En une phrase. La Loi 25 (« Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », adoptée le 22 septembre 2021, ex-projet de loi 64) a aligné le droit québécois sur les standards du RGPD en trois vagues — 22 septembre 2022, 2023 et 2024 — imposant aux entreprises un responsable de la protection des renseignements personnels, la notification des incidents de confidentialité, des évaluations des facteurs relatifs à la vie privée (EFVP), un consentement renforcé et la portabilité, sous le contrôle de la Commission d’accès à l’information (CAI), avec des sanctions administratives jusqu’à 10 M$ CA ou 2 % du chiffre d’affaires mondial et des sanctions pénales jusqu’à 25 M$ CA ou 4 %.
Pour les entreprises francophones, le Québec est souvent le premier marché nord-américain — et la Loi 25 la première rencontre avec un « RGPD d’Amérique ». La parenté est réelle et assumée par le législateur québécois, mais les différences de détail (consentement, EFVP obligatoires, transferts hors Québec, régime de sanctions) piègent les conformités transposées telles quelles.
Ce guide présente le calendrier, les obligations en vigueur, les sanctions, la comparaison structurée avec le RGPD, et un plan d’action pour les entreprises européennes actives au Québec. Il complète notre série jurisdictionnelle : RGPD en Suisse, en Belgique et au Luxembourg.
Points clés
- Texte : Loi 25 (2021), modernisant principalement la Loi sur la protection des renseignements personnels dans le secteur privé (« Loi sur le privé ») et son équivalent public.
- Entrée en vigueur en trois vagues : 22 septembre 2022, 22 septembre 2023 (le gros des obligations), 22 septembre 2024 (portabilité).
- Autorité : Commission d’accès à l’information (CAI) — pouvoirs d’enquête, d’ordonnance et de sanction administrative.
- Sanctions administratives : jusqu’à 10 M$ CA ou 2 % du CA mondial ; pénales : jusqu’à 25 M$ CA ou 4 % — des plafonds calqués sur la logique RGPD.
- Obligations phares : responsable de la protection des renseignements personnels, registre des incidents de confidentialité et notification, EFVP (y compris avant communication hors Québec), consentement granulaire, transparence des décisions automatisées, portabilité.
1. Le calendrier en trois vagues
22 septembre 2022
- Désignation d’un responsable de la protection des renseignements personnels (par défaut : le dirigeant le plus haut placé, avec délégation possible) — l’équivalent fonctionnel du DPO européen, publication de son titre et de ses coordonnées sur le site web ;
- Incidents de confidentialité : tenue d’un registre, notification à la CAI et aux personnes concernées de tout incident présentant un risque de préjudice sérieux — le cousin québécois de la notification de violation RGPD, sans le délai fixe de 72 h mais « avec diligence » ;
- Encadrement de la communication de renseignements à des fins d’étude ou de recherche.
22 septembre 2023 — le cœur de la réforme
- Politiques et pratiques de gouvernance publiées en termes simples et clairs ;
- EFVP (évaluation des facteurs relatifs à la vie privée) obligatoire pour tout projet d’acquisition, de développement ou de refonte de système impliquant des renseignements personnels, et avant toute communication hors Québec — plus systématique que l’AIPD européenne, réservée aux traitements à risque élevé ;
- Consentement : manifeste, libre, éclairé, à des fins spécifiques, demandé « en termes simples et clairs » et séparément de toute autre information ; consentement exprès pour les renseignements sensibles ;
- Transparence des décisions automatisées et des technologies d’identification, de localisation ou de profilage (avec possibilité de désactivation) ;
- Confidentialité par défaut des paramètres des produits et services publics ;
- Destruction ou anonymisation des renseignements une fois les fins accomplies (voir notre guide de l’anonymisation) ;
- Droit à l’oubli à la québécoise : désindexation et cessation de diffusion dans certaines conditions.
22 septembre 2024
- Droit à la portabilité : communication des renseignements personnels informatisés dans un format technologique structuré et couramment utilisé — l’écho direct de l’article 20 RGPD.
2. Les sanctions : un régime à deux étages
La Loi 25 a doté la CAI d’un arsenal sans équivalent au Canada :
| Régime | Plafond | Prononcé par |
|---|---|---|
| Sanctions administratives pécuniaires | 10 M$ CA ou 2 % du chiffre d’affaires mondial | CAI |
| Sanctions pénales | 25 M$ CA ou 4 % du chiffre d’affaires mondial (doublées en cas de récidive) | Tribunal, sur poursuite |
| Dommages-intérêts punitifs | Minimum 1 000 $ par personne en cas d’atteinte illicite et intentionnelle ou de faute lourde | Tribunaux civils |
Le troisième étage mérite attention : combiné aux actions collectives, très vivantes au Québec, il crée une exposition contentieuse privée que le RGPD ne produit qu’imparfaitement via son article 82.
