Loi 25 pour PME, volet informatique
Loi 25 : le volet informatique de votre PME, pris en charge.
La Loi 25 oblige toute entreprise à protéger les renseignements personnels qu’elle détient. Une bonne partie du travail est informatique : qui a accès à quoi, des mesures de sécurité raisonnables, des appareils effacés avant de partir, des faits notés quand un incident survient. Ce volet-là, PME Soutien s’en occupe avec vous. Le volet juridique reste le vôtre.
Le soutien Loi 25 fait partie du forfait Prévention : registre des accès, inventaire des appareils et des comptes, aide pour le registre des incidents.
Compris dans le forfait Prévention : 89 $par utilisateur, par mois, avant taxes.Matériel, licences, projets et visites sur place en sus.
Exemple
Faits notés pour votre registre
Entreprise Exemple inc.
- Constat
- « J’ai oublié mon portable dans un taxi. »
- Appareil
- Portable d’une employée, service de la paie
- Comptes touchés
- Son compte de courriel et de fichiers
- Ce qui a été fait
- Mot de passe changé, sessions ouvertes fermées, authentification multifacteur vérifiée.
- À décider
- Par l’entreprise : risque de préjudice sérieux ? Avis à la Commission ?
La Loi 25 en une minute.
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur par étapes, de 2022 à 2024.
Elle vise toute entreprise, peu importe sa taille, qui recueille, utilise ou conserve des renseignements personnels : l’adresse et le numéro de téléphone d’un client, le dossier d’un patient, le NAS et le salaire d’un employé.
Une politique bien écrite ne suffit pas si personne ne sait qui a accès aux dossiers, si un ancien employé peut encore ouvrir sa boîte, ou si un vieux portable part au recyclage sans avoir été effacé. C’est là que l’informatique entre en jeu.
Ce que la loi demande aux entreprises
- Une personne responsable
- Par défaut, la personne ayant la plus haute autorité dans l’entreprise. Elle peut déléguer cette fonction par écrit. Son titre et ses coordonnées sont publiés sur le site Web.
- Une politique de confidentialité
- Rédigée en termes simples et clairs, et publiée.
- Un registre des incidents
- Chaque incident de confidentialité y est inscrit. S’il présente un risque de préjudice sérieux, la Commission et les personnes concernées sont avisées.
- Une évaluation avant certains projets
- Avant de communiquer des renseignements à l’extérieur du Québec, et pour tout projet de système qui en traite.
- Un consentement clair
- Manifeste, libre, éclairé et donné à des fins précises.
Source : Commission d’accès à l’information du Québec, principaux changements de la Loi 25, consultée le 26 septembre 2026.
Ce que la loi demande, ce qu’on met en place.
Pour chaque obligation qui touche l’informatique : ce que PME Soutien fait, et ce qui reste une décision de votre entreprise.
| Ce que la loi demande | Ce que PME Soutien met en place | Ce qui reste à votre entreprise |
|---|---|---|
| Des mesures de sécurité raisonnables | Forfait Prévention : authentification multifacteur imposée, postes mis à jour et protégés, chiffrement vérifié, protection du courriel, sauvegarde de Microsoft 365 ou Google Workspace. | Décider du niveau de protection selon la sensibilité de vos renseignements. |
| Limiter l’accès aux personnes qui en ont besoin | Forfait Prévention : le registre des accès. Dans les deux forfaits : accès fermés au départ d’un employé, selon vos autorisations. | Décider qui doit voir quoi. |
| Tenir un registre des incidents de confidentialité | Forfait Prévention : l’aide pour tenir le registre, avec les faits informatiques de chaque incident constaté (quoi, quand, quels comptes ou appareils, ce qui a été fait). | Tenir le registre, évaluer le risque de préjudice sérieux, aviser la Commission et les personnes concernées. |
| Détruire les renseignements quand ils ne servent plus | Forfait Prévention : l’inventaire des appareils et des comptes, pour savoir quels appareils retirer et effacer avant qu’ils partent. | Fixer les durées de conservation et décider quoi supprimer. |
| Savoir où sont les renseignements, y compris hors Québec | Dans les deux forfaits : la documentation TI tenue à jour, avec vos fournisseurs et services en ligne et, quand le fournisseur l’indique, où ils hébergent vos données. | Faire l’évaluation des facteurs relatifs à la vie privée et réviser les clauses avec vos fournisseurs. |
| Désigner une personne responsable | Aucun rôle : c’est une décision de la direction. | Désigner la personne et publier son titre et ses coordonnées. |
Ce travail fait partie du forfait Prévention (89 $ par utilisateur, par mois), sauf mention contraire. Un projet, comme une réorganisation complète des droits d’accès, est soumis à part avant de commencer.
