Loi 25 et LPRPDE —
cadres juridiques applicables aux entreprises au Canada

Contexte : un cadre juridique à plusieurs paliers

Il n'existe pas au Canada de loi unique régissant la protection des renseignements personnels. Le cadre repose sur un partage des compétences constitutionnelles entre le fédéral et les provinces, complété par des régimes sectoriels (santé, services financiers) et des distinctions entre secteurs public et privé. Une organisation qui souhaite se conformer doit donc commencer par identifier précisément quel régime s'applique à ses activités — et accepter que plusieurs régimes puissent s'appliquer simultanément.

Cette étape d'orientation juridique est souvent négligée par les PME, qui présument soit qu'une seule loi s'applique, soit qu'aucune obligation ne les concerne en raison de leur taille. Les deux présomptions sont généralement erronées.

Définition des régimes applicables

Chaque régime définit son propre champ d'application, ses obligations spécifiques et son autorité de contrôle. Bien que les principes fondamentaux se rejoignent largement, les modalités d'application et les sanctions diffèrent substantiellement.

Cadres juridiques applicables en détail

Loi 25 — Secteur privé québécois

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25) a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) du Québec. Elle s'applique à toute entreprise privée qui exerce ses activités au Québec et qui collecte, détient, utilise ou communique des renseignements personnels dans le cadre de ses activités. Adoptée en 2021 et déployée par étapes jusqu'en septembre 2024, elle est généralement considérée comme le régime le plus strict au Canada.

LPRPDE — Secteur privé fédéral

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique aux organisations du secteur privé dans le cadre d'activités commerciales interprovinciales ou internationales, ainsi qu'aux organisations sous compétence fédérale (banques, télécommunications, transport aérien, entreprises de transport ferroviaire interprovincial). Elle peut également s'appliquer aux organisations québécoises dans la mesure où elles exercent des activités commerciales dépassant les frontières provinciales.

Secteur public québécois

Les organismes publics du Québec (ministères, municipalités, commissions scolaires, réseaux de la santé) sont régis par la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, également modifiée par la Loi 25. Le principe directeur y est distinct : la transparence des documents publics, avec des exceptions pour protéger les renseignements personnels.

Secteur public fédéral

Les institutions fédérales sont régies par la Loi sur la protection des renseignements personnels (LPRP fédérale) pour ce qui concerne les renseignements personnels détenus par l'administration fédérale. Ce régime est distinct de la LPRPDE qui ne s'applique qu'au secteur privé.

Obligations communes et spécificités par régime

Les deux régimes principaux du secteur privé (Loi 25 et LPRPDE) partagent plusieurs obligations fondamentales, avec des différences d'intensité :

• Désigner une personne responsable — RPRP dans la Loi 25, agent de conformité à la protection de la vie privée dans la LPRPDE.
• Obtenir un consentement valide — la Loi 25 exige un consentement plus explicite et distinct selon les finalités.
• Informer les personnes au moment de la collecte — finalités, catégories de tiers, droits applicables.
• Mettre en place des mesures de sécurité raisonnables proportionnées à la sensibilité des renseignements.
• Tenir un registre des incidents et notifier en cas de risque de préjudice sérieux.
• Permettre l'accès et la rectification par les personnes concernées.
• Détruire ou anonymiser les renseignements à la fin des finalités.
• Évaluation des facteurs relatifs à la vie privée (EFVP) — obligatoire dans la Loi 25 pour les projets importants, bonne pratique dans la LPRPDE.
• Transferts hors Québec / hors Canada — la Loi 25 impose une évaluation spécifique préalable à tout transfert hors Québec.

Quand les deux régimes s'appliquent, le plus strict prévaut en pratique pour chaque obligation concernée.

Obligation légale ou bonne pratique? La distinction compte.

Identifier le régime applicable est strictement obligatoire. Plusieurs démarches complémentaires relèvent cependant des bonnes pratiques recommandées pour démontrer la diligence de l'organisation.

Les bonnes pratiques ne sont pas facultatives en pratique : leur absence rend difficile la démonstration de la diligence en cas d'enquête ou de plainte.

Exemples d'application concrète

Organisation active uniquement au Québec

Une PME qui collecte des renseignements personnels exclusivement dans le cadre d'activités québécoises (clients, employés, fournisseurs tous au Québec) relève uniquement de la Loi 25. Ses mesures de conformité doivent refléter les obligations spécifiques de ce régime, notamment en matière de consentement, d'EFVP et de transferts.

Organisation avec activités commerciales interprovinciales

Une entreprise qui vend des biens ou services à des clients dans plusieurs provinces canadiennes est soumise à la LPRPDE pour ces activités. Si son siège est au Québec, elle demeure soumise à la Loi 25 pour ses activités québécoises — la conformité doit donc intégrer les exigences des deux régimes.

