LPRPDE en langage clair —
quand la loi fédérale s'invite chez une PME québécoise

Comprendre la LPRPDE — guide pratique pour les PME québécoises

Ce contenu approfondit la page d'introduction Loi 25 vs LPRPDE, qui couvre la question « quelle loi s'applique ». La présente page approfondit le contenu de la LPRPDE elle-même.

Préalable conseillé : avant d'aborder cette page, parcourir la vue d'ensemble Loi 25 vs LPRPDE pour comprendre quelle loi s'applique à votre organisation. La présente fiche présume cette base et entre dans le détail du régime fédéral.

Qu'est-ce que la LPRPDE et pourquoi c'est pertinent pour une PME québécoise

À première vue, la LPRPDE peut sembler étrangère à une organisation québécoise — la Loi 25 est la loi locale, c'est elle qui s'applique au Québec. Mais dès qu'une activité commerciale traverse une frontière provinciale ou implique une organisation sous compétence fédérale, la LPRPDE entre en jeu.

Cas typiques où elle devient pertinente pour une PME québécoise :

• Vente ou livraison hors Québec — un commerce en ligne basé à Lévis qui expédie en Ontario, un consultant montréalais qui sert un client albertain, une PME de Trois-Rivières qui collecte des coordonnées de prospects partout au Canada.
• Contrat avec une organisation fédérale — banques, télécommunications, transport aérien et interprovincial, ports, aéroports, certains secteurs énergétiques. Le mandat lui-même peut tomber sous LPRPDE.
• Sous-traitants ou partenaires dans des provinces sans loi privée — leurs activités relèvent par défaut de la LPRPDE, ce qui crée des asymétries dans les ententes contractuelles.

Le risque concret en cas d'ignorance : construire toute votre démarche de conformité sur la Loi 25 seule, puis découvrir lors d'une plainte ou d'un contrôle qu'une partie de vos activités relevait aussi du Commissariat fédéral — avec des notifications mal calibrées, le mauvais interlocuteur contacté, des exigences manquantes (comme le principe de responsabilité formelle exigé pour les transferts transfrontaliers selon les lignes directrices fédérales).

Méthode de tri du régime applicable — 5 questions à poser

Avant toute analyse de conformité, posez-vous ces cinq questions dans l'ordre :

1. Qui est l'organisation? Privée ou publique? La LPRPDE encadre uniquement le secteur privé dans le cadre d'activités commerciales. Une organisation publique relève d'autres régimes (loi fédérale sur la vie privée pour le fédéral, loi sur l'accès au Québec).
2. Quelle est la nature de son activité? Commerciale ou non? La LPRPDE ne s'applique qu'aux activités commerciales — les organisations à but non lucratif sans dimension commerciale en sont généralement exclues.
3. Relève-t-elle d'une compétence fédérale? Banques, télécoms, transport interprovincial, radiodiffusion : peu importe leur localisation, elles relèvent du fédéral.
4. Le traitement est-il interprovincial ou international? Les flux de renseignements personnels qui traversent une frontière provinciale dans le cadre d'une transaction commerciale activent la LPRPDE, même pour une organisation provinciale.
5. S'agit-il d'un dossier clinique ou administratif? Les renseignements de santé ont souvent un régime particulier (Loi sur les services de santé et services sociaux au Québec, par exemple) qui peut prendre le pas sur les autres régimes.

Erreurs de raisonnement fréquentes à éviter :

• ❌ Confondre lieu d'hébergement des données et loi applicable
• ❌ Appliquer mécaniquement la Loi 25 à toute organisation québécoise sans analyser ses flux interprovinciaux
• ❌ Oublier la compétence fédérale (banques, télécoms) qui prime sur la localisation
• ❌ Mélanger secteur public et secteur privé dans une même analyse

Structure de la LPRPDE — six parties et 10 principes équitables

Partie 1 — Protection des renseignements personnels (cœur de la loi) : couvre la collecte, l'utilisation et la communication des renseignements personnels par les organisations dans le cadre d'activités commerciales. C'est cette partie qui contient les obligations concrètes.

Partie 2 — Documents électroniques : établit la valeur juridique des documents électroniques, des signatures électroniques et des transactions numériques avec le gouvernement fédéral. Beaucoup moins citée que la Partie 1, mais utile pour comprendre la dimension « documents électroniques » du nom de la loi.

Parties 3 à 6 : modifications à d'autres lois fédérales (Loi sur la preuve au Canada notamment) et entrée en vigueur progressive. Pas d'impact opérationnel direct pour une PME.

