Blogue Confidentialité & Conformité

Actualités Canadiennes

Des guides pratiques sur la LPRPDE, la Loi 25, la LCAP et la confidentialité IA — rédigés pour les entrepreneurs canadiens, pas pour les avocats.

À la une

Incident, atteinte, ou ni l'un ni l'autre ? Le tri qui détermine votre obligation de déclaration

Incident de confidentialité

La décision la plus lourde de conséquences en réponse aux incidents se prend dans la première heure, souvent par la personne qui a répondu au téléphone, et souvent sans aucun cadre.

October 22, 2026·9 min de lecture

IA pour les entreprises

Que mettre dans un rapport au conseil sur le risque lié à l'IA

Un conseil n'a pas besoin de comprendre vos modèles. Il doit savoir ce qui peut mal tourner, qui en répond, et si le chiffre évolue dans le bon sens.

October 19, 2026Lire

Conformité

De l'improvisation à l'audit : un modèle de maturité pour les programmes de confidentialité canadiens

Avoir une politique de confidentialité, c'est l'étape un. La plupart des entreprises s'y arrêtent en croyant avoir terminé, d'où le choc de la première demande d'accès ou de la première atteinte.

October 15, 2026Lire

Conformité

La cartographie des flux de données : le dessin dont dépend votre programme de confidentialité

On ne peut ni répondre à une demande d'accès, ni évaluer une communication, ni délimiter une atteinte sans savoir où sont réellement les données. La plupart des entreprises l'apprennent pendant l'incident.

October 12, 2026Lire

Conformité

Mourir par questionnaire de sécurité : répondre à 200 questions en un après-midi

Le questionnaire n'est pas vraiment un test de sécurité. C'est un test de votre organisation, noté sur la rapidité et la constance de vos réponses.

October 8, 2026Lire

IA pour les entreprises

Tester un système d'IA pour les biais : à quoi ressemblent des « mesures raisonnables » en pratique

Le droit canadien des droits de la personne ne s'intéresse pas à votre intention de discriminer. Il s'intéresse à l'effet. C'est ce qui fait d'une IA non testée dans l'embauche ou le service une véritable exposition.

October 5, 2026Lire

IA pour les entreprises

L'évaluation de l'incidence algorithmique : l'outil fédéral que les entreprises privées devraient emprunter

Une évaluation de l'incidence algorithmique demande ce qu'un système fait aux personnes, pas ce qu'il fait pour vous. C'est une autre question qu'une évaluation de la vie privée, et la plupart des entreprises ne la posent jamais.

October 1, 2026Lire

Conformité

Vos sous-traitants d'IA sont aussi le problème de vos clients

Vous avez livré une fonction d'IA le trimestre dernier. Quelque part dans cette fonction, des données clients atteignent maintenant une entreprise dont vos clients n'ont jamais entendu parler et qu'ils n'ont jamais acceptée.

September 28, 2026Lire

IA pour les entreprises

Rédiger une politique d'approvisionnement en IA qui ne bloque pas les affaires

Une politique qui met trois semaines à approuver un outil à quarante dollars sera ignorée, et devrait l'être. Modulez la revue selon ce que l'outil touche réellement.

September 24, 2026Lire

IA pour les entreprises

Qui est responsable de la gouvernance de l'IA ? Constituer le comité avant que l'autorité ne le demande

La plupart des programmes de gouvernance de l'IA meurent de dilution. Le juridique croit que c'est l'informatique, l'informatique croit que c'est le métier, et le métier suppose que quelqu'un a déjà approuvé l'outil.

September 21, 2026Lire

IA pour les entreprises

Le cadre de gestion des risques liés à l'IA du NIST : guide pratique pour les entreprises canadiennes

Il est volontaire, il est américain et il ne débouche sur aucun certificat. C'est aussi le vocabulaire que vos clients d'entreprise commencent à employer, ce qui vaut la peine d'être compris.

September 17, 2026Lire

Conformité

Cartographier une fois, se conformer plusieurs fois : la correspondance des contrôles entre SOC 2, ISO 27001 et ISO 42001

Environ les deux tiers du travail derrière SOC 2, ISO 27001 et ISO 42001 sont le même travail. L'astuce consiste à savoir quel tiers ne l'est pas, car c'est là que les programmes échouent.

September 14, 2026Lire

Conformité

Ce que les auditeurs demandent vraiment : constituer une piste de preuve avant l'audit

Les auditeurs ne veulent pas vos politiques. Ils veulent la preuve qu'une politique a été suivie un jour précis, par une personne précise, d'une manière que vous n'avez pas fabriquée la semaine dernière.

