Module 2 · Exigences légales · Formation Gouvernance PRP
Politique de confidentialité selon la Loi 25
Politique de confidentialité selon la Loi 25 —
contenu obligatoire et exigences au Québec
La politique de confidentialité est l'un des documents les plus regardés par la CAI — et le plus souvent mal rédigé. Ce texte présente les exigences de contenu, de publication et les risques en cas de politique incomplète.
Contexte : la politique comme preuve visible de conformité
La politique de confidentialité est le seul document de gouvernance PRP immédiatement accessible à quiconque — clients, partenaires, employés, autorités de contrôle. Sa présence, sa complétude et sa qualité déterminent la première impression en matière de conformité.
La Loi 25 précise son contenu minimal et son obligation d'accessibilité. Les écarts les plus fréquents observés en PME : sections manquantes, langage juridique inaccessible, absence de mise à jour, et dissociation entre politique et pratiques réelles.
Ce que vous devez retenir — version dirigeant
- La politique de confidentialité est obligatoire — pas optionnelle.
- Son contenu minimal est précisément défini par la Loi 25.
- Elle doit refléter vos pratiques réelles, pas un idéal générique.
- Elle doit être publiée et accessible — pas enfouie.
Ce que ça implique pour votre organisation
Si votre politique est copiée, incomplète ou jamais mise à jour :
- votre politique ne correspond pas à vos pratiques réelles,
- vos clients ne peuvent pas exercer leurs droits correctement,
- la CAI constate l'écart dès l'ouverture de la page.
Une politique incomplète n'est pas un détail technique — c'est une non-conformité manifeste et facilement démontrable.
Ce que ça signifie concrètement pour vous
Comme dirigeant, la politique de confidentialité est votre contrat public avec vos clients. Ce que vous n'y écrivez pas :
- ne peut pas être opposé à un client qui conteste une utilisation,
- ne démontre pas votre conformité en cas de plainte ou d'enquête,
- ne protège pas l'organisation contre les interprétations défavorables.
La politique n'est pas un document juridique à protéger l'entreprise contre ses clients — c'est l'inverse : elle protège l'entreprise en clarifiant ce qu'elle fait, prouvablement, avec les données.
Définition légale du contenu obligatoire
Cadre juridique applicable
Contenu minimal imposé par la Loi 25
Les articles 8, 8.1, 8.2 et 9 de la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) modifiée par la Loi 25 précisent les éléments obligatoires : finalités, tiers destinataires, droits des personnes, coordonnées du RPRP, mécanisme de plainte, et information sur les transferts hors Québec.
Exigence d'accessibilité
La politique doit être rendue accessible par un moyen approprié. L'interprétation standard exige une publication web (URL stable, pied de page), en format HTML lisible, avec lien explicite lors de chaque collecte.
Exigence de clarté
Le langage doit être clair et simple. Une politique illisible pour un client moyen est non conforme, même si son contenu technique est juridiquement exact. Ce critère est évalué par la CAI en cas de plainte.
Obligations structurelles de la politique
- Identifier le RPRP avec nom ou fonction et coordonnées accessibles.
- Définir les finalités de collecte par catégorie de traitement.
- Lister les catégories de tiers destinataires (sous-traitants, partenaires, autorités).
- Informer des transferts hors Québec et de l'évaluation préalable effectuée.
- Détailler les droits des personnes et leurs modalités d'exercice.
- Indiquer la durée de conservation par catégorie de renseignements.
- Décrire les mesures de sécurité à un niveau général compréhensible.
- Mentionner le mécanisme de plainte à la CAI.
- Dater la version et tenir un historique des modifications.
Exemples concrets PME — traduction des obligations
Obligation : identifier le RPRP
Ajouter dans la politique : « Responsable : Kaven Chamberland, propriétaire — rprp@entreprise.ca. Vous pouvez nous contacter par courriel pour toute question concernant cette politique ou l'exercice de vos droits. »
Obligation : finalités précises
Au lieu de « améliorer nos services », écrire : « Nous collectons votre adresse courriel pour : 1) vous envoyer votre facture ; 2) répondre à vos demandes de soumission ; 3) vous prévenir des rappels d'entretien. » Une finalité par ligne.
Obligation : exercice des droits
Écrire explicitement : « Pour accéder à vos renseignements, les corriger ou retirer votre consentement : envoyez votre demande à rprp@entreprise.ca. Nous répondrons dans un délai de 30 jours. »
⚠️ Erreur stratégique fréquente
Beaucoup de PME procèdent ainsi :
- elles copient une politique d'un modèle générique en ligne,
- la placent sur le site pour « cocher la case » Loi 25,
- ne la relisent pas au regard de leurs pratiques réelles,
- ne la mettent jamais à jour.
Résultat :
- politique qui contredit les pratiques réelles ;
- mentions obligatoires manquantes ou vagues ;
- clients incapables d'exercer leurs droits correctement.
Une politique copiée est une politique pas appliquée — la CAI le voit en 30 secondes.
Deux réalités possibles
✗ Politique copiée
- Reflète un modèle générique, pas vos pratiques
- Sections obligatoires manquantes
- Langage juridique inaccessible
- Non datée, jamais révisée
- Impossible à défendre en enquête
✓ Politique construite
- Reflète vos pratiques réelles, vérifiables
- 10 sections obligatoires présentes
- Langage clair, exemples concrets
- Datée, révisée annuellement
- Démontre la diligence de l'organisation
Obligation légale ou bonne pratique? La distinction compte.
