Depuis septembre 2024, toutes les dispositions de la Loi 25 sont en vigueur au Québec. Et pourtant, des milliers de PME ne sont toujours pas conformes. Si votre entreprise collecte des noms, des courriels, des numéros de téléphone ou toute autre information personnelle, la Loi 25 vous concerne directement. Me Samy Ziada accompagne des entrepreneurs à Montréal, Laval, sur la Rive-Nord et la Rive-Sud pour mettre leur entreprise en conformité avec la Loi 25 au Québec, avant que la Commission d’accès à l’information ne frappe à leur porte.
Qu’est-ce que la Loi 25 au Québec et pourquoi elle touche votre entreprise
La Loi 25 (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a été adoptée en 2021 et déployée en trois phases jusqu’en septembre 2024. Concrètement, elle modernise les règles de collecte, d’utilisation et de communication des renseignements personnels par les entreprises privées au Québec.
Ce qui a changé est majeur. En effet, la Loi 25 s’inspire du RGPD européen et impose des obligations beaucoup plus strictes que l’ancien cadre législatif. Toutefois, contrairement au RGPD, elle s’applique à toutes les entreprises québécoises, peu importe leur taille. Ainsi, même une PME de 5 employés avec un site web et une infolettre est visée.
Les amendes pour non-conformité peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial, c’est un risque qu’aucun entrepreneur ne peut se permettre d’ignorer.
Les 7 obligations concrètes de la Loi 25 pour les entreprises au Québec
D’abord, vous devez désigner un responsable de la protection des renseignements personnels dans votre organisation. Par défaut, c’est la personne qui exerce la plus haute autorité dans l’entreprise. Ensuite, les coordonnées de cette personne doivent être publiées sur votre site web.
Deuxièmement, vous devez avoir une politique de confidentialité claire, rédigée en termes simples et accessible sur votre site. En effet, cette politique doit expliquer quels renseignements vous collectez, pourquoi vous les collectez, comment vous les utilisez et combien de temps vous les conservez.
Troisièmement, vous devez obtenir le consentement explicite des personnes avant de collecter leurs renseignements personnels. De plus, ce consentement doit être distinct pour chaque finalité d’utilisation. Par exemple, accepter de recevoir une facture ne signifie pas accepter de recevoir du marketing.
Quatrièmement, vous devez réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant tout projet impliquant des renseignements personnels. Cinquièmement, toute atteinte à la confidentialité (fuite de données) doit être signalée à la Commission d’accès à l’information et aux personnes concernées.
Sixièmement, les personnes ont le droit à la portabilité de leurs données, elles peuvent vous demander de leur transmettre leurs renseignements dans un format structuré. Finalement, le droit à la désindexation permet à quiconque de vous demander de cesser la diffusion de ses renseignements personnels.
Ce que la Loi 25 signifie concrètement pour votre site web et votre marketing
Si votre site web utilise des témoins (cookies), des pixels de suivi Facebook, Google Analytics ou toute autre technologie de suivi, vous devez en informer vos visiteurs et obtenir leur consentement. C’est pourquoi un bandeau de cookies conforme est maintenant obligatoire.
Par ailleurs, votre infolettre et vos campagnes de marketing par courriel nécessitent un consentement explicite et documenté. En d’autres termes, vous ne pouvez plus simplement ajouter un contact à votre liste parce qu’il vous a donné sa carte d’affaires.
De même, si vous utilisez un CRM (Salesforce, HubSpot, etc.) pour gérer vos contacts clients, vous devez vous assurer que les données sont hébergées conformément à la Loi 25. Surtout, si vos données sont hébergées à l’étranger, une évaluation des facteurs relatifs à la vie privée est obligatoire.
Les erreurs les plus fréquentes des PME face à la Loi 25
La première erreur est de croire que la Loi 25 ne concerne que les grandes entreprises technologiques. En réalité, un salon de coiffure qui prend les rendez-vous par courriel et conserve les coordonnées de ses clients est déjà visé. Par conséquent, toute entreprise doit faire l’exercice de conformité.
Ensuite, beaucoup d’entrepreneurs utilisent une politique de confidentialité générique copiée d’Internet. Or, cette politique doit refléter vos pratiques réelles de collecte et d’utilisation. Ainsi, un modèle générique ne vous protège pas adéquatement.
Par ailleurs, négliger la formation des employés est une erreur courante. En effet, vos employés doivent savoir comment traiter les demandes d’accès, de rectification et de suppression des renseignements personnels. Cependant, dans la plupart des PME, personne ne sait quoi faire quand un client demande « supprimez toutes mes données ».