September 10, 2026Lire

Conformité

La conformité ponctuelle est morte : pourquoi vos preuves doivent être continues

Un certificat prouve que vos contrôles fonctionnaient les jours où quelqu'un a regardé. Les acheteurs et les autorités posent maintenant une question plus difficile : fonctionnent-ils en ce moment ?

September 7, 2026Lire

IA pour les entreprises

Créer un inventaire des systèmes d'IA : le registre par lequel commence tout programme de gouvernance

Tous les cadres de gouvernance de l'IA présument que vous savez déjà ce que vous exploitez. La plupart des entreprises canadiennes l'ignorent. Voici comment bâtir le registre dont tout le reste dépend.

September 3, 2026Lire

Loi 25

La Loi 25 du Québec pour les petites entreprises : ce que vous devez réellement faire

La Loi 25 du Québec se lit comme si elle avait été écrite pour une banque. La majeure partie n'était pas destinée à votre commerce de cinq personnes. Voici la courte liste de ce qu'une petite entreprise doit véritablement faire.

August 27, 2026Lire

LCAP

Utiliser les données clients pour le marketing en toute légalité au Canada : la ligne entre la LCAP et la LPRPDE

La LCAP et la LPRPDE n'interdisent pas de faire du marketing auprès de vos clients — elles interdisent de présumer le consentement. Voici exactement où la personnalisation est légale au Canada, et où elle se transforme discrètement en une infraction à six ou sept chiffres.

August 24, 2026Lire

Formation

Pourquoi la plupart des incidents commencent par une personne : la formation à la vie privée des employés au Canada

La plupart des incidents de confidentialité ne commencent pas par un pirate. Ils commencent par un employé de confiance qui prend une mauvaise décision sous pression. Voici comment bâtir une formation à la vie privée qui change vraiment cela.

August 20, 2026Lire

Conformité

Minimisation des données : la mesure la moins coûteuse que personne n'utilise sous la LPRPDE et la Loi 25

Les données les plus coûteuses que vous possédez sont celles dont vous n'aviez jamais besoin. En recueillir moins est la mesure de protection de la vie privée qui vous fait économiser et qui tient le CPVP et la CAI à distance.

August 17, 2026Lire

Gouvernance de l'IA

LIAD : ce que signifie pour vous la loi canadienne sur l'IA que les entreprises ignorent

Le Canada rédige sa première véritable loi sur l'IA, et la plupart des entreprises n'ont aucune idée de ce que « système d'IA à incidence élevée » signifiera pour elles. Voici la version en langage clair et ce qu'il faut faire avant que les règles n'entrent en vigueur.

August 13, 2026Lire

Vie privée

Jusqu'où un employeur canadien peut-il aller? La vie privée des employés et la surveillance au travail au Canada

Les employeurs canadiens peuvent surveiller leur personnel, mais pas sans limites. Voici où se situe réellement la ligne entre la LPRPDE, la Loi 25 du Québec et la règle de surveillance de l'Ontario, et comment rester du bon côté.

August 10, 2026Lire

Conformité

Protection de la vie privée dès la conception : ce que cela signifie réellement pour une entreprise canadienne

La plupart des entreprises canadiennes traitent la vie privée comme une case à cocher la semaine du lancement. Celles qui la traitent comme une contrainte de conception dépensent moins, livrent plus proprement et n'ont jamais à se justifier devant le CPVP.

August 6, 2026Lire

LPRPDE

La LPRPDE pour votre boutique de commerce électronique : ce que les vendeurs canadiens doivent réellement à leurs clients

Votre boutique Shopify recueille plus de données personnelles que la plupart des cabinets d'avocats. Voici ce que la LPRPDE, la Loi 25 et la LCAP attendent réellement d'un vendeur en ligne canadien, et où se cache le vrai risque.

August 3, 2026Lire

Conformité

Consentement aux témoins et Loi 25 du Québec : la fin du pistage silencieux

La plupart des sites Web canadiens déclenchent l'analytique et les pixels publicitaires avant qu'on ne clique « accepter » — déjà une responsabilité documentée sous la Loi 25 du Québec. Voici ce qu'exige une bannière de témoins réellement conforme, et pourquoi le pistage silencieux est terminé.

July 30, 2026Lire

Sécurité

Certification ISO 27001 au Canada : en quoi elle diffère de SOC 2 et de la LPRPDE

Les acheteurs d'entreprise verrouillent les contrats sur le certificat avant même de lire votre proposition. Voici pourquoi les entreprises SaaS canadiennes visent l'ISO 27001, en quoi elle diffère de SOC 2 et de la LPRPDE, et ce que la certification coûte réellement.

