Loi 25 : obligations, échéances et mise en conformité (guide 2026)

Quick Answer : la Loi 25 en bref

La Loi 25 (adoptée en septembre 2021 au Québec) modernise en profondeur le régime de protection des renseignements personnels applicable aux entreprises privées faisant affaire au Québec. Elle est entrée en vigueur par phases :

22 septembre 2022 — désigner un responsable de la protection des renseignements personnels, tenir un registre des incidents de confidentialité et notifier la CAI (Commission d’accès à l’information) en cas d’incident présentant un risque de préjudice sérieux.
22 septembre 2023 — le gros des obligations : politiques de gouvernance publiées, consentement manifeste, libre et éclairé (exprès pour les renseignements sensibles), EFVP (évaluation des facteurs relatifs à la vie privée) pour les projets de systèmes d’information et les communications hors Québec, transparence sur les décisions automatisées, destruction ou anonymisation en fin de vie des données.
22 septembre 2024 — droit à la portabilité : communiquer à la personne ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé.

Qui est concerné ? Toute entreprise traitant des renseignements personnels de personnes au Québec — y compris les entreprises françaises et européennes qui y ont des clients ou des visiteurs.

Sanctions : sanctions administratives pécuniaires de la CAI jusqu’à 10 M$ CAD ou 2 % du chiffre d’affaires mondial, sanctions pénales jusqu’à 25 M$ CAD ou 4 % du chiffre d’affaires mondial.

Si vous êtes déjà conforme RGPD : environ 80 % du chemin est fait. Le delta porte sur le responsable désigné, l’EFVP systématique (notamment pour les transferts hors Québec), le registre des incidents et quelques nuances de consentement.

Qu’est-ce que la Loi 25 ?

La Loi 25 — officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — est la réponse québécoise à un constat simple : le régime de protection des renseignements personnels du Québec datait des années 1990, un monde sans infonuagique, sans publicité programmatique et sans intelligence artificielle.

Plutôt que de copier le RGPD européen, le législateur québécois a modernisé ses propres lois, dont la Loi sur la protection des renseignements personnels dans le secteur privé. Le résultat est un régime qui partage la philosophie du RGPD — responsabilisation des organisations, droits renforcés des personnes, sanctions dissuasives — avec des mécanismes qui lui sont propres.

L’autorité de contrôle est la Commission d’accès à l’information du Québec (CAI). C’est elle qui reçoit les notifications d’incidents, publie des lignes directrices et impose les sanctions administratives.

Un point distingue nettement la Loi 25 : son entrée en vigueur échelonnée sur trois ans (2022, 2023, 2024). En 2026, toutes les phases sont en vigueur. Il n’y a plus de période de grâce : une organisation qui traite des renseignements personnels de Québécois sans s’être conformée est en infraction, pas en retard.

Qui est concerné par la Loi 25 ?

La réponse courte : toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre d’activités au Québec. Sans seuil de taille : la PME de trois personnes et la multinationale sont soumises aux mêmes obligations de fond.

Trois profils méritent d’être explicités.

Les entreprises québécoises, évidemment — commerce de détail, services professionnels, SaaS, organismes. Dès qu’un fichier client, un CRM, une infolettre ou un site web collectant des données existe, la loi s’applique.

Les entreprises canadiennes hors Québec qui servent des clients québécois. La localisation du siège social ne protège pas : ce qui compte, c’est le traitement de renseignements personnels de personnes au Québec.

Les entreprises françaises et européennes — et c’est le point que beaucoup découvrent tard. Une boutique en ligne française qui livre au Québec, un SaaS européen avec des utilisateurs montréalais, un média qui dépose des traceurs publicitaires sur des visiteurs québécois : tous traitent des renseignements personnels de Québécois. La logique est symétrique à celle de l’article 3 du RGPD, qui s’applique aux entreprises non européennes ciblant des Européens. Si votre entreprise est déjà passée par une mise en conformité RGPD, le raisonnement d’applicabilité extraterritoriale vous est familier — il joue désormais dans l’autre sens.

Les obligations de la Loi 25, phase par phase

Phase 1 — depuis le 22 septembre 2022

Désigner un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise (le PDG), qui peut déléguer cette fonction par écrit. Le titre et les coordonnées du responsable doivent être publiés, notamment sur le site web.
Tenir un registre des incidents de confidentialité : tout accès, utilisation ou communication non autorisés, ou perte de renseignements personnels.
Notifier la CAI et les personnes concernées lorsqu’un incident présente un risque de préjudice sérieux, avec diligence.

