Loi 25 : autodiagnostic pour PME de services
Répondez par oui, non ou je ne sais pas à 15 questions sur votre entreprise. À la fin, vous voyez ce qui vous manque, et chaque point renvoie à l'article de loi ou au guide officiel qui l'exige. Vos réponses restent dans votre navigateur : rien n'est envoyé ni enregistré. Rien n'est envoyé ni enregistré : tout se calcule dans votre navigateur.
Faites l'autodiagnostic
Les obligations et leurs sources
- La personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels (délégable par écrit), et son titre et ses coordonnées sont publiés sur le site Web de l'entreprise ou, à défaut de site, rendus accessibles autrement.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.1.
- L'entreprise établit et applique des politiques et pratiques de gouvernance qui prévoient notamment la conservation et la destruction, les rôles et responsabilités du personnel et un processus de traitement des plaintes ; elles sont proportionnées à ses activités, approuvées par le responsable, et des informations détaillées à leur sujet sont publiées en termes simples et clairs sur son site.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.2.
- Qui recueille des renseignements personnels par un moyen technologique publie sur le site de l'entreprise, et diffuse par tout moyen propre à joindre les personnes concernées, une politique de confidentialité rédigée en termes simples et clairs, ainsi qu'un avis de toute modification.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) ; Commission d'accès à l'information, page « Collecte de renseignements personnels », art. 8.2 ; contenu attendu : page CAI, section « Politique de confidentialité de l'entreprise ».
- Lors de la collecte, la personne est informée des fins, des moyens de collecte, de ses droits d'accès et de rectification et de son droit de retirer son consentement ; le cas échéant, aussi des tiers à qui les renseignements sont communiqués et de la possibilité qu'ils soient communiqués à l'extérieur du Québec ; le tout en termes simples et clairs.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 8.
- Un renseignement personnel ne s'utilise qu'aux fins de sa collecte, sauf consentement ou exception prévue par la loi (la prospection commerciale n'est pas une fin compatible) ; le consentement est manifeste, libre, éclairé, donné à des fins spécifiques, demandé à chacune de ces fins et, s'il est demandé par écrit, présenté distinctement de toute autre information.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 12 et 14.
- L'entreprise qui utilise des renseignements personnels à des fins de prospection commerciale s'identifie auprès de la personne et l'informe de son droit de retirer son consentement ; après le retrait, les renseignements cessent d'être utilisés à ces fins.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 22.
- Qui recueille des renseignements au moyen d'une technologie comprenant des fonctions d'identification, de localisation ou de profilage doit informer au préalable la personne du recours à cette technologie et des moyens offerts pour activer ces fonctions ; selon la Commission, ces fonctions ne peuvent donc pas être activées par défaut.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) ; Commission d'accès à l'information, page « Collecte de renseignements personnels », section « Technologies d'identification, de localisation et de profilage », art. 8.1 LP ; page CAI, section « Technologies d'identification, de localisation et de profilage ».
- L'entreprise tient un registre des incidents de confidentialité, dont le contenu est fixé par règlement, conservé au moins 5 ans après la date où elle a pris connaissance de l'incident, et transmis à la Commission sur demande.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) ; Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1), art. 3.8 LP ; art. 7 et 8 du Règlement sur les incidents de confidentialité.
- En cas d'incident, l'entreprise prend les mesures raisonnables pour diminuer le risque de préjudice et éviter qu'il se reproduise ; elle évalue le risque en consultant son responsable et, si l'incident présente un risque de préjudice sérieux, avise avec diligence la Commission et les personnes concernées.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) ; Commission d'accès à l'information, page « Incidents de confidentialité et mesures de sécurité », art. 3.5 à 3.7.
- Toute personne peut obtenir communication de ses renseignements personnels et en exiger la rectification s'ils sont inexacts, incomplets ou équivoques ; le responsable répond par écrit, avec diligence et au plus tard dans les 30 jours de la réception de la demande, faute de quoi la demande est réputée refusée.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 27, 28, 30 et 32.