Organisation sous compétence fédérale

Les institutions financières, entreprises de télécommunications, transporteurs aériens et autres organisations sous compétence fédérale sont soumises à la LPRPDE pour l'ensemble de leurs activités commerciales, incluant leurs opérations au Québec. Les sous-traitants et fournisseurs de ces organisations peuvent également être visés dans le cadre de leurs mandats.

Risques en cas de non-conformité

L'exposition se mesure sur deux axes : les sanctions juridiques prévues par chaque régime et les coûts opérationnels d'un incident ou d'une plainte mal orientée.

Angle 1 — Sanctions juridiques

• Loi 25 — Sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé.
• Loi 25 — Sanctions pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour certaines infractions graves.
• LPRPDE — Sanctions pouvant atteindre 100 000 $ par infraction dans le cadre prévu par la loi.
• Ordonnances de la CAI — contraignantes, avec force exécutoire dans le cadre de la Loi 25.
• Actions privées — la Loi 25 reconnaît un droit d'action privée avec possibilité de dommages-intérêts punitifs.
• Impact réputationnel — décisions publiques de la CAI et du Commissariat fédéral, exposition médiatique possible.

Angle 2 — Coûts opérationnels d'une mauvaise orientation juridique

• Mesures inadaptées — politiques et procédures construites sur le mauvais régime, à reprendre.
• Plaintes mal adressées — les personnes concernées peuvent déposer des plaintes à la mauvaise autorité, créant des délais et de la confusion.
• Audits et réajustements — découverte en cours de route que les obligations applicables sont plus strictes qu'anticipé.
• Perte de temps de gestion — la direction doit arbitrer en situation de doute au lieu d'appliquer un cadre clair.
• Difficultés contractuelles — donneurs d'ouvrage et partenaires exigent de plus en plus des preuves de conformité au bon régime.

Une identification claire du régime applicable dès le départ évite la majorité de ces coûts — elle constitue la fondation de toute démarche de conformité efficace.

Lien avec la gouvernance PRP

L'identification du régime juridique applicable conditionne l'ensemble de la gouvernance en protection des renseignements personnels :

• Politiques internes — leur rédaction doit refléter les obligations du ou des régimes applicables, pas un modèle générique.
• Formation des employés — les exemples et cas pratiques doivent refléter le cadre réel de l'organisation.
• Désignation du RPRP — ses responsabilités et ses interlocuteurs institutionnels dépendent du régime applicable.
• Registre des traitements — structure et champs requis varient selon les obligations du régime.
• Contrats avec sous-traitants — les clauses doivent spécifier le régime applicable et les responsabilités qui en découlent.
• Évaluations (EFVP, analyses de risque) — les critères et seuils varient selon le régime.

Questions fréquentes

Mon entreprise a des clients dans plusieurs provinces — dois-je choisir une loi?

Vous ne choisissez pas — les deux régimes peuvent s'appliquer simultanément, chacun à la partie concernée de votre activité. En pratique, il est plus simple d'aligner l'organisation sur le régime le plus strict pour éviter d'avoir à gérer deux ensembles de pratiques distincts.

Suis-je soumis à la LPRPDE si j'héberge mes données aux États-Unis?

Non, l'hébergement des données ne détermine pas le régime applicable. Toutefois, la Loi 25 impose une évaluation spécifique préalable à tout transfert de renseignements personnels hors Québec — cette évaluation est distincte de la question du régime applicable.

Les organismes sans but lucratif sont-ils soumis à la Loi 25?

Les OSBL sont soumis à la Loi 25 pour les renseignements personnels qu'ils détiennent dans le cadre d'activités de nature commerciale ou qui impliquent des relations contractuelles avec des tiers. Les activités purement philanthropiques peuvent avoir un traitement différent — une analyse au cas par cas est recommandée.

Qu'en est-il des travailleurs autonomes et des entreprises individuelles?

Les travailleurs autonomes et les entreprises individuelles qui collectent des renseignements personnels dans le cadre de leurs activités sont soumis à la Loi 25 (au Québec) ou à la LPRPDE (activités interprovinciales). L'application est toutefois proportionnée à la taille et à la nature de l'activité.

Que se passe-t-il si je réalise après coup que j'ai appliqué le mauvais régime?

Il est préférable de régulariser la situation sans délai. Le fait de démontrer une démarche proactive de correction est généralement considéré favorablement par les autorités de contrôle. Un consultant peut aider à faire la transition sans rupture des opérations.

Concrètement

L'identification du régime juridique applicable est la première étape de toute démarche sérieuse de conformité. Si votre organisation ne sait pas clairement sous quel régime elle opère :

• vos obligations légales existent quand même — le régime s'applique indépendamment de votre connaissance ;
• vos mesures de conformité risquent d'être inadaptées, partielles ou mal calibrées ;
• en cas d'incident ou de plainte, votre capacité de réaction sera ralentie par l'ambiguïté juridique.

La formation des équipes et une analyse claire du régime applicable sont les deux fondations opérationnelles — avant les politiques, avant les registres, avant les évaluations. Sans elles, les mesures de gouvernance sont construites sur une orientation juridique incertaine.