July 27, 2026Lire

Sécurité

SOC 2 pour les entreprises canadiennes : pourquoi les acheteurs l'exigent et comment s'y préparer

Un fondateur de PME SaaS à Halifax perd un contrat de 90 000 $ parce qu'un formulaire d'approvisionnement réclame un rapport SOC 2 dont il n'a jamais entendu parler. Voici ce qu'est réellement SOC 2, pourquoi les acheteurs canadiens le veulent et comment il s'arrime aux lois sur la vie privée que vous devez déjà respecter.

July 23, 2026Lire

Loi 25

Quand une évaluation des facteurs relatifs à la vie privée est-elle requise sous la Loi 25 du Québec?

La plupart des entreprises québécoises croient qu'une évaluation des facteurs relatifs à la vie privée est réservée aux banques et aux hôpitaux. Puis elles retiennent un fournisseur infonuagique américain et déclenchent l'obligation sans s'en rendre compte. Voici le véritable seuil.

July 20, 2026Lire

Incident de confidentialité

Le registre des incidents qu'exige la LPRPDE : chaque incident que vous devez consigner

La LPRPDE vous oblige à consigner chaque incident de confidentialité que vous subissez, même les plus inoffensifs. La plupart des entreprises canadiennes n'apprennent l'existence de cette règle que lorsque le CPVP demande à voir le registre.

July 16, 2026Lire

Conformité

ISO 42001 ou SOC 2 : de quoi votre entreprise a-t-elle vraiment besoin ?

SOC 2 et ISO 42001 se font ranger ensemble dans « ce truc de conformité », mais ils répondent à des questions différentes. L'un prouve que vous protégez les données; l'autre, que vous gérez l'IA de façon responsable. Voici comment savoir ce dont votre entreprise a réellement besoin.

July 16, 2026Lire

Vie privée

Les lois PIPA de l'Alberta et de la Colombie-Britannique : quelle loi sur la vie privée s'applique réellement à vous

La LPRPDE n'est pas toute la carte. Trois provinces ont leur propre loi sur la vie privée dans le secteur privé, et dès que vous embauchez ou vendez de l'autre côté d'une frontière, les règles auxquelles vous êtes assujetti peuvent changer du jour au lendemain.

July 13, 2026Lire

Droits relatifs à la vie privée

Gérer une demande d'accès au Canada sans paniquer

La plupart des demandes d'accès ne tournent pas mal par malveillance, mais parce qu'un courriel d'apparence anodine déclenche un délai légal de 30 jours que personne n'a remarqué. Voici le processus qui empêche une demande d'accès de devenir une plainte au régulateur.

July 9, 2026Lire

Conformité

Le piège du « tout conserver » : bâtir un calendrier de conservation des données défendable au Canada

Les données les moins coûteuses à voir compromises sont celles que vous n'aviez jamais besoin de conserver. Un calendrier de conservation défendable est la seule mesure de protection de la vie privée qui se rentabilise dès que vous supprimez.

July 6, 2026Lire

Confiance

Comment prouver votre conformité en matière de vie privée à vos clients et remporter le contrat

La plupart des entreprises canadiennes voient la conformité en matière de vie privée comme un coût. Les plus avisées en font un outil pour conclure des ventes. Voici comment transformer votre programme d'obstacle à la vente en atout commercial.

July 2, 2026Lire

Conformité

Projet de loi C-27 et LPVPC : ce qui change pour les entreprises canadiennes et comment être prêt dès le premier jour

Le projet de loi C-27 donnerait de vrais pouvoirs au Commissaire à la protection de la vie privée et mettrait sur la table des sanctions pouvant atteindre 5 % du chiffre d'affaires mondial. Les entreprises qui se préparent maintenant prendront une longueur d'avance dès l'adoption d'une loi qui lui succédera.

June 29, 2026Lire

Vie privée

Gestion du consentement au Canada : pourquoi le consentement enfoui dans une politique échoue sous la LPRPDE et la Loi 25

Une case précochée et une politique de confidentialité de 4 000 mots ne constituent pas un consentement au Canada. Voici ce que la LPRPDE et la Loi 25 exigent réellement, et comment le prouver par la suite.

June 25, 2026Lire

Incident de confidentialité

Comment rédiger un avis d'incident de confidentialité conforme à la LPRPDE

La lettre que vous envoyez après un incident est à la fois un document juridique, un geste de réparation de la confiance et un document public. Voici exactement ce qu'elle doit dire et le ton qu'elle doit adopter.