⚖️ Obligation légale
- Publier une politique accessible
- Contenu minimal (10 sections)
- Langage simple et clair
- Coordonnées RPRP incluses
- Mention du mécanisme de plainte
💡 Bonne pratique fortement recommandée
- Date de dernière mise à jour visible
- Historique des versions disponible
- Notification aux clients en cas de changement substantiel
- Lien explicite lors de chaque collecte
- Traduction si clients anglophones
Exemples d'application concrète
Rédaction initiale d'une politique pour une PME
L'organisation inventorie d'abord ses pratiques (types de données collectées, finalités, durées, sous-traitants), puis structure la politique autour des 10 sections obligatoires. La politique est validée par la direction et le RPRP, puis publiée sur le site avec une date de mise à jour.
Révision suite à un changement substantiel
Ajout d'un nouveau service impliquant un nouveau sous-traitant infonuagique hors Québec. La politique est mise à jour : nouvelle finalité ajoutée, nouveau sous-traitant listé, mention du transfert hors Québec. Les clients existants sont notifiés par courriel.
Réponse à une demande d'exercice de droit
Un client demande l'accès à ses renseignements personnels. La politique publie la procédure d'exercice, ce qui permet au RPRP de répondre dans le délai de 30 jours prévu par la Loi 25. Sans politique claire, la demande serait mal orientée et mal traitée.
Risques en cas de non-conformité
L'exposition se mesure sur deux axes.
Angle 1 — Sanctions juridiques
- Sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial.
- Ordonnances de la CAI exigeant la mise en conformité immédiate du contenu et de la publication.
- Actions privées de clients qui n'ont pas pu exercer leurs droits faute d'information.
- Impact réputationnel — décisions de la CAI publiques, mention de l'organisation.
Angle 2 — Coûts opérationnels d'une politique inadaptée
- Demandes d'exercice de droits mal orientées — temps perdu à corriger après coup.
- Incohérence entre politique et pratiques — chaque plainte devient un écart visible.
- Refontes en urgence sous pression d'une enquête.
- Perte de confiance client — politique illisible signalée comme manque de transparence.
Concrètement pour une PME
Une politique copiée ou incomplète :
- expose l'organisation à des plaintes évitables ;
- prolonge la gestion de chaque incident faute de cadre ;
- oblige à des refontes urgentes au mauvais moment.
Le coût vient de l'inadaptation — pas de la rédaction.
Articulation avec la gouvernance PRP
- RPRP — responsable de la rédaction, de la publication et de la mise à jour.
- Registre des traitements — source d'information pour les finalités et durées.
- Contrats sous-traitants — alimentent la liste des tiers destinataires.
- EFVP — changements substantiels peuvent nécessiter une révision de politique.
- Gestion des incidents — la politique publie le canal de contact RPRP.
Questions fréquentes
Peut-on avoir une même politique pour clients et employés?
Possible mais déconseillé. Les finalités, tiers destinataires et durées diffèrent substantiellement entre les données clients et les données employés. Une politique dédiée aux employés (politique RH-PRP) en complément de la politique publique est une meilleure pratique.
Un PDF téléchargeable suffit-il à l'exigence d'accessibilité?
Non. L'exigence d'accessibilité suppose une consultation directe et facile. Un PDF téléchargeable ajoute un obstacle (téléchargement, logiciel de lecture, accessibilité handicap) qui limite l'accès. Une page HTML directement lisible est attendue.
Faut-il indiquer chaque sous-traitant par son nom?
Non obligatoirement. La loi exige les « catégories » de tiers destinataires. Il est donc suffisant d'indiquer « hébergeur infonuagique », « fournisseur de service de courriel », « service de comptabilité », sans nommer nommément chaque entreprise. Toutefois, nommer les principaux renforce la transparence.
La politique doit-elle être en français?
Pour les organisations au Québec, le français est la langue d'affaires officielle (Charte de la langue française). Une version française de la politique est requise. Une version traduite (anglais, autre langue) peut être ajoutée pour les clients concernés, mais la version française fait foi.
Qui doit approuver la politique de confidentialité?
La direction de l'organisation, avec la contribution du RPRP. L'approbation est généralement documentée (signature, résolution, procès-verbal) pour démontrer la diligence. Une politique publiée sans approbation formelle interne est fragile.
🎯 Diagnostic rapide
Votre politique de confidentialité actuelle :
- contient-elle les coordonnées accessibles du RPRP?
- précise-t-elle les finalités par catégorie (pas juste « améliorer les services »)?
- indique-t-elle les durées de conservation et les transferts hors Québec?
Si non à une seule question, votre politique est probablement démontrable comme non conforme — en quelques minutes par n'importe quel auditeur.
Concrètement
Les exigences du contenu de la politique existent indépendamment de ce que vous avez publié. Sans politique construite et maintenue :
- vos obligations existent quand même, mais votre document ne les reflète pas ;
- vos clients ne peuvent pas exercer leurs droits correctement ;
- votre capacité à démontrer la diligence est sérieusement compromise.
Construire une politique conforme est un travail unique de quelques heures — la maintenir est un travail annuel de 1 à 2 heures. C'est l'un des livrables avec le meilleur rapport effort/protection juridique.
En résumé — Politique de confidentialité Loi 25
- Obligation : publier une politique accessible avec 10 sections minimales
- Langage : simple et clair, compréhensible par un client moyen
- Contenu : reflet des pratiques réelles, pas modèle générique
- Maintenance : revue annuelle + mise à jour à chaque changement substantiel
📘 Version pratique du même sujet
Pour un guide concret sur la construction de la politique — structure type, langage, publication, maintenance — consultez la version pratique.
Guide — Rédiger la politique de confidentialité →Besoin de construire ou de mettre à jour votre politique?
La Formation Gouvernance PRP couvre la construction pratique de chaque livrable. L'Analyse gouvernance PRP identifie les écarts de votre politique actuelle.
← Retour à la formation complète (6 modules)
Ce contenu est fourni à titre informatif et ne constitue pas un avis juridique formel.