- Avant de communiquer un renseignement personnel à l'extérieur du Québec, ou de confier à une personne ou un organisme hors Québec la tâche de le recueillir, l'utiliser, le communiquer ou le conserver pour son compte, l'entreprise fait une évaluation des facteurs relatifs à la vie privée ; la communication n'a lieu que si la protection est adéquate et fait l'objet d'une entente écrite.
- La communication sans consentement à un mandataire ou à un fournisseur est permise si elle est nécessaire au mandat ou au contrat, à condition de le confier par écrit et d'y indiquer les mesures que le fournisseur prend pour protéger la confidentialité, pour n'utiliser le renseignement que dans ce cadre et pour ne pas le conserver après l'expiration du contrat (l'obligation d'indiquer ces mesures dans le contrat ne s'applique pas lorsque le fournisseur est un membre d'un ordre professionnel ou un organisme public).
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 18.3.
- L'entreprise fait une évaluation des facteurs relatifs à la vie privée de tout projet d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services impliquant des renseignements personnels, consulte son responsable dès le début du projet et s'assure que les renseignements informatisés recueillis auprès d'une personne puissent lui être communiqués dans un format technologique structuré et couramment utilisé ; l'évaluation est proportionnée.
- L'entreprise qui utilise des renseignements personnels pour rendre une décision fondée exclusivement sur un traitement automatisé en informe la personne au plus tard au moment où elle l'informe de la décision ; sur demande, elle lui indique les renseignements utilisés, les raisons et principaux facteurs et paramètres, et son droit de rectification, et lui donne l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.
- Lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, l'entreprise doit le détruire ou l'anonymiser pour l'utiliser à des fins sérieuses et légitimes, sous réserve d'un délai de conservation prévu par une loi ; l'anonymisation suit les meilleures pratiques et les critères fixés par règlement.
Source : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 23.
Ce que cet outil n'est pas
- Aucun seuil de taille.
La loi vise toute entreprise, petite ou grande. Plusieurs obligations, comme les règles de gouvernance et l'évaluation des facteurs relatifs à la vie privée, se font toutefois en proportion de la taille de l'entreprise et de la sensibilité des renseignements.
- Les coordonnées d'affaires.
La loi soustrait à certaines de ses sections les renseignements liés à la fonction d'une personne dans une entreprise (nom, titre, coordonnées du travail). Dans les faits, un courriel d'affaires et un courriel personnel se distinguent mal : mieux vaut appliquer les mêmes règles partout.
- Les témoins (cookies).
La désactivation par défaut vise les fonctions qui permettent d'identifier, de localiser ou de profiler une personne. Savoir si un outil précis de statistiques ou de publicité entre dans cette catégorie demande une analyse au cas par cas.
- L'IA et les décisions automatisées.
L'obligation d'informer vise les décisions prises exclusivement par un système, sans intervention humaine. Ce n'est pas une règle générale sur l'IA.
- Le courriel commercial.
La Loi canadienne anti-pourriel, une loi fédérale, s'ajoute à la Loi 25 pour tout message commercial électronique. Cet outil ne la couvre pas.
Cet outil n'est pas un avis juridique et ne remplace pas un avocat ou la Commission d'accès à l'information. C'est un relevé des sources officielles fait le 25 octobre 2026 (texte de LégisQuébec à jour au 15 octobre 2026) ; la loi s'applique avec des nuances que 15 questions ne peuvent pas couvrir.
The ALGORITM n'est pas un cabinet d'avocats. Pour un cas précis, consultez la Commission d'accès à l'information ou un professionnel du droit. Quand on automatise un processus qui touche des renseignements personnels, on part de ces mêmes obligations.
Les autres outils gratuits
- Quiz : votre bottleneck n° 1
Vingt questions pour savoir par quelle automatisation commencer.
- Calculateur d'heures
Ce que les heures perdues chaque semaine valent sur une année.
- Calculateur d'abonnements
Ce que vos abonnements logiciels coûteront sur 10 ans.
Tout commence par l'audit offert.
Trente minutes pour nommer le bottleneck qui vous coûte le plus d'heures, et par quoi commencer.