La protection des données personnelles (Loi 25)

La protection de la vie privée n’est pas une nouveauté au Québec : elle est ancrée dans la Charte des droits et libertés de la personne et dans le Code civil du Québec. Ce qui a changé, c’est l’ampleur des données recueillies à l’ère du numérique. Pour y répondre, le législateur québécois a adopté une réforme majeure. Au Québec, la protection des renseignements personnels dans le secteur privé a été modernisée par la « Loi 25 » (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels). L’application de ces règles est supervisée par un organisme indépendant, la Commission d’accès à l’information (CAI), dont vous pouvez consulter les ressources officielles sur le site de la Commission d’accès à l’information du Québec.

Qu’est-ce que la Loi 25 ?

La « Loi 25 » est le nom courant donné à la loi qui modifie plusieurs textes québécois afin de renforcer la protection des renseignements personnels. Elle touche à la fois les organismes publics et les entreprises du secteur privé. Son entrée en vigueur s’est faite par étapes, ce qui a laissé aux organisations le temps de s’adapter à des obligations progressivement plus exigeantes.

Un renseignement personnel est une information qui concerne une personne physique et qui permet, directement ou indirectement, de l’identifier. Cela va bien au-delà du nom : une adresse IP, un identifiant en ligne, une photo ou un historique de navigation peuvent constituer des renseignements personnels selon le contexte.

L’esprit de la réforme tient en quelques mots : plus de transparence, un consentement mieux éclairé, une responsabilité accrue des organisations et des droits élargis pour les personnes. Les entreprises doivent notamment obtenir un consentement clair, nommer un responsable de la protection des renseignements personnels, signaler les incidents de confidentialité présentant un risque de préjudice sérieux, et respecter des droits des personnes (accès, rectification, et la portabilité). La Commission d’accès à l’information (CAI) supervise l’ensemble.

Concrètement, cette réforme touche tout le monde. Comme personne, vous êtes en contact quotidien avec des dizaines d’organisations qui détiennent vos renseignements : votre banque, votre employeur, les commerces où vous achetez, les applications que vous utilisez, votre pharmacie ou votre association sportive. La Loi 25 vous donne des outils pour savoir ce qui est détenu à votre sujet et pour reprendre la main lorsque c’est nécessaire. Comme organisation, elle transforme la protection des renseignements en une véritable obligation de gouvernance, qui doit être intégrée aux processus, aux contrats et à la culture de l’entreprise, plutôt que reléguée à une clause en bas de page.

Il faut aussi comprendre pourquoi cette réforme a été jugée nécessaire. Les anciennes règles québécoises en matière de vie privée dataient d’une époque où les données circulaient beaucoup moins. Avec la multiplication des plateformes en ligne, des applications mobiles, de l’infonuagique et de l’intelligence artificielle, les renseignements personnels se sont mis à voyager par-delà les frontières et à alimenter des systèmes de plus en plus complexes. Le législateur a voulu redonner aux personnes un contrôle réel sur ces informations, tout en responsabilisant davantage les organisations qui en tirent une valeur commerciale. C’est dans cet esprit que la Loi 25 s’inscrit dans un mouvement mondial de renforcement de la protection de la vie privée, comparable à celui observé ailleurs au Canada et en Europe.

Un autre changement de fond concerne la responsabilité des organisations. Auparavant, il était surtout question d’obtenir un consentement au moment de la collecte. Désormais, l’entreprise doit démontrer qu’elle protège les renseignements tout au long de leur cycle de vie : de la collecte à la destruction, en passant par le stockage, l’utilisation et, le cas échéant, la communication à des tiers. Cette approche par la responsabilité (parfois appelée « imputabilité ») place le fardeau sur l’organisation, qui doit être en mesure de rendre des comptes.

Le consentement clair

Le consentement est au cœur de la réforme. Pour être valide, il doit être manifeste, libre et éclairé, et donné à des fins précises. Autrement dit, une entreprise ne peut plus se contenter d’une case pré-cochée noyée dans de longues conditions d’utilisation. La personne doit comprendre à quoi elle consent et pour quel usage.

Le consentement doit aussi être demandé pour chaque finalité distincte. Recueillir un courriel pour livrer une commande est une chose ; l’utiliser ensuite pour du marketing ciblé en est une autre, qui exige un consentement propre. Les renseignements sensibles – par exemple ceux qui touchent la santé – appellent une prudence renforcée et, en principe, un consentement exprès.

Lorsqu’il s’agit d’un enfant de moins de 14 ans, le consentement doit généralement être donné par le titulaire de l’autorité parentale, sauf lorsque la collecte est manifestement au bénéfice de l’enfant.

La réforme accorde également une attention particulière aux technologies de suivi et à la publicité ciblée. Lorsqu’une entreprise recueille des renseignements par une technologie qui permet d’identifier, de localiser ou de profiler une personne, elle doit d’abord informer cette dernière et lui offrir les moyens d’activer les fonctions permettant ce suivi. Autrement dit, la personne doit rester maître de ce qu’elle accepte, plutôt que d’être suivie à son insu. Cette exigence de transparence vaut aussi bien pour un site web que pour une application mobile.

Les obligations des entreprises

La Loi 25 impose aux entreprises une série d’obligations concrètes. Le tableau suivant en résume les principales, sans prétendre remplacer un avis juridique adapté à chaque organisation.

