Sécurité des données pour les PME au Québec : Loi 25, obligations et meilleures pratiques.
Mis à jour en 2026. Par Astrale, automatisation pour PME québécoises.
Réponse rapide
La Loi 25 s'applique à toute PME québécoise qui détient des renseignements personnels. Les six obligations principales : désigner un responsable de la protection des renseignements personnels, publier une politique de confidentialité, obtenir un consentement clair, mettre en place des mesures de sécurité, limiter la conservation au temps nécessaire, et notifier en cas d'incident. Les sanctions peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
Pourquoi la sécurité des données est devenue critique pour les PME québécoises
La Loi 25 modernise depuis 2022 le cadre québécois sur la protection des renseignements personnels. Les dernières dispositions sont en vigueur depuis 2024, et les autorités québécoises ont commencé à sanctionner concrètement les entreprises non conformes. Les PME ne sont pas épargnées.
Au-delà du cadre légal, les attentes des clients ont changé. Un client B2B sérieux demande désormais comment ses données sont protégées avant de signer. Une fuite de données coûte plus cher en réputation et en clients perdus qu'en sanctions directes.
Pour une PME québécoise, la sécurité des données n'est plus un sujet réservé aux grandes entreprises ou aux DSI. C'est un prérequis pour faire des affaires.
Les 6 obligations principales sous la Loi 25.
Ce que toute PME québécoise qui détient des renseignements personnels doit avoir en place.
Désigner un responsable de la protection des renseignements personnels
Toute entreprise québécoise doit nommer une personne responsable de la protection des renseignements personnels (RPP). Par défaut, c'est la personne ayant la plus haute autorité dans l'organisation. Son nom et ses coordonnées doivent être publiés sur le site web de l'entreprise.
Publier une politique de confidentialité claire
L'entreprise doit publier une politique de confidentialité accessible, qui explique quelles données sont collectées, à quelles fins, comment elles sont utilisées, à qui elles peuvent être communiquées, et combien de temps elles sont conservées.
Obtenir un consentement clair pour la collecte
Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Pour les renseignements sensibles, il doit être express. Cocher une case par défaut ne suffit plus : la personne doit poser un geste actif.
Mettre en place des mesures de sécurité
L'entreprise doit prendre des mesures raisonnables pour assurer la confidentialité, l'intégrité et la disponibilité des renseignements. Cela inclut des mesures techniques (chiffrement, authentification, sauvegardes) et organisationnelles (politiques internes, formation, contrôle des accès).
Limiter la conservation au temps nécessaire
Les renseignements personnels ne peuvent pas être conservés indéfiniment. Une fois la finalité de la collecte atteinte, les données doivent être détruites ou anonymisées de manière sécuritaire. La durée de conservation doit être documentée.
Notifier en cas d'incident de confidentialité
Si un incident présente un risque sérieux de préjudice pour une personne, l'entreprise doit notifier la Commission d'accès à l'information et les personnes concernées. Tous les incidents, même mineurs, doivent être consignés dans un registre interne tenu à la disposition de la Commission.
Les risques concrets pour une PME non conforme
- Sanctions financières.Jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Les sanctions s'appliquent à toute entreprise, pas seulement aux grandes.
- Perte de clients B2B.Les acheteurs sérieux exigent désormais des garanties de conformité. Sans politique claire, vous perdez des contrats.
- Atteinte à la réputation.Un incident rendu public peut faire des dégâts disproportionnés à la taille de l'entreprise. La récupération prend des années.
- Coûts opérationnels en cas d'incident.Notification des personnes concernées, enquête interne, remédiation, communication, perte de productivité : un incident coûte cher, même quand les sanctions sont évitées.
- Risque personnel pour les dirigeants.Le responsable de la protection des renseignements personnels est nommément identifié. La responsabilité d'une PME se concentre sur son ou sa dirigeante.
7 mesures concrètes pour sécuriser les données d'une PME.
Ce qu'une PME peut déployer en quelques semaines, sans budget de grande entreprise.
Chiffrement
Données chiffrées en transit (TLS) et au repos. Les fichiers sensibles ne doivent jamais transiter en clair.
Authentification à plusieurs facteurs
MFA obligatoire sur tous les comptes ayant accès à des données clients. Mot de passe seul n'est plus suffisant.
