Principes de la Loi 25 —
obligations et application au Québec

Contexte : les principes comme armature de la Loi 25

La Loi 25 n'est pas un recueil de règles exhaustives couvrant chaque situation imaginable. Elle repose sur un ensemble de principes qui permettent aux organisations de prendre des décisions cohérentes et justifiables, y compris dans les zones grises où aucune disposition spécifique ne s'applique. Comprendre ces principes, c'est comprendre l'esprit de la loi — et développer une capacité de conformité qui dépasse la simple application mécanique de règles.

Les organisations qui se limitent à une approche « checklist » se retrouvent rapidement en difficulté face aux situations nouvelles : un nouveau logiciel, une demande inhabituelle d'un client, un projet impliquant de nouveaux types de renseignements. Les principes offrent un cadre pour raisonner ces situations avec rigueur.

Ce que ça change concrètement

Deux organisations peuvent respecter les mêmes règles — et obtenir des résultats complètement différents selon leur compréhension des principes.

Les six principes fondamentaux — définition légale

Ces principes ne sont pas facultatifs : ils constituent la grammaire du régime et se traduisent en obligations concrètes tout au long du cycle de vie des renseignements personnels.

1. Responsabilité

L'organisation est responsable des renseignements personnels qu'elle détient, y compris lorsqu'ils sont traités par des employés ou des sous-traitants pour son compte. Cette responsabilité ne se délègue pas — elle s'organise au moyen de politiques, de désignation d'un responsable (RPRP) et de contrats encadrant les tiers.

2. Détermination des finalités

Les finalités de la collecte doivent être déterminées avant la collecte et communiquées aux personnes concernées. Un changement de finalité requiert généralement un nouveau consentement ou une base juridique distincte.

3. Limitation de la collecte

La collecte doit se limiter aux renseignements nécessaires aux finalités déterminées. La collecte « au cas où » ou par habitude constitue une violation directe de ce principe.

4. Proportionnalité

Les mesures de protection et les restrictions d'accès doivent être proportionnées à la sensibilité des renseignements, aux finalités visées, à la quantité traitée et aux risques encourus. Une approche « one-size-fits-all » n'est conforme ni à l'esprit ni à la lettre de la loi.

5. Sécurité

L'organisation doit mettre en place des mesures techniques et organisationnelles raisonnables pour protéger les renseignements contre la perte, la destruction, les accès non autorisés, les utilisations ou les communications non autorisées.

6. Transparence

L'organisation doit informer clairement les personnes concernées de ses pratiques : finalités de la collecte, catégories de tiers destinataires, moyens d'exercer ses droits, moyens de contacter le responsable. Les politiques doivent être rédigées dans un langage accessible et rendues facilement disponibles.

Obligations structurelles découlant des principes

Les six principes se traduisent par des obligations concrètes à plusieurs niveaux de l'organisation :

• Désigner un responsable de la protection des renseignements personnels (RPRP) — obligation directe du principe de responsabilité.
• Documenter les finalités de collecte avant toute activité de traitement nouvelle.
• Limiter les formulaires et outils de collecte au strict nécessaire — pas de champs « bonus ».
• Adapter les mesures de sécurité à la sensibilité des renseignements traités.
• Publier des politiques et pratiques accessibles expliquant le traitement des renseignements.
• Permettre l'accès et la rectification par les personnes concernées.
• Tenir un registre des traitements pour documenter les flux de renseignements.
• Effectuer des évaluations (EFVP) pour les projets impliquant un traitement important ou sensible.

Obligation légale ou bonne pratique? La distinction compte.

Les principes sont obligatoires ; leur traduction opérationnelle relève en grande partie du jugement de l'organisation. Certaines pratiques sont strictement requises, d'autres sont des manières rigoureuses de démontrer la diligence.

L'absence de documentation des décisions prises au nom des principes affaiblit considérablement la capacité de l'organisation à démontrer sa diligence en cas d'enquête.

Exemples d'application concrète

Révision d'un formulaire de collecte

L'application du principe de limitation conduit systématiquement à remettre en question chaque champ d'un formulaire : la date de naissance est-elle nécessaire pour cette finalité? Le numéro d'assurance sociale a-t-il une justification claire? Cette révision permet souvent de simplifier l'expérience client et de réduire les obligations de sécurité proportionnellement.

