Question 1

C'est quoi, la Loi 25 ?

Accepted Answer

La Loi 25 (adoptée en 2021 sous le nom de projet de loi 64) a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé au Québec. Elle impose aux entreprises des obligations concrètes : désigner un responsable, tenir un registre des incidents, publier une politique de confidentialité, encadrer le consentement et évaluer les projets qui touchent des renseignements personnels.

Question 2

La Loi 25 s'applique-t-elle à ma petite entreprise ?

Accepted Answer

Oui, dès que vous recueillez, détenez, utilisez ou communiquez des renseignements personnels au Québec : noms, courriels, numéros de téléphone, données de clients ou d'employés. La loi ne fixe pas de seuil de taille. Une entreprise de deux personnes a les mêmes obligations de principe qu'une grande, adaptées à la sensibilité des renseignements et à ses moyens.

Question 3

Qui doit être le responsable de la protection des renseignements personnels ?

Accepted Answer

Par défaut, la personne ayant la plus haute autorité dans l'entreprise, souvent le président ou la direction générale. Cette fonction peut être déléguée par écrit à une autre personne. Le titre et les coordonnées du responsable doivent être publiés, notamment sur le site web, pour que quiconque puisse exercer ses droits d'accès ou de rectification.

Question 4

Audit de sécurité ou test d'intrusion : par lequel commencer ?

Accepted Answer

Par l'audit si vous n'avez jamais dressé l'état des lieux : il couvre l'organisation, les processus, les accès, les sauvegardes et la conformité, pas seulement la technique. Par le test d'intrusion si vous exposez une application ou un service critique sur Internet et voulez savoir s'il tient. Les deux se complètent ; l'audit dit quoi prioriser, le test vérifie.

Question 5

Un audit peut-il couvrir la Loi 25 en même temps ?

Accepted Answer

Oui. Un audit de conformité vérifie le responsable désigné, le registre des incidents, la politique de confidentialité, le consentement, les EFVP et les mesures de sécurité qui protègent les renseignements personnels. Les mêmes contrôles servent aussi ISO 27001 ou SOC 2. Le livrable est un écart documenté et un plan d'action, pas un certificat.

Audit et conformité

Ce que ça comprend

Huit contrôles, deux à corriger

Comment ça se passe

Évaluer

Protéger

Veiller

Questions fréquentes

C'est quoi, la Loi 25 ?

La Loi 25 s'applique-t-elle à ma petite entreprise ?

Qui doit être le responsable de la protection des renseignements personnels ?

Audit de sécurité ou test d'intrusion : par lequel commencer ?

Un audit peut-il couvrir la Loi 25 en même temps ?

Pour aller plus loin

Cybersécurité municipale au Québec : obligations et par où commencer

Loi 25 : les obligations des PME, point par point

Services liés