La Loi 25 du Québec pour les petites entreprises : ce que vous devez réellement faire

Une entreprise d'aménagement paysager des environs de Sherbrooke a reçu une lettre de la Commission d'accès à l'information l'an dernier. Quelqu'un s'était plaint que l'entreprise tenait une feuille de calcul d'adresses de clients, de codes de barrière et de détails d'alarme, puis l'envoyait par courriel au personnel saisonnier sans aucun contrôle. Le propriétaire avait quatre employés et n'avait jamais entendu les mots « Loi 25 ». Cette feuille de calcul, aussi inoffensive qu'elle semblait, était exactement le genre de chose que la loi a été écrite pour attraper.

Voici la partie que personne ne dit aux petites entreprises québécoises. La majeure partie des plus de 200 pages d'analyse que vous trouverez en ligne ont été écrites en pensant à Desjardins et aux grandes banques. La version de la loi qui s'applique à une entreprise de cinq personnes est bien plus courte que les consultants ne voudraient vous le faire croire. Vous n'avez pas besoin d'une analyse d'écarts à 40 000 $. Vous devez faire environ six choses correctement et continuer de les faire.

Ce qu'est réellement la Loi 25, en un souffle

La Loi 25 (officiellement la *Loi modernisant des dispositions législatives en matière de protection des renseignements personnels*, c'est pourquoi tout le monde la raccourcit simplement en Loi 25) a refondu la loi sur la vie privée du secteur privé du Québec en trois vagues : septembre 2022, septembre 2023, et le droit à la portabilité des données arrivé en septembre 2024. Elle est appliquée par la CAI (Commission d'accès à l'information du Québec), pas par le CPVP fédéral. Si vous exercez au Québec et détenez des renseignements personnels sur des résidents du Québec, vos propres employés inclus, vous êtes dans le champ d'application. Il n'y a pas d'exemption selon l'effectif. Un dépanneur avec une liste de fidélité est couvert de la même façon qu'une banque.

Ce qui a changé pour tout le monde, ce sont les dents. La CAI peut désormais imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et les amendes pénales distinctes vont jusqu'à 25 millions de dollars ou 4 %. Ces plafonds existent pour faire transpirer les conseils d'administration des grandes firmes. Le propre cadre de la CAI sur les sanctions pointe vers la proportionnalité, et l'organisme a montré plus d'intérêt à savoir si vous avez fait un effort véritable qu'à piéger un petit exploitant sur une technicalité. Cette distinction devrait façonner la façon dont vous dépensez votre temps.

Nommez une personne, et mettez-le par écrit

L'obligation la plus importante, et celle que les petites entreprises sautent le plus souvent, est de nommer quelqu'un responsable de la protection des renseignements personnels. Par défaut c'est la personne ayant la plus haute autorité dans l'entreprise, ce qui dans un commerce de cinq personnes est vous, le propriétaire. Vous pouvez déléguer le rôle par écrit à quelqu'un d'autre, mais le nom de quelqu'un doit exister.

Ce n'est pas un titre cérémoniel. Le nom et les coordonnées de cette personne doivent être publiés, généralement sur votre site Web. Quand la CAI examine une petite entreprise, la première chose qu'elle vérifie est de savoir si une personne responsable est identifiée et joignable. La tâche ne coûte rien et prend dix minutes, et son absence est le signal le plus clair possible que vous n'avez rien fait du tout. Commencez ici.

Sachez ce que vous détenez et pourquoi

Vous ne pouvez pas protéger une information que vous ne pouvez pas décrire. La Loi 25 attend de vous que vous indiquiez, en termes clairs, quels renseignements personnels vous recueillez, pourquoi vous les recueillez, où ils vivent, qui peut les voir, et combien de temps vous les conservez. Le nom savant est un « registre des activités de traitement ». Pour une petite entreprise c'est un tableau d'une page.

Le problème de l'entreprise d'aménagement paysager n'était pas qu'elle avait des adresses de clients. Bien sûr qu'elle en avait. Le problème était que personne ne pouvait répondre aux questions de base. Pourquoi les codes de barrière sont-ils dans le même fichier que les courriels marketing ? Qui a la feuille de calcul ? Quand les vieilles données de clients sont-elles supprimées ? « Jamais » n'est pas une période de conservation acceptable en vertu de la Loi 25, et la conservation indéfinie est l'une des violations les plus faciles à repérer pour la CAI.

Asseyez-vous une après-midi et faites la liste : données de clients, données d'employés, tout ce qui vient d'un formulaire de contact, la paie, votre système de point de vente. Pour chacun, écrivez la finalité et une période de conservation que vous pouvez réellement défendre. Ce document fait plus de vrai travail de conformité que n'importe quelle politique que vous achèterez.