Les incidents de confidentialité

Un incident de confidentialité vise notamment l’accès, l’utilisation ou la communication non autorisés de renseignements personnels, ainsi que leur perte. Lorsqu’un tel incident survient, l’entreprise doit d’abord prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter que de nouveaux incidents ne se produisent.

Si l’incident présente un risque de préjudice sérieux, l’entreprise doit aviser la CAI ainsi que les personnes concernées, avec diligence. Pour évaluer ce risque, on tient compte de la sensibilité des renseignements, des conséquences possibles de leur utilisation et de la probabilité qu’ils soient utilisés à des fins préjudiciables. L’entreprise doit également tenir un registre de tous les incidents, même ceux qui ne présentent pas un risque sérieux.

Pour les personnes touchées, cette obligation de notification est précieuse : elle permet de réagir rapidement, par exemple en changeant un mot de passe, en surveillant ses comptes ou en signalant une possible fraude. Si vous recevez un avis d’incident, lisez-le attentivement, car il devrait décrire les renseignements en cause, les mesures prises par l’entreprise et les gestes que vous pouvez poser pour vous protéger. En cas de doute sur la manière dont un incident a été géré, vous pouvez communiquer avec la CAI, qui peut examiner la situation.

Du côté des entreprises, la meilleure défense reste la prévention : chiffrement des données sensibles, gestion rigoureuse des accès, formation du personnel et procédures claires à suivre en cas de fuite. Un incident bien géré, avec une communication transparente, limite non seulement le préjudice aux personnes, mais aussi l’atteinte à la réputation de l’organisation.

Vos droits sur vos données

La réforme renforce aussi les droits des personnes. Vous n’êtes pas un simple fournisseur de données : vous conservez un contrôle réel sur les renseignements qui vous concernent. Ces droits ne sont pas théoriques : ils sont conçus pour être exercés facilement, gratuitement dans la plupart des cas, et l’entreprise a l’obligation d’y répondre dans un délai raisonnable. Le tableau ci-dessous présente ces droits.

Comment exercer vos droits

Pour exercer vos droits, la première étape consiste habituellement à communiquer avec le responsable de la protection des renseignements personnels de l’entreprise. Sa fonction, et souvent ses coordonnées, doivent être accessibles, par exemple dans la politique de confidentialité publiée sur le site web de l’organisation.

Formulez votre demande par écrit et conservez une trace de vos échanges. L’entreprise dispose d’un délai pour répondre. En cas de refus, de silence ou de réponse insatisfaisante, vous pouvez vous adresser à la Commission d’accès à l’information, qui peut examiner votre plainte. Ce fonctionnement rejoint, à plusieurs égards, les principes de l’accès à l’information dans le secteur public.

Ce que cela change pour les entreprises

Pour les organisations, la Loi 25 impose une véritable culture de la protection des renseignements personnels, plutôt qu’une simple formalité administrative. Cela suppose de cartographier les données détenues, de revoir les formulaires de consentement, de mettre à jour les politiques de confidentialité et de former le personnel. Ces obligations recoupent souvent des enjeux plus larges de gouvernance, abordés dans notre thème Affaires et entreprises.

La bonne nouvelle est que ces efforts renforcent aussi la confiance des clients. Une entreprise transparente sur l’usage des données se distingue positivement, dans un contexte où la protection de la vie privée est devenue une préoccupation majeure.

Il faut aussi tenir compte de la communication de renseignements à des tiers, notamment lorsque des données sont transférées à des fournisseurs ou hébergées à l’extérieur du Québec. La loi encadre ces situations : l’entreprise doit s’assurer que les renseignements bénéficient d’une protection adéquate, en tenant compte, entre autres, du caractère sensible des données et du cadre juridique applicable à l’endroit où elles seront traitées. Un contrat écrit précisant les obligations du tiers est généralement de mise.

Enfin, la conformité n’est pas un projet ponctuel, mais un processus continu. Les pratiques doivent être révisées régulièrement, à mesure que l’entreprise adopte de nouveaux outils ou modifie ses activités. Documenter ses décisions, conserver une trace des consentements et réviser périodiquement ses politiques permet non seulement de respecter la loi, mais aussi de réagir plus sereinement en cas de plainte ou d’enquête de la CAI.

En pratique : par où commencer

Que vous soyez une personne soucieuse de ses données ou une organisation qui souhaite se conformer, quelques réflexes simples aident à s’y retrouver. Pour la personne : lisez les politiques de confidentialité avant de fournir des renseignements sensibles, limitez ce que vous partagez au strict nécessaire, et n’hésitez pas à exercer vos droits d’accès et de rectification lorsque quelque chose vous semble inexact. Vérifiez aussi les réglages de confidentialité de vos applications et de vos appareils, et retirez votre consentement lorsqu’une utilisation ne vous convient plus.

Pour l’organisation : commencez par cartographier les renseignements que vous détenez, désignez un responsable de la protection des renseignements personnels, mettez à jour votre politique de confidentialité et vos formulaires de consentement, prévoyez une procédure claire en cas d’incident et formez votre personnel. Ces gestes, échelonnés dans le temps, permettent de bâtir une conformité durable plutôt qu’une réponse improvisée. En cas de doute sur une obligation précise, un avis juridique adapté à votre réalité demeure le moyen le plus sûr d’éviter les erreurs coûteuses.

Questions fréquentes

Cette fiche fournit de l’information juridique générale à jour au 15 juin 2026. Elle ne constitue pas un avis juridique. Chaque situation est unique : pour des conseils adaptés, consultez un avocat.