de subventions numériques au Québec.

FAQ — Loi 25 pour PME québécoises

Ma PME est très petite — suis-je vraiment concerné?

Oui. La Loi 25 ne fait pas d’exception pour la taille de l’entreprise. Même une entreprise individuelle avec un site web et un formulaire de contact est concernée.

J’utilise Google Analytics — qu’est-ce que ça implique?

Google Analytics 4 collecte des données personnelles (adresse IP, comportement de navigation). Vous devez l’indiquer dans votre politique de confidentialité et obtenir le consentement via une banderole cookies. Une alternative conforme : Matomo en mode sans cookies, hébergé au Canada.

Les données de mes clients dans mon CRM sont-elles visées?

Oui. Chaque contact dans votre CRM est une personne dont vous gérez les renseignements personnels. Vous devez documenter pourquoi vous avez ces données, combien de temps vous les gardez, et être prêt à les supprimer sur demande.

Par où commencer si je n’ai rien fait encore?

Commencez par l’essentiel : 1) politique de confidentialité, 2) banderole cookies, 3) désignation du RPRP. Contactez-nous — nous avons un processus clé en main pour les PME.

← Retour au guide complet : Automatisation IA pour PME Québec