Annexe 1 — Les 10 principes équitables (Code CSA) :

1. Responsabilité — désigner une personne responsable de la conformité, documenter les politiques et les pratiques.
2. Détermination des fins — préciser les finalités de la collecte avant ou au moment où elle se produit.
3. Consentement — obtenir le consentement valide de la personne, sauf exception prévue par la loi.
4. Limitation de la collecte — collecter seulement ce qui est nécessaire aux fins déclarées, par des moyens loyaux et licites.
5. Limitation de l'utilisation, de la communication et de la conservation — n'utiliser et conserver les renseignements que pour les fins prévues.
6. Exactitude — maintenir les renseignements exacts, complets et à jour.
7. Mesures de sécurité — protéger les renseignements par des mesures proportionnées à leur sensibilité.
8. Transparence — rendre les politiques et pratiques accessibles sur demande.
9. Accès aux renseignements personnels — permettre à la personne de consulter et corriger ses renseignements.
10. Possibilité de porter plainte — fournir un mécanisme de plainte interne et informer du recours au Commissariat fédéral.

Ces 10 principes ressemblent fortement aux obligations de la Loi 25, ce qui n'est pas un hasard : les deux lois découlent du même Code CSA Q830 et des mêmes recommandations OCDE de 1980.

Lois provinciales « substantiellement similaires » reconnues par le gouvernement fédéral : Loi 25 (Québec), PIPA (Alberta), PIPA (Colombie-Britannique). Pour les activités intraprovinciales dans ces trois provinces, c'est la loi provinciale qui s'applique. Pour les activités interprovinciales ou fédérales, la LPRPDE s'applique partout au Canada.

Différences substantielles entre la LPRPDE et la Loi 25

Constat global : sur la majorité des points, la Loi 25 est plus stricte que la LPRPDE. Une organisation québécoise qui structure correctement sa conformité Loi 25 couvre généralement les exigences fédérales — sauf dans les nuances de notification (deux interlocuteurs différents) et de clauses contractuelles avec partenaires hors Québec.

Quand la LPRPDE s'applique au Québec — trois situations concrètes

Situation 1 — Activités commerciales interprovinciales : flux de renseignements personnels traversant la frontière du Québec dans le cadre d'une transaction. Exemples : facturation d'un client en Ontario, livraison en Alberta, prestation de services à une entreprise au Manitoba. Ce sont les cas les plus fréquents pour une PME québécoise.

Situation 2 — Organisation sous compétence fédérale : peu de PME sont entièrement sous compétence fédérale, mais certaines activités spécifiques le sont. Exemple : un consultant qui agit comme sous-traitant pour une banque ou un télécom — le mandat lui-même tombe sous LPRPDE même si la PME est québécoise.

Situation 3 — Transferts internationaux dans le cadre d'activités interprovinciales : la Loi 25 encadre les transferts hors Québec, mais la LPRPDE peut aussi imposer ses obligations sur ces flux quand l'activité est interprovinciale. Cas d'usage du chevauchement.

Cas typique d'application mixte : une boutique en ligne québécoise qui vend partout au Canada doit composer avec les deux régimes. Pour les clients québécois, Loi 25. Pour les clients hors Québec, LPRPDE. En pratique, l'organisation applique le régime le plus strict pour chaque obligation — souvent la Loi 25, parfois la LPRPDE quand celle-ci est plus précise (notamment pour les transferts interprovinciaux).

Particularités interprovinciales — quel régime s'applique selon la province

Note : certaines provinces ont aussi une loi spécifique pour le secteur de la santé (ex. Personal Health Information Protection Act de l'Ontario), qui peut prendre le pas sur la LPRPDE pour les renseignements de santé.

Application pratique pour une PME québécoise :

• Client en Ontario, Manitoba, Maritimes ou Territoires — le flux de renseignements personnels traversant la frontière du Québec dans le cadre d'une transaction active la LPRPDE pour cette portion du traitement. Le client peut porter plainte au Commissariat fédéral.
• Client en Alberta ou en Colombie-Britannique — situation plus complexe : pour les activités intraprovinciales du client, c'est sa loi PIPA locale qui s'applique. Pour les flux transitant entre votre PME québécoise et lui, le régime LPRPDE peut s'appliquer en complément. En pratique, on documente dans la politique que les renseignements traités sont soumis aux régimes applicables selon la destination.
• Sous-traitance pour une banque, un télécom ou un transporteur interprovincial — peu importe la province, ces secteurs sont sous compétence fédérale. La LPRPDE s'applique à toute portion de mandat traitant leurs renseignements personnels, même pour une PME québécoise.

Avenir de la LPRPDE en bref

Le projet de loi C-27, qui aurait remplacé la LPRPDE par la Consumer Privacy Protection Act (CPPA) et créé un cadre fédéral de l'IA (AIDA), n'a pas été adopté avant la prorogation du Parlement en janvier 2025. La LPRPDE reste en vigueur en 2026, sans modernisation majeure depuis l'introduction des obligations de notification d'incidents en 2018. Si une réforme fédérale arrive éventuellement, le différentiel entre LPRPDE et Loi 25 devrait diminuer — la Loi 25 a déjà servi de modèle aux discussions fédérales sur la modernisation.

Pour aller plus loin : cette page s'inscrit dans le guide Normes internationales (gouvernance) qui présente ISO 27001/27701, la LPRPDE et les régimes internationaux (RGPD, CCPA et 19 lois US d'État) — vue d'ensemble pour situer votre démarche.