Un cahier de réservations sur le comptoir d’un restaurant contient des noms, des numéros de cellulaire et, parfois, une note du genre « allergie aux arachides, table 4 ». Pour la Loi 25, c’est un fichier de renseignements personnels, et une partie de ce qu’il contient touche à la santé.

Si vous tenez un restaurant, un garage, un salon de coiffure ou une entreprise de construction, vous avez peut-être rangé la Loi 25 parmi les affaires des entreprises de logiciels. Ça se comprend : on y parle de systèmes d’information et d’hébergement hors Québec. Le texte, lui, ne nomme aucun secteur. Il vise les renseignements personnels, et toutes les entreprises en ont.

Ce que dit la loi

La Loi 25 a modifié en 2021 la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Son article 1 fixe le champ d’application : les renseignements personnels qu’une personne recueille, détient, utilise ou communique dans l’exploitation d’une entreprise. Aucun secteur n’est nommé. Aucun seuil de taille ni de chiffre d’affaires n’est prévu.

Le mot « entreprise » a le sens que lui donne l’article 1525 du Code civil du Québec : une activité économique organisée, commerciale ou non, qui consiste à produire des biens, à les administrer ou à fournir des services. Dans sa page sur le champ d’application de la loi, la Commission d’accès à l’information (CAI) cite entre autres l’entreprise individuelle du travailleur autonome, la société par actions et la société en nom collectif. Pour un organisme sans but lucratif, elle demande une analyse au cas par cas.

Un renseignement personnel, selon l’article 2, est tout renseignement qui concerne une personne physique et permet de l’identifier, directement ou indirectement. La CAI précise que le renseignement n’a pas besoin d’être classé dans un dossier au nom de la personne. Et l’article 1 vise tous les supports : écrit, graphique, sonore, visuel, informatisé. Le cahier papier compte autant que la base de données.

Où sont les renseignements personnels dans une PME ordinaire

Les situations qui suivent sont des exemples types, pas des cas réels.

L’entrepreneur en construction prépare des soumissions avec le nom des propriétaires, l’adresse du chantier et leurs numéros de téléphone. Le formulaire de demande de soumission de son site recueille les mêmes données, qui arrivent dans sa boîte de courriel.

Le salon de coiffure prend ses rendez-vous dans un logiciel en ligne. Les fiches des clientes (nom, téléphone, historique des colorations) sont stockées sur les serveurs du fournisseur, qui ne sont pas forcément au Québec.

Le garage inscrit le nom du propriétaire, son téléphone et le numéro de série du véhicule sur chaque bon de travail. Il a peut-être aussi des caméras dans la cour. Une image qui permet de reconnaître quelqu’un est un renseignement personnel sur support visuel.

Le cabinet comptable reçoit des déclarations de revenus, des relevés bancaires et des numéros d’assurance sociale. La CAI range l’état des finances parmi les renseignements sensibles, avec la santé.

Et dans toutes ces entreprises, il y a les dossiers des employés : numéro d’assurance sociale, spécimen de chèque pour le dépôt direct, personne à joindre en cas d’urgence, billets médicaux. Il y a la liste d’abonnés de l’infolettre, le fichier Excel des clients partagé entre trois ordinateurs, la caisse qui garde l’historique des achats, les courriels.

Une nuance. L’article 1 soustrait à une partie des règles sur la collecte et la communication les renseignements liés à la fonction d’une personne dans une entreprise : son nom, son titre, l’adresse, le courriel et le téléphone de son lieu de travail. La fiche du directeur des achats de votre fournisseur de bois n’est donc pas traitée comme celle d’un particulier. Le cellulaire personnel du client qui fait refaire sa cuisine, lui, ne bénéficie pas de cette exception.

Dernier point : confier les données à un logiciel hébergé ailleurs ne les fait pas sortir de la loi. Selon la CAI, elle couvre aussi les renseignements qu’un tiers conserve pour vous.

Les quatre obligations à regarder en premier

Notre article détaillé sur la Loi 25 et les PME passe en revue toutes les obligations, leurs dates d’entrée en vigueur et les sanctions. Pour une PME dont le métier n’a rien à voir avec la technologie, quatre d’entre elles méritent votre attention avant les autres.

