Vie privée et conformité13 septembre 2026

Loi 25 : quelles pratiques organiser dans votre entreprise ?

Une méthode pour relier politiques, responsabilités et gestes quotidiens : préparez un plan de travail Loi 25 fondé sur vos activités.

Introduction

Pour organiser une démarche Loi 25, commencez par un parcours réel de renseignements personnels : qui les recueille, dans quel but, où ils circulent et qui décide de leur devenir. Rapprochez ensuite les documents de ce fonctionnement. Vous pourrez préparer un plan d’action et identifier les points qui demandent une validation juridique.

Situer le cadre avant de remplir une liste

La Loi 25 a modifié les lois québécoises de protection des renseignements personnels. La CAI explique notamment les obligations de gouvernance et de transparence. Il faut travailler avec les règles applicables à votre organisation, plutôt qu’avec le seul nom d’une réforme.

Cet article propose une méthode de préparation pour une entreprise. Il ne constitue pas un inventaire exhaustif des obligations. Notez les activités, les entités et les questions encore incertaines ; faites qualifier les points de droit nécessaires à votre situation avant d’en déduire une conclusion de conformité.

Principaux changements apportés par la Loi 25

Décrire un parcours que votre équipe connaît

Choisissez une activité assez précise : recevoir une demande de client, créer un dossier fournisseur ou traiter une candidature. Définissez son début et sa fin, puis réunissez les personnes qui réalisent les étapes. Un nom de logiciel ne décrit pas à lui seul les usages de l’information.

Pour chaque étape, inscrivez les catégories de renseignements, le but, les personnes qui interviennent et les outils concernés. Ajoutez ce qui se passe lorsqu’un dossier reste en attente ou qu’une personne quitte l’équipe. Conservez la différence entre une pratique observée et une règle seulement décrite dans un document.

Relier une règle à une responsabilité

La CAI indique que les politiques et pratiques de gouvernance doivent notamment couvrir conservation et destruction, responsabilités du personnel et traitement des plaintes. Elle précise aussi leur proportionnalité aux activités de l’entreprise.

Pour préparer leur mise en œuvre, utilisez quatre colonnes : situation, décision, responsable, trace attendue. Par exemple, qui reçoit une demande concernant des renseignements et vers qui l’oriente-t-il ? Le document doit aider à agir. Une boîte courriel générique sans personne chargée du suivi laisse une question opérationnelle entière.

Responsabilité des entreprises

Responsables reliant le cycle de vie des renseignements aux contrôles et aux responsabilités de la Loi 25 — Une pratique conforme relie chaque étape du cycle de vie des renseignements à un responsable, une décision et une preuve.

Exemple fictif : une demande arrivée dans deux boîtes

Une entreprise fictive reçoit une demande par son formulaire et par courriel. Deux équipes préparent une réponse sans savoir que l’autre intervient. La difficulté à examiner est le parcours de réception et d’attribution, avant de choisir un nouvel outil.

Une fiche de travail pourrait proposer un point de réception, un responsable d’attribution, une référence commune et un endroit où conserver la décision. Les modalités de vérification de la demande et les règles de réponse doivent être déterminées avec les personnes compétentes. Cet exemple illustre une organisation possible, pas un cas client ni une procédure juridique complète.

Préparer une liste d’actions qui permet de décider

Pour chaque écart, notez le fait observé, le résultat recherché, la personne responsable et la dépendance à résoudre. Séparez une correction de pratique, une modification de configuration et une question nécessitant un avis. Évitez d’attribuer un niveau de risque sans expliquer son fondement.

Votre première revue peut tenir sur une page : parcours choisi ; documents examinés ; trois questions à trancher ; actions convenues ; preuve de vérification attendue. La liste sert à organiser le travail. Sa complétude ne mesure pas, à elle seule, la conformité de l’entreprise.

Questions fréquentes

Faut-il réécrire toutes nos politiques ?

Commencez par les documents existants et leur utilisation. Une révision ciblée peut suffire pour un parcours ; d’autres questions peuvent demander un examen plus large. Le diagnostic doit justifier le périmètre de réécriture.

Un logiciel peut-il faire ce travail pour nous ?

Un outil peut faciliter le suivi. Il faut néanmoins définir les décisions, les responsabilités et les règles qu’il doit soutenir. Préparez ces besoins avant de comparer ses fonctions.

Quel livrable demander à la fin ?

Demandez un périmètre explicite, des constats reliés aux faits, des actions attribuées et les limites de la revue. Le format est moins important que la possibilité de comprendre ce qui a été examiné et ce qui reste à décider.