June 22, 2026Lire

Breach

Déclaration des atteintes sous la LPRPDE : le mythe des 72 heures et ce qui déclenche réellement une déclaration

Toutes les atteintes n'ont pas à être déclarées — et le critère qui en décide n'est pas une horloge. C'est une expression : « risque réel de préjudice grave ». Voici comment l'appliquer avant que la panique ne s'installe.

June 16, 2026Lire

Law 25

Liste de vérification de conformité à la Loi 25 du Québec : ce que votre entreprise doit réellement faire en 2026

Trois ans après le début du déploiement de la Loi 25, la plupart des entreprises québécoises ne savent toujours pas si elles sont réellement conformes. Voici la liste de vérification qui clarifie tout.

June 11, 2026Lire

Compliance

Le risque lié aux tiers : pourquoi votre conformité en matière de vie privée ne vaut que celle de vos fournisseurs

Lorsque vous confiez des données de clients à un fournisseur, vous ne lui transmettez pas la responsabilité. Sous la LPRPDE, son atteinte devient votre problème — c'est pourquoi le risque lié aux fournisseurs est un travail de protection de la vie privée, et non de la paperasse d'approvisionnement.

June 6, 2026Lire

Compliance

Vos données quittent probablement déjà le Canada — ce que la LPRPDE attend de vous à ce sujet

Si vous utilisez Google Workspace, Microsoft 365, un CRM américain ou pratiquement n'importe quel SaaS grand public, les données personnelles de vos clients franchissent la frontière tous les jours. Voici ce que la loi vous demande réellement.

June 3, 2026Lire

Compliance

Qu'est-ce qu'un registre des traitements, et pourquoi c'est le fondement de tout programme de protection de la vie privée

Presque toutes les obligations que vous avez en matière de vie privée présument que vous savez quelles données vous détenez et pourquoi. Un registre des traitements, c'est ce savoir, couché sur papier. C'est sans éclat, et c'est le document le plus important que vous bâtirez.

May 30, 2026Lire

Healthcare

Conformité à la LPRPS pour les cliniques ontariennes : un guide pratique pour les dépositaires de renseignements sur la santé

Toute clinique ontarienne est un dépositaire de renseignements sur la santé en vertu de la LPRPS — que quiconque y ait lu la loi ou non. Voici ce que la conformité exige réellement, en termes de clinique.

May 27, 2026Lire

CASL

Consentement exprès ou tacite sous la LCAP : la différence qui décide si vous pouvez envoyer ce courriel

La LCAP n'exige pas seulement un consentement pour envoyer un courriel de marketing — elle exige le bon type, et le consentement tacite expire discrètement. Méprenez-vous sur cette distinction et une infolettre de routine devient un problème réglementaire.

May 23, 2026Lire

PIPEDA

Ai-je besoin d'une politique de confidentialité pour mon site Web canadien ? (Réponse courte : oui)

Si votre site Web a un formulaire de contact, une inscription par courriel ou même Google Analytics, vous collectez des renseignements personnels — et sous la LPRPDE, cela signifie qu'il vous faut une politique de confidentialité. Voici ce qu'elle doit dire.

May 20, 2026Lire

Law 25

Qu'est-ce qu'une évaluation des facteurs relatifs à la vie privée (ÉFVP) — et quand votre entreprise en a-t-elle réellement besoin ?

Une ÉFVP a l'air d'une formalité administrative. C'est en fait le seul document qui prouve que vous avez considéré le risque pour la vie privée avant de le prendre — et sous la Loi 25 du Québec, elle est désormais obligatoire dans des cas que vous rencontrerez couramment.

May 16, 2026Lire

PIPEDA

La liste de vérification de conformité à la LPRPDE dont toute petite entreprise canadienne a besoin

La LPRPDE ne prévoit aucune exemption pour les petites entreprises — si vous traitez des données de clients, elle s'applique. Voici la liste de vérification qui transforme une loi de 30 pages en un après-midi de samedi de travail.

May 12, 2026Lire

Restez informé

Les lois sur la vie privée évoluent vite. Nous les suivons.

De nouveaux articles chaque semaine sur la LPRPDE, la Loi 25, la LCAP et la conformité IA canadienne. Jamais de spam.

