Vous dirigez une PME. Vous avez nommé quelqu'un comme responsable de la protection des données, vous avez une politique de confidentialité sur votre site, et vous n'avez jamais eu de fuite majeure. Sur papier, tout est en ordre.
Le problème, c'est que la conformité à la Loi 25 ne se mesure pas en cases cochées. Elle se mesure le jour où la Commission d'accès à l'information (CAI) demande à voir vos documents — ou le jour où un rançongiciel chiffre vos serveurs et que vous devez prouver, en quelques heures, que vous saviez quoi faire.
Voici les trois obligations que les PME québécoises croient le plus souvent respecter, et ce qui manque réellement dans chacune.
Loi 25 en 2026 : où en est-on ?
Toutes les dispositions de la Loi 25 sont maintenant en vigueur, déployées en trois phases (2022, 2023 et 2024). La loi s'applique à toute organisation qui recueille, utilise ou conserve des renseignements personnels au Québec : PME, travailleurs autonomes, OBNL, peu importe leur taille ou l'emplacement de leur siège social.
La CAI surveille l'application de la loi et a déjà commencé à mener des vérifications. Les sanctions ne sont pas symboliques : les amendes administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les sanctions pénales jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
La question n'est donc plus de savoir si la loi vous concerne. Elle vous concerne. La vraie question est : votre conformité tiendrait-elle devant une vérification ?
Obligation 1 — Le responsable de la protection des renseignements personnels
Ce que beaucoup pensent : « C'est moi le dirigeant, donc le responsable, c'est moi. C'est réglé. »
Ce que la loi demande vraiment : Oui, par défaut, le rôle revient à la personne ayant la plus haute autorité dans l'organisation. Mais désigner un responsable ne suffit pas. La loi exige que le titre et les coordonnées de cette personne soient publiés et accessibles, généralement sur votre site web. La fonction peut aussi être déléguée, en tout ou en partie, à un employé ou à un consultant — à condition que ce soit documenté.
L'écart le plus courant n'est pas l'absence de responsable. C'est l'absence de trace : aucune désignation formelle, aucune coordonnée publiée, aucun mandat réel confié à la personne nommée. Un responsable dont personne ne connaît le nom et qui n'a reçu aucune ressource pour faire son travail, ce n'est pas un responsable au sens de la Loi 25 — c'est une case cochée.
Le test concret : Un client cherche qui contacter pour ses données personnelles. Trouve-t-il un nom et une façon de joindre cette personne en moins de deux minutes sur votre site ? Si non, l'obligation n'est pas remplie.
Obligation 2 — Le registre des incidents de confidentialité
Ce que beaucoup pensent : « On n'a pas eu de fuite importante, donc on n'a rien à déclarer ni à consigner. »
Ce que la loi demande vraiment : Il faut distinguer deux obligations que l'on confond presque toujours.
La première : consigner. Tout incident de confidentialité doit être inscrit dans un registre, sans exception. Un courriel envoyé au mauvais destinataire, un tableur de données clients transmis par erreur à un fournisseur, un accès non autorisé même bref — tout cela se consigne, même si l'incident paraît mineur.
La seconde : notifier. La CAI et les personnes concernées doivent être avisées, mais uniquement lorsque l'incident présente un risque de préjudice sérieux. Et même quand vous concluez qu'il n'y a pas de risque sérieux, votre raisonnement doit être documenté. Le registre ne sert pas à signaler les catastrophes : il sert à prouver que vous évaluez chaque incident avec méthode.
C'est ici que l'écart est le plus dangereux. Selon la Fédération canadienne de l'entreprise indépendante (FCEI), une large part des PME canadiennes a subi une cyberattaque au cours de la dernière année — et la majorité d'entre elles n'avaient ni registre, ni plan de réponse, ni processus de notification. Trois obligations de la Loi 25 enfreintes simultanément, au pire moment possible.
Le lien cyber, sans détour : Quand un rançongiciel frappe, vous gérez d'abord la crise technique. Mais l'horloge de la Loi 25 démarre en même temps. Sans registre tenu d'avance et sans procédure de notification prête à l'emploi, l'amende réglementaire s'ajoute au coût de l'attaque. Et ce coût n'est pas théorique : on parle d'une moyenne de 458 000 $ par cyberattaque pour une PME canadienne, et de 22 jours de récupération après une attaque par rançongiciel. Ce sont 22 jours pendant lesquels vous ne pouvez pas vous permettre d'improviser votre conformité.
Obligation 3 — Les politiques et pratiques de gouvernance
Ce que beaucoup pensent : « On a une politique de confidentialité sur le site. C'est fait. »
Ce que la loi demande vraiment : Depuis septembre 2023, vous devez avoir établi des politiques et des pratiques encadrant la gouvernance de vos renseignements personnels — et les rendre transparentes. Une page de confidentialité copiée d'un modèle générique n'est pas un programme de gouvernance.
Un programme réel, c'est : l'inventaire des renseignements personnels que vous détenez réellement, les rôles et responsabilités définis à l'interne, des durées de conservation établies, la destruction des données devenues inutiles, un consentement valide et éclairé au moment de la collecte, et une mise à jour des politiques au rythme de l'évolution légale et technologique.
À cela s'ajoute une obligation que presque personne n'anticipe : l'évaluation des facteurs relatifs à la vie privée (EFVP). Vous devez la réaliser avant de communiquer des renseignements à l'extérieur du Québec ou avant de lancer un projet qui touche la collecte de données — par exemple, la migration de vos bases vers un service infonuagique hébergé ailleurs. Beaucoup de PME franchissent ces étapes sans s'en rendre compte, et créent un écart de conformité dont elles ignorent l'existence.
Le test concret : Si la CAI vous demandait aujourd'hui votre inventaire de données, votre registre des incidents et la preuve que vos politiques ont été révisées dans la dernière année, combien de ces documents pourriez-vous fournir ?
Le point aveugle : Loi 25 et cyberrisque ne se gèrent pas en silo
Voici ce que ces trois obligations ont en commun. Elles ne se vérifient jamais autant qu'au moment d'un incident cyber. Une attaque déclenche simultanément une crise de sécurité et une obligation légale. Pourtant, dans la plupart des PME, ces deux réalités sont gérées par des personnes différentes, avec des fournisseurs différents, sans coordination.
C'est précisément ce silo que l'écosystème cyber de Covalen est conçu pour éliminer. Plutôt que de vous vendre une police et de vous laisser seul avec votre conformité, votre courtier coordonne l'ensemble du parcours : évaluer votre exposition réelle grâce à un scan de vulnérabilité, corriger vos failles avec un réseau de partenaires technologiques, renforcer vos pratiques, vous préparer à un incident, puis transférer le risque résiduel grâce à une assurance cyber exclusive. Et si l'incident survient malgré tout, le service elucia. vous accompagne dans le règlement.
Une seule porte d'entrée, du diagnostic à la réponse. Parce qu'en cybersécurité, la prévention est essentielle, mais la résilience est indispensable — et la conformité à la Loi 25 fait partie de cette résilience.
La Loi 25 a changé les règles du jeu au Québec. Une brèche de sécurité n'est plus seulement un problème informatique : c'est une responsabilité légale. Votre courtier Covalen est là pour vous aider à évaluer votre exposition réelle, à combler les écarts que vous ne voyez pas, et à choisir la couverture qui correspond vraiment à votre profil de risque et à vos obligations.
Réservez votre diagnostic cyber. C'est le point de départ pour savoir, concrètement, où se situent vos écarts, avant qu'une vérification ou une attaque ne les révèle à votre place.