La première est de savoir qui est responsable. Selon l’article 3.1, c’est d’office la personne qui a la plus haute autorité dans l’entreprise : dans une PME, souvent le propriétaire ou la présidente. Cette personne peut déléguer la fonction par écrit, en tout ou en partie. Le titre et les coordonnées du responsable sont publiés sur le site Web de l’entreprise.

La deuxième touche les incidents de confidentialité. Un téléphone de l’entreprise perdu avec les contacts des clients, une soumission envoyée au mauvais destinataire, un ancien employé qui consulte encore le fichier partagé : ce sont des incidents. L’article 3.5 demande de prendre des mesures raisonnables pour réduire le risque de préjudice et éviter que ça se reproduise. Si le risque de préjudice est sérieux, il faut aviser la CAI et les personnes touchées. Tous les incidents, même mineurs, sont inscrits dans un registre (article 3.8).

La troisième, ce sont des règles écrites. L’article 3.2 exige des politiques et des pratiques de gouvernance, qui prévoient entre autres la conservation et la destruction des renseignements, les rôles du personnel et le traitement des plaintes. Elles doivent être proportionnées à la nature et à l’importance des activités de l’entreprise. À notre avis, un salon de quatre chaises peut y répondre avec un document court et clair : combien de temps on garde les fiches de clientes inactives, qui a accès aux dossiers des employés, comment on détruit les vieux bons de travail. La CAI rappelle qu’une fois les fins atteintes, les renseignements sont détruits de façon sécuritaire ou anonymisés, sous réserve des délais de conservation qu’une autre loi impose.

La quatrième concerne vos fournisseurs à l’extérieur du Québec. Avant de communiquer un renseignement personnel hors du Québec, ou de confier à quelqu’un hors du Québec le soin de le conserver ou de l’utiliser pour vous, l’article 17 exige une évaluation des facteurs relatifs à la vie privée (EFVP). Le logiciel de rendez-vous, la caisse en ligne, le service d’infolettre ou la paie peuvent être dans ce cas. L’évaluation tient compte, entre autres, de la sensibilité des renseignements et du régime juridique de l’endroit où ils vont. La communication exige aussi une entente écrite.

Par où commencer

Faites le tour de l’entreprise. Notez où se trouvent des renseignements personnels (classeurs, ordinateurs, cellulaires, logiciels en ligne), qui y a accès et, pour chaque logiciel, où les données sont hébergées. Le contrat du fournisseur ou son service à la clientèle peut vous le dire.
Désignez le responsable. Si ce n’est pas vous, faites la délégation par écrit. Ajoutez son titre et une adresse de courriel sur votre site.
Ouvrez le registre des incidents. Un tableur suffit pour commencer.
Repérez ce que vous gardez sans raison : curriculum vitæ de candidats d’il y a cinq ans, spécimens de chèque d’anciens employés, vieux cahiers de réservations. Avant de détruire quoi que ce soit, vérifiez avec votre comptable les délais de conservation que d’autres lois vous imposent, en fiscalité notamment.
Pour chaque service hébergé hors du Québec, prévoyez une EFVP, et faites-la avant de signer avec le prochain fournisseur.

La CAI publie des pages d’information pour les entreprises écrites pour des non-juristes. Pour une situation précise (un incident, un fournisseur à l’étranger, des caméras qui filment des employés), consultez un avocat ou un conseiller en protection des renseignements personnels. Cet article informe ; il ne constitue pas un avis juridique.

Souverain Technologie accompagne des PME québécoises dans le choix et l’hébergement de leurs outils numériques ; si votre tour de l’entreprise soulève des questions sur l’endroit où sont vos données, vous pouvez nous écrire.

Sources

Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 1, 2, 3.1, 3.2, 3.5, 3.8 et 17. Consulté le 16 octobre 2026.
Code civil du Québec, art. 1525. Consulté le 16 octobre 2026.
Commission d’accès à l’information du Québec, Champ d’application de la Loi. Consulté le 16 octobre 2026.
Commission d’accès à l’information du Québec, Qu’est-ce qu’un renseignement personnel ?. Consulté le 16 octobre 2026.
Commission d’accès à l’information du Québec, Conservation et destruction des renseignements personnels. Consulté le 16 octobre 2026.
Commission d’accès à l’information du Québec, Information pour les entreprises et organisations privées. Consulté le 16 octobre 2026.