Actualités Canadiennes

Que mettre dans un rapport au conseil sur le risque lié à l'IA

De l'improvisation à l'audit : un modèle de maturité pour les programmes de confidentialité canadiens

La cartographie des flux de données : le dessin dont dépend votre programme de confidentialité

Mourir par questionnaire de sécurité : répondre à 200 questions en un après-midi

Tester un système d'IA pour les biais : à quoi ressemblent des « mesures raisonnables » en pratique

L'évaluation de l'incidence algorithmique : l'outil fédéral que les entreprises privées devraient emprunter

Vos sous-traitants d'IA sont aussi le problème de vos clients

Rédiger une politique d'approvisionnement en IA qui ne bloque pas les affaires

Qui est responsable de la gouvernance de l'IA ? Constituer le comité avant que l'autorité ne le demande

Le cadre de gestion des risques liés à l'IA du NIST : guide pratique pour les entreprises canadiennes

Cartographier une fois, se conformer plusieurs fois : la correspondance des contrôles entre SOC 2, ISO 27001 et ISO 42001

Ce que les auditeurs demandent vraiment : constituer une piste de preuve avant l'audit

La conformité ponctuelle est morte : pourquoi vos preuves doivent être continues

Créer un inventaire des systèmes d'IA : le registre par lequel commence tout programme de gouvernance

La Loi 25 du Québec pour les petites entreprises : ce que vous devez réellement faire

Utiliser les données clients pour le marketing en toute légalité au Canada : la ligne entre la LCAP et la LPRPDE

Pourquoi la plupart des incidents commencent par une personne : la formation à la vie privée des employés au Canada

Minimisation des données : la mesure la moins coûteuse que personne n'utilise sous la LPRPDE et la Loi 25

LIAD : ce que signifie pour vous la loi canadienne sur l'IA que les entreprises ignorent

Jusqu'où un employeur canadien peut-il aller? La vie privée des employés et la surveillance au travail au Canada

Protection de la vie privée dès la conception : ce que cela signifie réellement pour une entreprise canadienne

La LPRPDE pour votre boutique de commerce électronique : ce que les vendeurs canadiens doivent réellement à leurs clients

Consentement aux témoins et Loi 25 du Québec : la fin du pistage silencieux

Certification ISO 27001 au Canada : en quoi elle diffère de SOC 2 et de la LPRPDE

SOC 2 pour les entreprises canadiennes : pourquoi les acheteurs l'exigent et comment s'y préparer

Quand une évaluation des facteurs relatifs à la vie privée est-elle requise sous la Loi 25 du Québec?

Le registre des incidents qu'exige la LPRPDE : chaque incident que vous devez consigner

ISO 42001 ou SOC 2 : de quoi votre entreprise a-t-elle vraiment besoin ?

Les lois PIPA de l'Alberta et de la Colombie-Britannique : quelle loi sur la vie privée s'applique réellement à vous

Gérer une demande d'accès au Canada sans paniquer

Le piège du « tout conserver » : bâtir un calendrier de conservation des données défendable au Canada

Comment prouver votre conformité en matière de vie privée à vos clients et remporter le contrat

Projet de loi C-27 et LPVPC : ce qui change pour les entreprises canadiennes et comment être prêt dès le premier jour

Gestion du consentement au Canada : pourquoi le consentement enfoui dans une politique échoue sous la LPRPDE et la Loi 25

Comment rédiger un avis d'incident de confidentialité conforme à la LPRPDE

Déclaration des atteintes sous la LPRPDE : le mythe des 72 heures et ce qui déclenche réellement une déclaration

Liste de vérification de conformité à la Loi 25 du Québec : ce que votre entreprise doit réellement faire en 2026

Le risque lié aux tiers : pourquoi votre conformité en matière de vie privée ne vaut que celle de vos fournisseurs

Vos données quittent probablement déjà le Canada — ce que la LPRPDE attend de vous à ce sujet

Qu'est-ce qu'un registre des traitements, et pourquoi c'est le fondement de tout programme de protection de la vie privée

Conformité à la LPRPS pour les cliniques ontariennes : un guide pratique pour les dépositaires de renseignements sur la santé

Consentement exprès ou tacite sous la LCAP : la différence qui décide si vous pouvez envoyer ce courriel

Ai-je besoin d'une politique de confidentialité pour mon site Web canadien ? (Réponse courte : oui)

Qu'est-ce qu'une évaluation des facteurs relatifs à la vie privée (ÉFVP) — et quand votre entreprise en a-t-elle réellement besoin ?

La liste de vérification de conformité à la LPRPDE dont toute petite entreprise canadienne a besoin

Les lois sur la vie privée évoluent vite. Nous les suivons.

Notre propre conformité