Phase 2 — depuis le 22 septembre 2023

C’est le cœur de la loi :

Gouvernance : adopter des politiques et pratiques encadrant le cycle de vie des renseignements personnels, et en publier une description en termes simples sur le site web.
Consentement : manifeste, libre, éclairé, donné à des fins spécifiques, demandé en termes simples et clairs, distinct de toute autre information. Pour les renseignements sensibles (santé, données biométriques, etc.), le consentement doit être exprès.
EFVP : évaluation des facteurs relatifs à la vie privée obligatoire pour tout projet d’acquisition, de développement ou de refonte de système d’information impliquant des renseignements personnels — et avant toute communication de renseignements personnels hors Québec, avec analyse du niveau de protection offert par la juridiction de destination.
Transparence technologique : informer la personne lorsqu’on recueille ses renseignements au moyen d’une technologie permettant de l’identifier, la localiser ou d’établir son profil, et lui indiquer les moyens de désactiver ces fonctions. C’est le fondement québécois de l’encadrement des traceurs et du profilage publicitaire.
Décisions automatisées : informer la personne lorsqu’une décision fondée exclusivement sur un traitement automatisé la concerne — un enjeu direct pour les systèmes d’IA, comme le détaille notre guide IA conforme au RGPD, dont les principes se transposent largement.
Fin de vie des données : lorsque les fins sont accomplies, détruire les renseignements ou les anonymiser (selon les critères encadrés par règlement) pour un usage à des fins sérieuses et légitimes.
Sanctions renforcées : c’est aussi depuis 2023 que la CAI dispose de son pouvoir de sanction administrative pécuniaire.

Phase 3 — depuis le 22 septembre 2024

Droit à la portabilité : toute personne peut obtenir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé, et en demander la communication à un tiers.

RGPD et Loi 25 : le parallèle en un tableau

Pour une organisation qui connaît le RGPD, le plus efficace est de raisonner par équivalences et par écarts.

Sujet	RGPD (UE)	Loi 25 (Québec)
Autorité de contrôle	CNIL et homologues européens	CAI
Fondement du traitement	6 bases légales, le consentement n’en est qu’une	Régime centré sur le consentement, avec exceptions prévues par la loi
Consentement	Libre, spécifique, éclairé, univoque	Manifeste, libre, éclairé, à des fins spécifiques ; exprès pour les renseignements sensibles
Analyse d’impact	AIPD, requise si risque élevé	EFVP, requise pour tout projet de système d’information impliquant des renseignements personnels et pour toute communication hors Québec
Gouvernance	DPO obligatoire dans certains cas	Responsable de la protection obligatoire pour toutes les entreprises (par défaut, le dirigeant)
Incidents	Notification à l’autorité sous 72 h si risque	Notification à la CAI avec diligence si risque de préjudice sérieux + registre obligatoire
Transferts internationaux	Décisions d’adéquation, clauses contractuelles types	EFVP au cas par cas avant communication hors Québec
Portabilité	Article 20, en vigueur depuis 2018	En vigueur depuis septembre 2024
Sanctions maximales	20 M€ ou 4 % du CA mondial	Pénal : 25 M$ CAD ou 4 % du CA mondial ; administratif (CAI) : 10 M$ CAD ou 2 %

Deux différences méritent l’attention des équipes déjà rodées au RGPD. D’abord, l’EFVP est déclenchée plus systématiquement que l’AIPD : pas besoin de « risque élevé », un simple projet de refonte de CRM impliquant des renseignements personnels suffit. Ensuite, les transferts hors Québec ne bénéficient pas d’un mécanisme général d’adéquation comparable à celui de l’UE : chaque communication hors Québec appelle sa propre évaluation.

Comment se mettre en conformité avec la Loi 25

Un plan réaliste en six chantiers, dans l’ordre :

Cartographier les renseignements personnels : quoi, où, pourquoi, combien de temps, avec qui — y compris les sous-traitants et les flux hors Québec.
Désigner et publier le responsable de la protection des renseignements personnels (délégation écrite si ce n’est pas le dirigeant).
Formaliser la gouvernance : politiques internes de cycle de vie des données, publication d’une description claire sur le site web, procédure d’incident et registre.
Mettre le consentement à niveau : bandeaux, formulaires, infolettres — demandes claires, distinctes, granulaire pour les fins sensibles ; transparence sur les technologies d’identification, de localisation et de profilage, avec moyen de les désactiver.
Industrialiser l’EFVP : un gabarit réutilisable, déclenché en amont de tout projet touchant des renseignements personnels et de tout flux hors Québec.
Outiller les droits : accès, rectification, désindexation, portabilité — avec des délais de réponse tenus.

Le piège classique : traiter la Loi 25 comme un projet documentaire. Les politiques ne protègent personne si la stack technique — analytics, traceurs, formulaires, systèmes d’IA — continue de collecter plus que nécessaire. La conformité durable se joue dans l’architecture, pas dans le classeur.

Déjà conforme RGPD ? Voici le delta

Bonne nouvelle : si votre organisation a fait sérieusement son travail de conformité RGPD, vous partez avec une longueur d’avance. Registre des traitements, minimisation, sécurité, procédures de droits des personnes, culture de l’analyse d’impact : tout cela se transpose.

