La loi québécoise sur la protection des renseignements personnels dans le secteur privé a été entièrement refondue entre 2022 et 2024. Elle prévoit désormais certaines des sanctions les plus lourdes en Amérique du Nord. Voici ce qu’elle exige et ce qu’elle change dans votre entreprise.
- Type
- Loi provinciale (Québec)
- Nom complet
- Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (LQ 2021, c. 25)
- Modifie
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1)
- Organisme de réglementation
- Commission d’accès à l’information du Québec (CAI)
- S’applique à
- Toute entreprise traitant des renseignements personnels au Québec, sans seuil de taille
- Statut
- Pleinement en vigueur depuis le 22/09/2024
Ce que c’est
La Loi 25 est la loi omnibus qui a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle instaure une personne responsable désignée, des politiques de gouvernance, des évaluations des facteurs relatifs à la vie privée, une déclaration obligatoire des incidents, un consentement renforcé, le respect de la vie privée par défaut, la transparence sur les décisions automatisées, ainsi que de nouveaux droits tels que la portabilité et la désindexation.
Pourquoi elle existe
La loi initiale de 1994 était antérieure à l’économie numérique. Le Québec a modelé cette réforme sur le RGPD européen afin que les résidents conservent le contrôle de leurs renseignements et que les entreprises québécoises puissent continuer à faire affaire avec des juridictions exigeant une protection équivalente.
À qui elle s’applique
Toute entreprise, à but lucratif ou non, qui recueille, détient, utilise ou communique des renseignements personnels au Québec. Il n’y a aucun seuil de revenu ou de taille, et les renseignements des employés sont visés. Les entreprises sous réglementation fédérale, comme les banques et les télécommunications, relèvent principalement de la LPRPDE pour leurs activités fédérales.
Autorité et application
La Commission d’accès à l’information mène des enquêtes, procède à des inspections, rend des ordonnances et impose des sanctions administratives pécuniaires selon son cadre publié. Elle peut également engager des poursuites pénales, et les particuliers peuvent intenter des recours en dommages-intérêts.
- 1994
La loi initiale sur le secteur privé entre en vigueur, la première du genre en Amérique du Nord.
- 12/06/2020
Le projet de loi 64 est déposé à l’Assemblée nationale.
- 22/09/2021
Sanction royale : la loi devient LQ 2021, c. 25.
- 22/09/2022
Phase 1 : personne responsable (par défaut, la plus haute autorité), déclaration et registre des incidents de confidentialité.
- 11/05/2023
La CAI publie son cadre relatif aux sanctions administratives pécuniaires.
- 22/09/2023
Phase 2, le cœur de la réforme : politiques de gouvernance, évaluations des facteurs relatifs à la vie privée, règles de consentement, respect de la vie privée par défaut, transparence en matière de profilage et de décisions automatisées, transferts hors Québec, désindexation, destruction ou anonymisation, sanctions.
- 30/05/2024
Le Règlement sur l’anonymisation des renseignements personnels entre en vigueur.
- 22/09/2024
Phase 3 : le droit à la portabilité des données.
Systèmes et outils
- Gestion du consentement et des témoins (cookies) avec suivi désactivé par défaut
- Exportation structurée des renseignements personnels pour les demandes de portabilité
- Avis lorsque les décisions sont entièrement automatisées
- Anonymisation ou destruction sécurisée en fin de conservation
Processus
- Évaluation des facteurs relatifs à la vie privée avant tout projet informatique impliquant des renseignements personnels
- Évaluation et entente écrite avant tout envoi de données hors Québec
- Registre des incidents, et avis à la CAI et aux personnes concernées en cas de risque de préjudice sérieux
- Réponse aux demandes d’accès, de rectification, de portabilité et de désindexation dans un délai de 30 jours
Gouvernance
- Personne responsable désignée, publiée sur votre site web
- Politiques de gouvernance, avec un résumé en langage clair publié
- Inventaire des données et calendrier de conservation
- Contrats avec les fournisseurs de services comportant des clauses de confidentialité, et formation du personnel
En cas de non-conformité
- Sanctions administratives pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé
- Amendes pénales de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d’affaires mondial, doublées en cas de récidive
- Dommages-intérêts punitifs d’au moins 1 000 $ pour les manquements intentionnels ou résultant d’une faute lourde
- Ordonnances et décisions publiées de la CAI
- Recours collectifs et atteinte durable à la réputation
- Perte de contrats avec des clients qui vérifient leurs fournisseurs
Changements annoncés et à venir
- Aucun projet de loi annoncéAucune modification à la loi n’avait été annoncée en date du 03/10/2026. D’autres lignes directrices et décisions d’application de la CAI sont à prévoir.
- À surveillerLe projet de loi C-36, au niveau fédéral, pourrait modifier l’interaction entre la LPRPDE et le régime québécois pour les activités transfrontalières.
Statut vérifié le 03/10/2026. Les dates peuvent changer ; veuillez confirmer auprès des sources officielles ci-dessous.
Comment nous pouvons vous aider
Registres, évaluations des facteurs relatifs à la vie privée, politiques et formation pour votre programme de protection des renseignements personnels, réunis dans un seul portail.
En savoir plusKW ConsultingConseil en matière de protection de la vie privée, outils de gestion du consentement, règles de conservation et modifications des systèmes intégrées à vos applications.
En savoir plus- Loi sur la protection des renseignements personnels dans le secteur privé (LégisQuébec) ↗
- Commission d’accès à l’information du Québec ↗
- Cadre de la CAI relatif aux sanctions administratives pécuniaires (PDF, FR) ↗
- Projet de loi 64, tel que déposé (Assemblée nationale) ↗
Analyses connexes
Sécuriser l’utilisation de l’IA : les 10 mesures de sécurité de l’IA du Centre pour la cybersécurité
Le nouveau guide du Centre canadien pour la cybersécurité présente 10 mesures de sécurité de l’IA en trois piliers : ce que chacune exige…
Lire l’analyse →ISO/IEC 27701:2025 : la certification vie privée n’exige plus l’ISO 27001
L’édition 2025 de l’ISO/IEC 27701 est une norme autonome de système de management de la vie privée. À qui elle profite, sa correspondance avec…
Lire l’analyse →Banque axée sur le consommateur : la barre de sécurité pour les fintechs et les prestataires de services de paiement
Les règlements canadiens sur l’open banking ont été proposés le 27/06/2026. Qui doit participer, les quatre voies d’accréditation, les exigences en matière de sécurité…
Lire l’analyse →