Loi 25 du Québec — Régime modernisé de protection de la vie privée
Modernisation Loi 64 maintenant pleinement en vigueur — ce que toute entreprise faisant affaire au Québec doit savoir
La Loi 25 du Québec (officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, anciennement projet de loi 64) est entrée en vigueur par étapes de septembre 2022 à septembre 2024. Elle a modernisé de manière significative le régime québécois de protection de la vie privée du secteur privé, l'alignant plus étroitement sur le RGPD.
Qui est assujetti à la Loi 25
Toute entreprise du secteur privé (société, partenariat, entreprise individuelle) collectant, utilisant ou divulguant des renseignements personnels de résidents québécois. S'applique quel que soit l'emplacement de l'entreprise — entreprises américaines, européennes et autres canadiennes avec clients québécois y sont également assujetties. Aucun seuil de revenu ou de taille.
Consentement exprès et divulgation du but
Le consentement doit être exprès (pas de cases pré-cochées), donné librement, spécifique, éclairé, avec divulgation claire du but. Chaque nouveau but exige un nouveau consentement. Le consentement peut être retiré à tout moment, l'entreprise doit le traiter dans un délai raisonnable. Les avis de confidentialité doivent être en langage clair en français.
Divulgation de transfert de données transfrontalier
Changement significatif par rapport au régime précédent : les entreprises doivent effectuer une évaluation des facteurs relatifs à la vie privée pour les transferts de données transfrontaliers et assurer une protection adéquate. Les clients doivent être informés des transferts hors Québec.
Responsable de la protection des renseignements personnels obligatoire
Toutes les entreprises assujetties à la Loi 25 doivent désigner un Responsable de la protection des renseignements personnels. Pour la plupart des PME, ceci revient par défaut au plus haut dirigeant à moins que quelqu'un d'autre soit explicitement désigné. L'identité du Responsable doit être publiée en ligne.
Notification de violation et pénalités
Les violations de la vie privée avec risque de préjudice sérieux doivent être signalées à la Commission d'accès à l'information (CAI) et aux personnes concernées 'avec diligence'. Amendes maximales : 25 M$ ou 4 % du revenu mondial de l'année précédente (le plus élevé). Droit d'action privé pour les individus.
Comment 4b2b aide
Questions fréquentes
La Loi 25 s'applique-t-elle à moi si je ne suis pas au Québec ?
Oui si vous avez des clients québécois. La loi s'applique selon l'emplacement du sujet des données, pas l'emplacement de l'entreprise.
Qu'est-ce qui compte comme 'consentement exprès' ?
Pas de cases pré-cochées, divulgation claire du but, donné librement. L'utilisateur doit prendre une action affirmative explicite. En ligne : clic réel sur une case de consentement non cochée.
La résidence canadienne des données est-elle obligatoire ?
Pas techniquement, mais les transferts transfrontaliers exigent une évaluation des facteurs relatifs à la vie privée + divulgation aux clients + protection adéquate contractuelle. La résidence canadienne simplifie la conformité.
Et les exigences françaises de la Loi 96 ?
La Loi 96 (distincte, 2022) exige le français. Les avis de confidentialité, formulaires de consentement, communications avec clients québécois doivent être en français.
Ampleur des pénalités ?
Jusqu'à 25 M$ CAD ou 4 % du chiffre d'affaires mondial de l'année précédente, le plus élevé. Plus droit d'action privé — les individus peuvent poursuivre pour dommages.
Solutions et secteurs connexes
Mettez en pratique ce guide avec des solutions 4b2b concrètes et des exemples sectoriels.