3. Loi 25 vs RGPD : la comparaison utile
| Sujet | Loi 25 | RGPD |
|---|---|---|
| Champ | Renseignements personnels, entreprises exerçant au Québec | Données personnelles, champ extraterritorial (art. 3) |
| Bases légales | Consentement au centre, exceptions limitées | 6 bases légales alternatives, dont l’intérêt légitime |
| Analyse d’impact | EFVP systématique (projets SI + communications hors Québec) | AIPD si risque élevé (art. 35) |
| Violation / incident | Notification si « risque de préjudice sérieux », « avec diligence » | Notification sous 72 h sauf absence de risque |
| Gouvernance | Responsable PRP (dirigeant par défaut) | DPO obligatoire par critères (art. 37) |
| Transferts | EFVP avant communication hors Québec (protection adéquate) | Chapitre V : adéquation, CCT, BCR (guide transferts) |
| Portabilité | Depuis sept. 2024, données informatisées | Art. 20, données fournies, traitement automatisé |
| Sanctions max | 25 M$ CA / 4 % (pénal) | 20 M€ / 4 % (administratif) |
Deux différences structurantes pour un acteur européen :
À noter enfin : le Canada bénéficie d’une décision d’adéquation européenne partielle (couvrant les traitements commerciaux sous PIPEDA), réexaminée et maintenue par la Commission européenne en janvier 2024 — les flux UE→Canada commercial restent donc simples côté européen (voir la liste des pays reconnus adéquats).
4. Plan d’action pour une entreprise européenne active au Québec
- Qualifier l’exposition : vendez-vous, employez-vous ou traitez-vous des renseignements de résidents québécois ? La loi s’applique à toute entreprise qui exerce une activité au Québec, peu important son siège.
- Désigner et publier le responsable de la protection des renseignements personnels.
- Adapter le consentement : granularité, termes simples, consentement exprès pour les données sensibles, désactivation du profilage — votre CMP et vos parcours européens (consentement RGPD) sont une base, pas un produit fini.
- Industrialiser les EFVP : gabarit, critères, registre des évaluations — y compris pour les transferts Québec→France, qui exigent une EFVP côté québécois.
- Brancher les incidents : étendre votre procédure de violation RGPD au registre et aux critères québécois (« risque de préjudice sérieux », notification CAI).
- Réviser contrats et sous-traitance : les communications à des tiers et mandataires doivent être encadrées par écrit — logique proche de l’article 28 RGPD.
FAQ
La Loi 25 s’applique-t-elle à une entreprise française sans bureau au Québec ?
Oui, dès lors qu’elle exerce une activité au Québec et traite des renseignements personnels de résidents (vente en ligne ciblée, employés locaux, clients québécois). Le critère est matériel, pas capitalistique — même logique extraterritoriale de fait que l’article 3 du RGPD.
Une conformité RGPD suffit-elle pour la Loi 25 ?
Elle couvre environ 80 % du chemin : gouvernance, registre, sécurité, droits des personnes, incidents. Les 20 % restants sont précisément là où l’on se fait sanctionner : consentement plus strict (pas d’intérêt légitime), EFVP systématiques, notification CAI, publication du responsable PRP, portabilité au format québécois.
Qu’est-ce qu’un « incident de confidentialité » ?
Tout accès, utilisation, communication non autorisés ou perte de renseignements personnels. Il doit être consigné au registre ; si un risque de préjudice sérieux existe (sensibilité, conséquences, malveillance), il faut notifier la CAI et les personnes concernées avec diligence.
Quelles sanctions ont déjà été prononcées ?
La CAI monte en puissance progressivement : enquêtes, ordonnances et premières procédures de sanctions administratives depuis l’entrée en vigueur complète du régime en 2023. L’exposition la plus immédiate reste les dommages-intérêts punitifs et les actions collectives devant les tribunaux civils québécois, très actives en matière de vie privée.
Conclusion
La Loi 25 est le texte le plus proche du RGPD en Amérique du Nord — consentement renforcé, analyses d’impact, portabilité, sanctions en pourcentage du chiffre d’affaires. Pour une entreprise européenne, la stratégie efficace n’est pas de dupliquer un deuxième programme de conformité, mais d’étendre le socle existant : mêmes registres, mêmes cartographies, mêmes procédures d’incident, avec une surcouche québécoise sur le consentement, les EFVP et la CAI. Ceux qui traitent la Loi 25 comme un delta maîtrisé en font un avantage commercial sur le marché francophone nord-américain.