La liste de vérification TI de la Loi 25.
Douze points, gratuits et sans inscription. Cochez ce qui est déjà en place chez vous : ce qui reste ouvert, c’est votre liste de travail.
Cette liste porte sur le volet informatique seulement ; ce n’est pas un avis juridique.
0 sur 12 en place
« Envoyer mes résultats » écrit les points encore ouverts dans le formulaire au bas de la page. Rien ne quitte cette page tant que vous n’envoyez pas ce formulaire.
Nos limites, dites une fois et clairement.
Pas d’avis juridique.
On traduit la loi en tâches informatiques. Vos politiques et vos déclarations se confirment avec un juriste.
Pas votre responsable.
La personne responsable est désignée par la direction. On lui fournit les faits dont elle a besoin.
Pas de déclaration à votre place.
Aviser la Commission ou les personnes concernées reste votre décision. On documente l’incident informatique.
La Loi 25 touche presque tous vos volets.
Comptes, postes, courriel, sauvegardes, réseau : le même fournisseur s’occupe des 12 volets de votre informatique. Chaque volet indique le forfait qui le couvre.
Au quotidien
- Soutien aux employésLes questions et les pannesLes deux forfaits+ Prévention
- Postes et appareilsOrdinateurs, portables, mobilesLes deux forfaits+ Prévention
- Microsoft 365 et Google WorkspaceCourriel, fichiers, calendriersLes deux forfaits+ Prévention
- Comptes, arrivées et départsAccès ouverts, accès fermésLes deux forfaits+ Prévention
Protéger
Infrastructure
Planifier
Les deux forfaits Quotidien et Prévention+ Prévention le forfait Prévention en couvre davantageSoumis à part hors forfait
Les questions sur la Loi 25 et l’informatique.
La référence officielle reste la Commission d’accès à l’information du Québec.
Le site de la CommissionCette page est-elle un avis juridique ?
Non. Elle décrit le volet informatique de la Loi 25 en langage simple. L’interprétation de vos obligations, la rédaction de vos politiques et toute déclaration à la Commission d’accès à l’information se confirment avec un juriste.
La Loi 25 s’applique-t-elle à une PME de 10 personnes ?
Oui. Elle vise toute entreprise qui recueille, utilise ou conserve des renseignements personnels, peu importe sa taille : ceux de ses clients comme ceux de ses employés.
Pouvez-vous être notre responsable de la protection des renseignements personnels ?
Non. Par défaut, c’est la personne ayant la plus haute autorité dans votre entreprise, qui peut déléguer cette fonction par écrit. C’est une décision de la direction ; on lui fournit les faits informatiques dont elle a besoin.
Faut-il un registre même sans incident grave ?
Oui. Le registre vise les incidents de confidentialité en général, pas seulement les graves. Ceux qui présentent un risque de préjudice sérieux doivent en plus être déclarés à la Commission et aux personnes concernées. On vous fournit les faits informatiques de chaque incident constaté.
Nos données sont hébergées hors du Québec. Est-ce un problème ?
Pas en soi. La loi demande une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur du Québec. On vous aide à savoir quels services en ligne vous utilisez et où ils hébergent vos données ; l’évaluation elle-même reste la vôtre.
Le travail lié à la Loi 25 est-il compris dans le forfait ?
Dans le forfait Prévention, oui : le registre des accès, l’inventaire des appareils et des comptes et l’aide pour tenir le registre des incidents, en plus de la base de sécurité et de la sauvegarde. Le forfait Quotidien comprend la fermeture des accès au départ d’un employé et la documentation TI. Une réorganisation complète des droits d’accès est un projet, soumis à part.
Mettons en place le volet informatique de la Loi 25.
Un premier appel, sans engagement, pour voir ce qui est déjà en place chez vous et ce qui reste à faire côté informatique.
Compris dans le forfait Prévention : 89 $par utilisateur, par mois, avant taxes.Matériel, licences, projets et visites sur place en sus.
À préciser dans votre message
- 1Combien de personnes, et qui a accès aux dossiers de clients.
- 2Microsoft 365 ou Google Workspace, et vos logiciels métier.
- 3Les points restés ouverts dans la liste de vérification.
Pas prêt à écrire ? Faire l’autoévaluation (5 min)
Votre demande d’appel
Nous vous répondons en français, pendant les heures ouvrables : par courriel, ou par téléphone si vous laissez un numéro.
La vérification anti-robot ne s’affiche pas ? Écrivez-nous à contact@pmesoutien.ca.