Ajout d'une nouvelle fonctionnalité ou d'un nouveau service

Avant d'adopter un nouveau CRM, un logiciel de gestion des employés ou un service de géolocalisation, l'application du principe de proportionnalité et de détermination des finalités impose une analyse préalable. Cette analyse prend la forme d'une évaluation des facteurs relatifs à la vie privée (EFVP) pour les traitements importants.

Réutilisation de données pour une nouvelle finalité

Vouloir utiliser les coordonnées clients existantes pour une nouvelle activité marketing pose un problème de finalité : le consentement initial ne couvre pas cette nouvelle utilisation. Le respect du principe impose soit d'obtenir un nouveau consentement, soit de renoncer à cette utilisation.

Risques en cas de non-conformité

L'exposition se mesure sur deux axes : les sanctions juridiques et les coûts opérationnels d'une approche non structurée.

Angle 1 — Sanctions juridiques

• Sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé.
• Sanctions pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les infractions graves.
• Ordonnances contraignantes de la CAI en cas de plainte ou d'enquête.
• Actions privées reconnues par la Loi 25 pour les personnes ayant subi un préjudice.
• Impact réputationnel lié aux décisions publiques de la CAI.

Angle 2 — Coûts opérationnels d'une approche non structurée

• Paralysie décisionnelle face aux situations nouvelles (nouveaux outils, demandes inhabituelles).
• Inconsistance des pratiques entre services et entre employés, générant confusion et risque.
• Ré-architectures coûteuses lorsque les collectes excessives sont identifiées tardivement.
• Perte de confiance des clients et partenaires face à des pratiques opaques.
• Difficulté à démontrer la diligence en l'absence de documentation des raisonnements.

Une démarche structurée autour des principes réduit ces coûts — elle ne les crée pas. Maîtriser les principes, c'est gagner en autonomie décisionnelle.

Lien avec la gouvernance PRP

Les principes fondamentaux se retrouvent dans tous les instruments de gouvernance en protection des renseignements personnels :

• Politique de confidentialité — reflet direct du principe de transparence et de détermination des finalités.
• Registre des traitements — outil de démonstration des principes de responsabilité et de limitation.
• EFVP — application structurée des principes de proportionnalité et de sécurité aux projets importants.
• Contrats avec sous-traitants — encadrement des principes de responsabilité et de sécurité dans la chaîne de valeur.
• Formation des employés — transmission des principes à ceux qui manipulent les renseignements au quotidien.
• Processus de gestion des incidents — application du principe de responsabilité en situation de crise.

Questions fréquentes

Les principes de la Loi 25 sont-ils les mêmes que ceux de la LPRPDE fédérale?

Les principes se recoupent largement, mais la Loi 25 les applique avec une intensité plus grande sur plusieurs aspects — notamment l'obligation d'EFVP, la gestion des transferts hors Québec et la nature du consentement requis.

Peut-on déroger à un principe pour des raisons d'affaires?

Non. Les principes sont structurants et non négociables. Toutefois, leur application pratique laisse une marge de manœuvre basée sur la proportionnalité et le contexte — c'est dans cette marge que se joue le jugement professionnel.

Comment prouver qu'on respecte un principe en cas d'enquête?

Par la documentation : politiques écrites, registres des traitements, notes de décisions dans les zones grises, évidence des formations dispensées, traces des analyses préalables aux changements importants.

Le principe de limitation empêche-t-il la croissance de la base de données?

Non. Il impose que chaque nouvelle donnée collectée ait une finalité claire et nécessaire. La croissance est compatible avec le principe si elle repose sur des finalités additionnelles légitimes et documentées.

Comment arbitrer un conflit entre deux principes?

Par le contexte et la documentation. Un conflit apparent (par exemple transparence vs sécurité) se résout par une analyse proportionnée à la situation, en privilégiant la solution qui préserve au mieux l'esprit des deux principes et en documentant le raisonnement.

Concrètement

Les principes fondamentaux de la Loi 25 existent que votre organisation les connaisse ou non. Sans une compréhension claire et partagée de ces principes :

• vos obligations légales existent quand même, mais vos pratiques sont improvisées ;
• vos décisions dans les zones grises reposent sur l'intuition individuelle, pas sur une grille commune ;
• votre capacité à démontrer la diligence en cas d'enquête est sérieusement limitée.

La formation des employés aux principes est le point de départ opérationnel — ce sont eux qui prennent des décisions tous les jours. Sans cette base commune, les politiques restent théoriques et les mesures de gouvernance construisent sur une fondation absente.