Formation Loi 25 pour employés au Québec —
comprendre, appliquer, éviter les erreurs

Guide complet — Les 7 concepts fondamentaux

Ce contenu constitue la base de la formation. Chaque module renvoie vers un guide pratique approfondi et une page sur les exigences légales applicables.

Qu'est-ce qu'un renseignement personnel au sens de la Loi 25?

Nom, adresse, numéro de téléphone, courriel, informations médicales, dossier d'employé, habitudes d'achat — tous ces éléments sont des renseignements personnels. L'identification directe est évidente. L'identification indirecte est plus subtile : une information anodine peut devenir identifiante lorsqu'elle est combinée à d'autres.

Pour un entrepreneur ou une PME, ça touche le quotidien : le nom et l'adresse d'un client dans un bon de service, le numéro de téléphone dans un texto de groupe, les informations de facturation dans un fichier Excel partagé, un CV reçu par courriel. Dans tous ces cas, des renseignements personnels circulent — et la loi s'applique, peu importe la taille de l'organisation ou le support utilisé.

Quels sont les principes de protection des renseignements personnels au Québec?

Les régimes de protection des renseignements personnels reposent sur six grands principes : la responsabilité, la détermination des finalités, la limitation de la collecte, la proportionnalité, la sécurité et la transparence. Ces principes orientent les décisions au quotidien, peu importe le cadre juridique spécifique.

En pratique, la conformité n'est pas une simple checklist. Quand une organisation hésite, les principes permettent de structurer la réflexion : l'information est-elle vraiment nécessaire? La finalité est-elle clairement annoncée? Les mesures de sécurité sont-elles proportionnées aux risques? Collecter des données « au cas où » sans finalité précise enfreint le principe de limitation de la collecte — même si la loi ne le dit pas explicitement dans chaque cas.

Combien de temps peut-on conserver des renseignements personnels?

Un client appelle pour une soumission : vous notez son nom, son adresse et la description des travaux — c'est la collecte. Vous partagez cette fiche avec votre estimateur — c'est la communication, qui doit rester limitée à l'équipe concernée. Vous gagnez le contrat et conservez le dossier — c'est la conservation, qui doit avoir une durée raisonnable et justifiée. Le contrat terminé, les informations ne sont plus nécessaires — c'est la destruction, qui doit être sécurisée.

La majorité des incidents surviennent après la collecte, notamment lors de la conservation prolongée ou d'une destruction inadéquate. Un document papier avec l'adresse d'un client jeté dans la poubelle ordinaire, c'est déjà une faille. Conserver des dossiers « au cas où » sans justification claire crée un risque inutile et entre en contradiction avec le principe de limitation.

Qui est responsable de la protection des renseignements personnels dans une PME?

La protection des renseignements personnels est avant tout une responsabilité organisationnelle, pas uniquement technique ou juridique. La responsabilité ultime appartient à l'organisation : elle ne se délègue pas, elle s'organise. Le RPRP joue un rôle de coordination, de conseil et de suivi, mais les gestionnaires, les employés et les partenaires détiennent tous des responsabilités adaptées à leurs fonctions.

Dans une PME de dix employés, quelqu'un doit jouer ce rôle — formellement. Si personne n'est désigné, c'est le propriétaire ou le directeur général qui est responsable par défaut, souvent sans le savoir. Ce rôle peut être assumé à l'interne ou confié à un consultant externe (mandat de RPRP externe). La gouvernance — politiques, registres, documentation — n'est pas une formalité : elle sert à démontrer la diligence et à soutenir les décisions en cas de complication.

Que faire quand un courriel est envoyé à la mauvaise personne?

En PME, les incidents les plus fréquents ne sont pas des cyberattaques sophistiquées. Ce sont des erreurs du quotidien : un courriel envoyé au mauvais client, un document oublié sur une imprimante partagée, un texto avec des photos partagé dans le mauvais groupe, un téléphone de travail perdu. Ces situations sont des incidents de confidentialité — même si elles sont involontaires.

La réaction naturelle est de corriger en silence. C'est exactement ce qu'il ne faut pas faire. La Loi 25 oblige les organisations à consigner tous les incidents dans un registre. Lorsque le risque de préjudice sérieux existe, l'organisation doit notifier la Commission d'accès à l'information et les personnes concernées. Un incident est un événement à gérer, pas une faute à dissimuler — signaler rapidement limite les conséquences.

Comment décider quoi faire dans une zone grise (Loi 25)?

Les situations réelles sont souvent plus nuancées que ce que prévoient les règles écrites. Être conforme, c'est être capable de prendre des décisions raisonnables, justifiables et proportionnées dans un contexte donné. Le jugement professionnel ne signifie pas faire ce que l'on veut — il signifie s'appuyer sur les principes, le contexte et l'évaluation des risques pour justifier un choix.

Documenter son raisonnement permet de démontrer la diligence de l'organisation et de se protéger dans le temps. Reconnaître ses limites est aussi une force : savoir quand consulter le RPRP, quand documenter davantage, quand escalader une question. C'est l'objectif de cette formation : transformer une loi perçue comme complexe en une posture professionnelle durable et applicable dès le lendemain matin.

Planifier une formation pour mon équipe Demander un diagnostic PRP