Liste de vérification de conformité à la Loi 25 du Québec : ce que votre entreprise doit réellement faire en 2026

Trois ans après l'entrée en vigueur de la Loi 25, la question la plus fréquente que j'entends encore de la part des propriétaires d'entreprise québécois n'est pas « qu'est-ce que la Loi 25 ? » — ils savent qu'elle existe, ils savent que les amendes sont vertigineuses. C'est une question plus discrète, plus angoissante : *« Sommes-nous réellement conformes, ou croyons-nous seulement l'être ? »*

Cet écart — entre se sentir couvert et l'être vraiment — est l'endroit où se loge l'essentiel du risque. Alors comblons-le. Voici ce que la Loi 25 exige réellement d'une entreprise québécoise type en 2026, dans l'ordre où vous devriez vous y attaquer.

D'abord, confirmez que la Loi 25 s'applique à vous

C'est presque certainement le cas. La Loi 25 (anciennement le projet de loi 64) régit toute organisation du secteur privé qui collecte, utilise ou communique les renseignements personnels de personnes au Québec — peu importe où votre entreprise est située. Une société SaaS de Toronto ayant des utilisateurs québécois est visée. Un détaillant de Calgary qui expédie à Montréal est visé.

Si vous avez des clients, des utilisateurs ou des employés au Québec, présumez qu'elle s'applique et passez à la suite. Les entreprises qui se font prendre sont généralement celles qui ont présumé être « trop petites » pour être concernées. La Loi 25 ne prévoit aucune exemption pour les petites entreprises.

La liste de vérification

1. Désignez un responsable de la protection des renseignements personnels. Par défaut, cette responsabilité incombe à la personne ayant la plus haute autorité dans votre organisation — votre PDG — jusqu'à ce que vous la déléguiez formellement. Vous devez désigner quelqu'un, documenter la nomination et publier son titre et ses coordonnées sur votre site Web. C'est l'exigence la plus souvent oubliée, et la plus facile à repérer de l'extérieur pour un organisme de réglementation.

2. Sachez quels renseignements personnels vous détenez. Vous ne pouvez pas protéger ou rendre compte de données que vous n'avez pas cartographiées. Faites l'inventaire de ce que vous collectez, pourquoi, où ces données résident, qui peut y accéder et combien de temps vous les conservez. Ce registre (souvent appelé un registre des traitements) est le fondement sur lequel tout le reste repose.

3. Corrigez votre consentement. La Loi 25 a considérablement relevé la barre en matière de consentement. Il doit être clair, libre et éclairé — demandé pour des fins *précises*, en langage clair, séparément de vos autres conditions. Le consentement pour les renseignements sensibles (santé, finances, biométrie) doit être exprès. Si vous vous appuyez encore sur une ligne enfouie dans une politique de confidentialité de 4 000 mots, c'est une lacune.

4. Mettez à jour votre politique et vos avis de confidentialité. Votre politique de confidentialité externe doit refléter les exigences de transparence de la Loi 25 : ce que vous collectez, les fins, les tiers concernés, combien de temps vous conservez les données et comment les personnes peuvent exercer leurs droits. Elle doit être rédigée en termes clairs et rendue facilement accessible.

5. Mettez en place un processus pour les droits des personnes. Les résidents du Québec peuvent demander l'accès à leurs renseignements, demander des corrections, retirer leur consentement et — nouveauté de la Loi 25 — demander la portabilité des données (leurs données dans un format technologique structuré et couramment utilisé). Vous avez besoin d'un processus reproductible pour recevoir, vérifier et traiter ces demandes dans les délais légaux, et non d'une course contre la montre à chaque fois qu'une demande arrive.

6. Réalisez des évaluations des facteurs relatifs à la vie privée lorsque requis. C'est l'exigence qui prend les entreprises en croissance au dépourvu. La Loi 25 impose une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant d'acquérir, de développer ou de refondre un projet de système d'information mettant en cause des renseignements personnels — et avant de transférer des renseignements personnels hors du Québec. Une ÉFVP n'est pas une formalité; c'est la preuve documentée que vous avez réfléchi au risque avant de le prendre.

7. Ayez un plan de réponse aux incidents. Lorsqu'un « incident de confidentialité » crée un risque de préjudice sérieux, vous devez en aviser à la fois la *Commission d'accès à l'information* (CAI) et les personnes concernées, et tenir un registre de tous les incidents — même ceux qui n'atteignaient pas le seuil de notification. Le moment de bâtir ce flux de travail, c'est maintenant, pas à 21 h le jour où vous découvrez un incident.

8. Évaluez vos transferts transfrontaliers. Si des renseignements personnels quittent le Québec — ce qui, en pratique, vise presque toute entreprise utilisant des outils infonuagiques basés aux États-Unis — vous devez évaluer s'ils bénéficieront d'une protection adéquate là où ils sont acheminés. Il s'agit d'une véritable analyse documentée, et non d'une présomption.

À quoi ressemblent réellement les sanctions

C'est ici que la Loi 25 cesse d'être théorique. Les sanctions administratives pécuniaires atteignent jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les amendes pénales vont jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial — le montant le plus élevé étant retenu. Et la Loi 25 a créé un droit d'action privé, ce qui signifie que les personnes peuvent poursuivre directement en dommages-intérêts.

Pour mettre les choses en contexte : cette structure de 4 % du chiffre d'affaires mondial est délibérément calquée sur le RGPD européen. Le Québec n'a pas conçu une loi clémente.

La part de vérité : personne n'a jamais « tout terminé »

Voici ce que l'industrie des produits de conformité ne vous dira pas, parce que ça ne se vend pas : la conformité en matière de vie privée est une posture, pas une ligne d'arrivée. Vous n'obtenez pas un certificat de la CAI pour ensuite prendre votre retraite. Les réglementations évoluent, votre entreprise change, vous ajoutez un nouvel outil qui touche des données personnelles, et la liste de vérification s'allonge discrètement d'une nouvelle ligne.

Ce qui distingue les entreprises qui dorment bien de celles qui n'y arrivent pas, ce n'est pas un projet ponctuel — c'est d'avoir les huit éléments ci-dessus *en fonctionnement continu*, avec la documentation pour le prouver si la CAI le demande un jour.

Par où commencer

Si vous avez lu cette liste et ressenti le mélange familier de « nous avons une partie de ça » et « nous n'avons assurément pas tout » — c'est normal, et c'est précisément l'écart qu'il vaut la peine de combler en premier.

Valdra a été conçu pour les 95 % d'entreprises canadiennes qui ont besoin de se conformer à la Loi 25 mais ne peuvent justifier un consultant d'entreprise à 500 000 $. L'évaluation gratuite de la Loi 25 vous guide à travers chacune des obligations ci-dessus, évalue où vous vous situez réellement et vous remet un plan de correction priorisé — en langage clair, en anglais et en français, avec vos données hébergées au Canada. C'est le moyen le plus rapide de transformer « nous croyons être conformes » en « voici la preuve ».

Commencez par l'évaluation. Trouvez les lacunes avant qu'un organisme de réglementation — ou l'avocat d'un client — ne les trouve à votre place.