Principe du moindre privilège
Chaque employé voit uniquement ce dont il a besoin. Les accès sont accordés par rôle, pas par habitude.
Journalisation des accès
Qui a accédé à quoi, quand, depuis où. Indispensable pour détecter une intrusion ou répondre à une demande d'accès.
Sauvegardes testées
Sauvegardes régulières, chiffrées, et surtout testées. Une sauvegarde non vérifiée n'est pas une sauvegarde.
Politique de mots de passe
Mots de passe longs, gérés par un gestionnaire, jamais partagés par courriel ou messagerie.
Formation des employés
La majorité des incidents commencent par un courriel ou un mot de passe. Former l'équipe est la mesure la plus rentable.
Comment Astrale traite la sécurité dans ses automatisations
Astrale conçoit ses systèmes d'automatisation pour répondre aux exigences de la Loi 25. Les données ne sont pas stockées sur nos serveurs : elles transitent par nos pipelines pour être injectées dans les systèmes du client. Les fournisseurs de traitement de documents opèrent sous des contrats stricts qui interdisent la réutilisation des données pour entraîner des modèles tiers.
Nos clients gardent le contrôle complet : ils peuvent demander un rapport sur leurs données à tout moment, exiger la suppression, révoquer nos accès ou exporter leurs données. Notre infrastructure est configurée pour répondre aux exigences canadiennes de protection des renseignements personnels.
Pour le détail complet de nos pratiques, consultez notre page sécurité des données et notre politique de confidentialité.
Que faire en cas d'incident
Sous la Loi 25, en cas d'incident de confidentialité, l'entreprise doit suivre une procédure claire :
- 01Contenir l'incident. Identifier la source, isoler les systèmes touchés, stopper la fuite si elle est en cours.
- 02Évaluer la gravité. Quel type de données, combien de personnes touchées, quels risques de préjudice.
- 03Notifier la Commission d'accès à l'information. Si un risque sérieux de préjudice est identifié. Notifier également les personnes concernées.
- 04Consigner dans le registre. Tous les incidents, même mineurs, doivent être inscrits dans un registre interne tenu à la disposition de la Commission.
- 05Remédier et améliorer. Corriger la vulnérabilité, mettre à jour les processus, former les équipes pour éviter une récidive.
Questions fréquentes sur la Loi 25 et la sécurité des données.
La Loi 25 s'applique-t-elle aux PME au Québec ?
Oui. La Loi 25 s'applique à toute entreprise privée qui exerce des activités au Québec et qui détient des renseignements personnels, peu importe sa taille. Une PME de quelques employés est soumise aux mêmes obligations de fond qu'une grande entreprise. Les sanctions peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial.
Quelles sont les principales obligations d'une PME sous la Loi 25 ?
Désigner un responsable de la protection des renseignements personnels, publier une politique de confidentialité, obtenir un consentement clair pour la collecte, mettre en place des mesures de sécurité techniques et organisationnelles, conserver les données uniquement le temps nécessaire, et notifier la Commission d'accès à l'information en cas d'incident.
Que faire en cas d'incident de confidentialité ?
L'entreprise doit prendre des mesures raisonnables pour réduire les risques de préjudice, évaluer la gravité de l'incident, et si un risque sérieux de préjudice existe, notifier la Commission d'accès à l'information ainsi que les personnes concernées. L'incident doit être consigné dans un registre interne, accessible à la Commission sur demande.
Comment sécuriser concrètement les données d'une PME ?
Sept mesures concrètes : chiffrement en transit et au repos, authentification à plusieurs facteurs (MFA) sur tous les accès, principe du moindre privilège, journalisation des accès, sauvegardes régulières et testées, politique de mots de passe forte, et formation des employés à la cybersécurité de base. Pour une PME, ces mesures peuvent être déployées en quelques semaines.
L'automatisation est-elle compatible avec la Loi 25 ?
Oui, à condition que le fournisseur d'automatisation respecte les exigences de la Loi 25 : mesures de sécurité adéquates, conservation limitée, fournisseurs sous contrats stricts, et évaluation des facteurs vie privée si des données transitent hors du Québec. Astrale conçoit ses automatisations pour répondre à ces exigences.
Sources et références
- Commission d'accès à l'information du Québec — cai.gouv.qc.ca
- Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25), Québec.
- Page interne : Pratiques de sécurité Astrale