Loi 25 Québec : Guide Complet de Conformité pour PME

Oui, si vous collectez des renseignements personnels de résidents du Québec. Cela inclut les formulaires en ligne, les infolettres par email, les bases de données clients, les cookies des sites web et les informations de paiement. Même les entreprises qui opèrent principalement en dehors du Québec doivent se conformer si elles servent des clients québécois.

La Loi 25 s'applique uniquement au Québec avec des exigences plus strictes (consentement explicite requis, avis avec diligence lorsqu'un incident présente un risque de préjudice sérieux). La PIPEDA est une législation fédérale s'appliquant à tout le Canada. Si votre entreprise opère dans plusieurs provinces, vous devez respecter à la fois la Loi 25 (pour les données québécoises) et la PIPEDA (pour les autres provinces). En cas de conflit, l'exigence la plus stricte s'applique.

Les pénalités sont sévères : jusqu'à 4 % des revenus annuels ou 25 millions CAD pour les violations graves. La Commission d'accès à l'information enquête proactivement sur les plaintes. De plus, les personnes peuvent vous poursuivre en dommages-intérêts si leurs données sont mal gérées. La non-conformité peut entraîner une notification publique, des dommages à la réputation et des perturbations opérationnelles.

Les organisations doivent répondre aux demandes d'accès dans les 45 jours civils. Le délai commence quand une demande claire est reçue. Vous pouvez demander des clarifications si la demande est vague, mais cela ne prolonge pas le délai. Prévoyez de traiter les demandes dans les 30 jours pour vous donner une marge de sécurité.

Non. La Loi 25 exige un consentement explicite avant de définir des cookies non essentiels. Les cookies essentiels (session, sécurité) ne nécessitent pas de consentement, mais les cookies de suivi et marketing doivent absolument l'être. Le consentement aux cookies précédemment coché est interdit. Vous devez fournir un mécanisme clair pour refuser les cookies sans pénalité.

Une ÉIRP est une analyse documentée des risques pour la vie privée avant de mettre en œuvre un traitement à risque élevé : systèmes d'IA, profilage à grande échelle, traitement biométrique ou prise de décision automatisée. Toute PME déployant des outils d'IA devrait compléter une ÉIRP. Elle identifie les risques, propose des atténuations et démontre la diligence raisonnable aux régulateurs et aux personnes.

Pas sans gestion explicite des risques. Si vous entrez des données personnelles dans ChatGPT, ces données quittent votre infrastructure et peuvent être utilisées pour l'entraînement des modèles. Solution : Anonymiser les données avant de les envoyer à des services externes, utiliser des déploiements d'IA d'entreprise avec des contrats de traitement des données, ou déployer des modèles d'IA internes sous votre contrôle.

Votre avis de confidentialité doit clairement expliquer : (1) Quelles données sont collectées et pourquoi, (2) Combien de temps les données sont conservées, (3) Qui a accès, (4) Comment exercer les droits d'accès/correction/suppression, (5) Comment retirer le consentement, (6) Conséquences du refus de consentement, (7) Vos coordonnées et le processus de plainte à la CAI.

Notifiez avec diligence les personnes concernées et la CAI lorsqu'un incident présente un risque de préjudice sérieux. Le seuil n'est pas un délai fixe comme 72 heures: il s'agit d'agir rapidement, après évaluation de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité d'utilisation préjudiciable. Incluez : nature de l'incident, données impliquées, conséquences probables et mesures prises pour atténuer.

Votre contrat de traitement doit spécifier : (1) Finalités et durée du traitement, (2) Responsabilités de sécurité des données, (3) Limitations des sous-traitants, (4) Procédures d'exercice des droits, (5) Droits d'audit et d'inspection, (6) Notification de violation dans les 48 heures, (7) Délais de suppression ou de retour des données, (8) Clauses de responsabilité et d'indemnisation.