Dites aux gens ce que vous faites

Les résidents du Québec ont le droit de savoir comment leur information est utilisée, et la Loi 25 a relevé la barre en matière de transparence. Vous avez besoin d'un avis de confidentialité écrit pour des humains, pas pour des avocats, et il doit être disponible en français (la Charte de la langue française n'est pas facultative, et une entreprise francophone qui publie une politique de confidentialité en anglais seulement cherche les ennuis).

Si vous recueillez de l'information au moyen d'une technologie qui profile, localise ou identifie les gens, vous devez le leur dire et leur donner les moyens de désactiver ce profilage. Pour une petite entreprise il s'agit surtout des témoins et de l'analytique sur votre site Web. Le Québec est allé plus loin que le reste du Canada sur ce point. Toute fonction qui identifie, localise ou profile un utilisateur doit être réglée par défaut au plus haut niveau de confidentialité dès la sortie de la boîte, sans que la personne ne lève le petit doigt. C'est une véritable rupture avec la LPRPDE, et cela fait trébucher les entreprises qui ont simplement copié la bannière d'un concurrent ontarien.

Réglez par défaut au plus haut niveau de confidentialité. Au Québec, le retrait est le point de départ, pas une case à cocher enfouie.

Ayez un plan pour le jour où quelque chose tourne mal

Les atteintes sont le moment où les petites entreprises découvrent si elles sont conformes ou seulement pleines d'espoir. Si vous subissez un « incident de confidentialité », un ordinateur portable volé, un courriel mal acheminé transportant des données personnelles, un rançongiciel, et qu'il présente un risque de préjudice sérieux, vous devez aviser promptement la CAI et les personnes touchées. Vous devez aussi tenir un registre de chaque incident, y compris les mineurs que vous avez décidé de ne pas déclarer.

Je dis la même chose à chaque petit client. Vous n'écrirez pas un bon plan de réponse aux atteintes à 23 h le soir de l'atteinte. Écrivez une demi-page maintenant : qui vous appelez, ce que vous évaluez, quand la CAI est avisée, où vit le registre. La CAI peut demander à voir ce registre, alors journaliser les incidents, même les petits, fait partie de l'obligation, pas seulement de la bonne hygiène.

L'évaluation des facteurs relatifs à la vie privée, démystifiée

Vous avez probablement vu l'expression « Évaluation des facteurs relatifs à la vie privée », ou EFVP, et supposé que c'est une corvée de grande entreprise. C'est surtout le cas. Une évaluation formelle est requise avant de lancer un nouveau système impliquant des renseignements personnels, et avant de transférer des données personnelles hors du Québec. Pour la plupart des entreprises de cinq personnes, c'est le second déclencheur qui mord. Si vous utilisez un outil infonuagique basé aux États-Unis, une plateforme d'envoi, un CRM, un processeur de paiement, vous envoyez des renseignements personnels québécois hors de la province, et la loi attend de vous que vous ayez évalué ce déplacement.

La réponse honnête pour un petit commerce est qu'il s'agit généralement d'une courte note structurée confirmant que le fournisseur offre une protection adéquate, pas d'un rapport de 30 pages. Mais l'évaluation doit exister. « Nous utilisons Mailchimp et n'y avons jamais pensé » est précisément l'écart que la CAI signale.

La Loi 25 du Québec pour les petites entreprises : la courte liste réaliste

Retirez le bruit d'entreprise et la Loi 25 du Québec pour les petites entreprises se résume à ceci :

• Nommez une personne responsable de la vie privée et publiez ses coordonnées.
• Cartographiez quels renseignements personnels vous détenez, pourquoi, et combien de temps vous les conservez.
• Publiez un avis de confidentialité en langage clair, en français, avec des réglages de confidentialité par défaut.
• Tenez un registre des incidents et un plan d'atteinte d'une demi-page.
• Réalisez une évaluation légère avant d'envoyer des données québécoises vers des outils hors province.

C'est le véritable cœur. Tout le reste est du raffinement. Les entreprises qui ont des ennuis ne sont pas celles dont la documentation est imparfaite; ce sont celles qui n'ont rien. Pas de personne nommée, pas de carte, pas d'avis en français. Elles ont l'air de n'avoir jamais essayé.

Le hic est que faire ces six choses à la main, puis les garder à jour à mesure que vous ajoutez un outil ou embauchez quelqu'un, dévore un temps qu'un petit propriétaire n'a pas. C'est la vraie raison pour laquelle la conformité à la Loi 25 du Québec pour les petites entreprises semble plus lourde qu'elle ne devrait : les obligations sont modestes, mais l'entretien ne s'arrête jamais. Si vous voulez voir exactement où vous en êtes sans payer l'analyse d'écarts d'un consultant, vous pouvez réaliser une évaluation gratuite de la Loi 25 conçue pour les petites entreprises et obtenir un portrait en langage clair de ce qui est fait et de ce qui manque.