Le delta à combler tient en cinq points :

Responsable de la protection : même si vous avez un DPO, la désignation formelle selon la Loi 25 (et sa publication) est une obligation distincte.
EFVP : adaptez votre gabarit d’AIPD — et surtout, élargissez les déclencheurs (tout projet de système d’information, toute communication hors Québec).
Transferts : vos clauses contractuelles types européennes ne suffisent pas ; documentez une EFVP par flux sortant du Québec.
Incidents : ajoutez la CAI à votre procédure de notification et vérifiez que le registre couvre le critère du « risque de préjudice sérieux ».
Consentement : passez en revue les fins sensibles (consentement exprès) et la transparence sur le profilage.

Pour une équipe structurée, ce delta se traite en quelques semaines — pas en quelques années.

RGPD et Loi 25 : deux rives, une même exigence

Chez DPLIANCE, cette double exigence n’est pas théorique : nous la vivons. Notre agence Data/IA est née à Poitiers, en France, avec une conviction — la protection des données n’est pas une contrainte à contourner mais un standard d’ingénierie. Et elle a grandi jusqu’à Montréal, où vit Florian Gadal, notre cofondateur et CTO. Notre équipe a été accueillie au Québec par le Digihub de Shawinigan et par Le Camp à Québec, deux écosystèmes qui nous ont ouvert les portes du terrain québécois.

Ce double ancrage nous a appris une chose : le RGPD et la Loi 25 sont deux rives du même fleuve. Les textes diffèrent, les régulateurs diffèrent, mais l’exigence de fond est identique — et une solution conçue conforme dès l’architecture traverse l’Atlantique sans refonte.

C’est le principe de nos solutions Data/IA en production, conformes par design, et de nos produits : Mirage Analytics (mesure d’audience sans témoin ni collecte de renseignements identifiants), Cookilio (gestion du consentement) et Complio (audit de conformité). Des outils pensés pour que la transparence exigée par la CAI comme par la CNIL soit une propriété du système, pas une couche de rattrapage.

FAQ

Qu’est-ce que la Loi 25 au Québec ?

La Loi 25 modernise le régime québécois de protection des renseignements personnels. Adoptée en septembre 2021, elle est entrée en vigueur par phases : septembre 2022 (responsable de la protection, registre des incidents), septembre 2023 (gouvernance, consentement, EFVP, sanctions renforcées) et septembre 2024 (portabilité). Elle est supervisée par la Commission d’accès à l’information (CAI).

Qui doit se conformer à la Loi 25 ?

Toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels de personnes situées au Québec — quelle que soit sa taille et sans seuil minimal d’effectif. Cela inclut les organisations établies hors Québec, y compris les entreprises françaises et européennes qui servent des clients québécois via un site web, une application ou un service en ligne.

Quelles sont les sanctions prévues par la Loi 25 ?

Deux régimes se cumulent : des sanctions administratives pécuniaires imposées par la CAI pouvant atteindre 10 M$ CAD ou 2 % du chiffre d’affaires mondial, et des sanctions pénales pouvant atteindre 25 M$ CAD ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. C’est un ordre de grandeur comparable aux amendes RGPD.

Qu’est-ce qu’une EFVP et quand est-elle obligatoire ?

L’évaluation des facteurs relatifs à la vie privée (EFVP) est l’équivalent québécois de l’AIPD du RGPD. Elle est requise pour tout projet d’acquisition, de développement ou de refonte d’un système d’information impliquant des renseignements personnels, et avant toute communication de renseignements personnels à l’extérieur du Québec.

La Loi 25 s’applique-t-elle aux entreprises françaises ou européennes ?

Oui, dès lors qu’elles traitent des renseignements personnels de personnes au Québec : boutique en ligne qui livre au Québec, SaaS avec des utilisateurs québécois, site qui dépose des traceurs sur des visiteurs québécois. Être conforme au RGPD est une excellente base, mais ne dispense pas des obligations propres à la Loi 25 (responsable désigné, EFVP, registre des incidents).

Être conforme au RGPD suffit-il pour la Loi 25 ?

Non, mais l’essentiel du travail est déjà fait : registre des traitements, minimisation, sécurité, droits des personnes se transposent bien. Restent des écarts à combler : désigner un responsable de la protection des renseignements personnels, adapter les AIPD au format EFVP, systématiser l’EFVP pour les communications hors Québec, tenir un registre des incidents de confidentialité et notifier la CAI.

La Loi 25 encadre-t-elle les cookies et le suivi en ligne ?

Oui. Depuis septembre 2023, une organisation qui recueille des renseignements personnels par un moyen technologique permettant d’identifier, de localiser ou de profiler une personne doit l’en informer au préalable et lui indiquer les moyens de désactiver ces fonctions. Concrètement, le suivi publicitaire et le profilage exigent transparence et consentement valide.

Sources : Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, Québec, 2021) ; Loi sur la protection des renseignements personnels dans le secteur privé (Québec) ; Commission d’accès à l’information du Québec (cai.gouv.qc.ca) ; Règlement (UE) 2016/679 (RGPD).

Pour cadrer un projet Data/IA conforme des deux côtés de l’Atlantique — RGPD comme Loi 25 — voir notre guide de conformité RGPD, notre guide IA conforme au RGPD, ou contactez notre équipe à Poitiers et Montréal via nos solutions IA sur mesure.