Les obligations de la Loi 25 pour une jeune entreprise technologique : échéances entrées en vigueur, sanctions réelles, et les points que presque tout le monde manque.
Cet article décrit des exigences légales ; il ne constitue pas un avis juridique.
La Loi 25 est arrivée par vagues — septembre 2022, 2023, puis 2024 — et beaucoup de fondateurs sont restés sur l'idée qu'il s'agissait « d'une histoire de cookies ». Voici ce qu'elle exige réellement d'un produit qui traite les renseignements de personnes situées au Québec.
Elle s'applique à toi même si tu n'es pas au Québec. Le critère n'est pas ton siège social, c'est la provenance des renseignements.●
Une entreprise ontarienne, française ou togolaise qui a des utilisateurs québécois y est assujettie.
1 · Désigner un responsable, et publier son nom.
Le point le plus simple, et pourtant le plus souvent en défaut. La loi attribue par défaut cette fonction à la personne ayant la plus haute autorité, et exige que le titre et les coordonnées soient publiés sur le site. Un simple contact@ ne suffit pas : il faut une personne identifiable. Vérifiable en trente secondes par n'importe qui, y compris un régulateur.
2 · Tenir un registre des incidents.
Tout incident, pas seulement les graves. Et lorsqu'il présente un risque de préjudice sérieux, il faut aviser les personnes concernées et la Commission d'accès à l'information sans délai. Le registre doit exister avant l'incident : constitué le jour même, il ne prouve rien.
3 · Évaluer avant tout transfert hors du Québec.
C'est l'article qui piège les jeunes entreprises technologiques, parce qu'il ne parle pas seulement de sous-traitance : ton hébergeur en Virginie, ton outil d'infolettre en Irlande, ton prestataire de soutien à l'étranger sont chacun une communication hors Québec. Chacun exige une évaluation des facteurs relatifs à la vie privée préalable.
4 · Régler la confidentialité au maximum par défaut.
Pour un produit offrant des paramètres de confidentialité, le niveau le plus protecteur doit s'appliquer sans aucune intervention de l'utilisateur. Un profil public par défaut avec option de le rendre privé constitue une non-conformité de conception — et se corrige mal après le lancement.
5 · Rendre le consentement granulaire et révocable.
Une case unique couvrant plusieurs finalités ne vaut pas consentement. Et le refus doit être aussi simple que l'acceptation : le bandeau où « Accepter » est un bouton et « Refuser » un lien gris en deuxième écran est précisément ce que la loi vise.
6 · Permettre la portabilité.
Depuis septembre 2024, toute personne peut demander ses renseignements dans un format technologique structuré et couramment utilisé. Concrètement : une fonction d'export. À prévoir dans le modèle de données, pas à ajouter en catastrophe le jour de la première demande.
7 · Déclarer la biométrie soixante jours à l'avance.
Peu connu, et sévère. Toute base de données biométriques — reconnaissance faciale, empreintes, authentification vocale — doit être déclarée à la Commission d'accès à l'information au moins 60 jours avant sa mise en service. Si ta feuille de route comporte de la reconnaissance faciale, ce délai est un jalon de projet, pas une formalité.
Les sanctions, sans dramatisation.
Les sanctions administratives peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial ; les sanctions pénales, 25 M$ ou 4 %. Ces plafonds visent des manquements graves et ne concerneront probablement jamais une entreprise de cinq personnes.
Le risque réel pour une jeune entreprise est ailleurs. La loi ouvre un droit d'action privé avec dommages punitifs d'un minimum de 1 000 $ par personne. Sur une base de dix mille utilisateurs, l'arithmétique parle d'elle-même. Et il y a le risque commercial, plus immédiat : un acheteur institutionnel t'enverra un questionnaire de sécurité. Ne pas pouvoir y répondre allonge un cycle de vente de trois mois — ou le termine.
La séquence si tu pars de zéro.
Semaine 1 : désigner le responsable, publier ses coordonnées, ouvrir le registre d'incidents. Une demi-journée, aucun budget. Semaine 2 : inventorier les données — quelle donnée, pour quelle finalité, où elle est hébergée, combien de temps on la garde. C'est la fondation de tout le reste, et le seul exercice qui prend du temps.
Semaine 3 : corriger le consentement et les valeurs par défaut dans le produit. Semaine 4 : rédiger la politique à partir de l'inventaire — jamais l'inverse. Une politique écrite avant l'inventaire décrit un produit imaginaire, et devient une non-conformité documentée par écrit, ce qui est pire que l'absence de politique.
L'erreur la plus fréquente.
Traiter la conformité comme une tâche de fin de projet. Un consentement granulaire, une purge automatique, un export de données : ce sont des décisions de modèle de données. Prises en semaine 1, elles coûtent quelques heures. Prises après le lancement, elles imposent une migration.