Finalement, ignorer les incidents de confidentialité est dangereux. Même un courriel envoyé au mauvais destinataire constitue une atteinte à la confidentialité qui peut devoir être signalée.
La Loi 25 et les sous-traitants : votre responsabilité ne s’arrête pas à vos murs
Si vous partagez des renseignements personnels avec des sous-traitants (comptable, agence web, hébergeur), vous devez conclure un contrat qui encadre la protection de ces données. En effet, la Loi 25 vous tient responsable de la protection des renseignements que vous confiez à des tiers. C’est pourquoi vos contrats de sous-traitance doivent inclure des clauses spécifiques sur la confidentialité et la sécurité des données.
Histoires québécoises : deux parcours, deux solutions
Philippe, propriétaire d’une clinique dentaire à Laval
Philippe conservait les dossiers de ses 3 000 patients dans un logiciel dont les données étaient hébergées aux États-Unis. Il n’avait jamais fait d’évaluation des facteurs relatifs à la vie privée. Après une consultation avec son avocat, il a découvert qu’il devait non seulement réaliser cette évaluation, mais aussi mettre à jour sa politique de confidentialité, former son personnel et réviser ses contrats avec ses fournisseurs technologiques. En trois mois, sa clinique était conforme et il avait la tranquillité d’esprit de savoir que les données de ses patients étaient protégées adéquatement.
Sarah, fondatrice d’un commerce en ligne à Montréal
Sarah vendait des produits de beauté en ligne et utilisait Facebook Ads, Google Analytics et un CRM américain. Son site n’avait ni bandeau de cookies ni politique de confidentialité conforme à la Loi 25. Après avoir reçu une plainte d’un client à la Commission d’accès à l’information, elle a dû agir rapidement. Son avocat a mis en place un bandeau de cookies conforme, rédigé une politique de confidentialité sur mesure et structuré ses formulaires de consentement. Finalement, la plainte a été classée sans amende grâce à sa bonne foi et sa mise en conformité rapide.
Ce que nous faisons pour vous, très concrètement
Chez ZS Avocats, nous offrons un accompagnement complet pour la mise en conformité avec la Loi 25 au Québec. Nous réalisons un audit de vos pratiques actuelles de collecte et d’utilisation des renseignements personnels. Ensuite, nous rédigeons votre politique de confidentialité sur mesure et vos formulaires de consentement.
Me Samy Ziada coordonne aussi avec votre équipe technique ou votre agence web pour la mise en place des outils nécessaires (bandeau de cookies, registre des incidents). De plus, nous révisons vos contrats avec vos sous-traitants pour y intégrer les clauses de protection des données requises par la Loi 25.
FAQ
Ma PME de 5 employés est-elle vraiment visée par la Loi 25 ?
Oui, la Loi 25 s’applique à toute entreprise qui collecte des renseignements personnels au Québec, peu importe sa taille. Toutefois, les obligations sont proportionnelles à vos activités. Par conséquent, une mise en conformité pour une petite PME est beaucoup plus simple et abordable que pour une grande entreprise.
Quelles sont les amendes en cas de non-conformité à la Loi 25 ?
Les amendes peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial pour les entreprises. Pour les individus, les amendes vont jusqu’à 100 000 $. De plus, la Commission d’accès à l’information peut ordonner la cessation de certaines pratiques. C’est pourquoi la mise en conformité est un investissement et non une dépense.
Combien coûte une mise en conformité avec la Loi 25 pour une PME ?
Les honoraires varient selon la complexité de vos activités et le volume de données que vous traitez. Néanmoins, pour une PME typique, la mise en conformité est accessible et largement inférieure au risque financier d’une amende. Chez ZS Avocats, nous offrons une consultation initiale pour évaluer l’ampleur du travail nécessaire.
Aller plus loin
Pour compléter votre lecture, consultez nos articles sur la conformité réglementaire startup, le droit des affaires PME et le contrat de sous-traitance. Visitez aussi notre page sur le droit des affaires ou réservez une consultation juridique.
Conclusion
La Loi 25 au Québec n’est pas une formalité administrative, c’est une obligation légale qui protège vos clients et votre entreprise. La mise en conformité est un investissement qui renforce la confiance de vos clients et vous protège contre des amendes considérables.
Me Samy Ziada et l’équipe de ZS Avocats sont disponibles pour vous accompagner dans votre mise en conformité avec la Loi 25. Contactez-nous au 438 738 8678 ou à samy@zsavocats.com.
Laisser un commentaire