Vous avez branché le formulaire de votre site à un connecteur Zapier, synchronisé votre CRM avec votre outil de facturation, ou fait passer les courriels de vos clients par une automatisation qui rédige les réponses. Le scénario roule depuis des semaines. Personne n’a relu la loi 25 avant de l’activer, et rien n’a explosé. Vous vous demandez maintenant ce que ça change, concrètement, pour vos obligations.
Ça change beaucoup, et ça ne change rien en même temps. La loi ne traite pas différemment un geste automatisé d’un geste manuel. Un renseignement personnel qui quitte votre CRM pour un outil hébergé ailleurs est une communication, que ce soit un webhook Zapier à trois heures du matin ou un employé qui envoie le même courriel à la main. Ce qui change avec l’automatisation, c’est le volume et la fréquence. Un geste qu’une personne posait une fois par semaine, en pesant chaque envoi, se répète maintenant des centaines de fois par jour sans que personne n’y pense. La loi n’a pas de seuil d’inattention. Elle s’applique à la centième communication exactement comme à la première.
Ce guide répond à la question que les gabarits de conformité vendus en ligne ne posent jamais : qu’est-ce que la loi 25 exige d’un système qui tourne tout seul, pas d’un document signé une fois?
Ceci n’est pas un avis juridique. Telos Machina bâtit des systèmes d’automatisation, pas des dossiers de conformité. Ce que ce guide fait : montrer où la loi touche exactement ce que vous avez construit, avec les articles précis et les gestes qui en découlent. Ce que seul un avocat en droit de la protection des renseignements personnels peut faire : statuer sur votre cas précis, remplir un avis à la Commission d’accès à l’information (CAI), ou vous représenter en cas d’enquête. Le Barreau du Québec offre un service de référence pour ça.
La loi 25 ne fait pas d’exception pour la taille de votre entreprise
Chez Telos Machina, on est une entreprise de deux personnes. On porte les mêmes obligations de base qu’une entreprise de deux cents employés : un responsable de la protection des renseignements personnels désigné, une politique de confidentialité publiée, un registre des incidents tenu à jour. Rien de tout ça ne dépend du nombre d’employés, du chiffre d’affaires, ou de la présence ou non d’une équipe TI à l’interne.
Trois dates marquent l’entrée en vigueur graduelle de la loi :
| Date | Ce qui entre en vigueur |
|---|---|
| 22 septembre 2022 | Désignation du responsable de la protection des renseignements personnels; création du registre des incidents |
| 22 septembre 2023 | Politique de confidentialité publiée; consentement selon les huit critères de la CAI; bandeau de témoins en mode opt-in; EFVP obligatoire pour tout nouveau système ou transfert hors Québec |
| 22 septembre 2024 | Droit à la portabilité des données |
La divulgation des décisions automatisées, dont il est question plus loin, fait partie de la même vague législative, en vigueur au même titre que le reste. Les trois phases sont complétées depuis 2024. La conformité complète est requise maintenant, pas dans un avenir rapproché.
Deux catégories d’obligations : celles que vous avez déjà, celles que l’automatisation déclenche
La première catégorie existe peu importe ce que vous automatisez. Elle tient en quatre gestes :
- Un responsable de la protection des renseignements personnels désigné, dont le nom et le courriel sont publiés à environ deux clics de votre page d’accueil.
- Une politique de confidentialité en français, qui nomme les catégories de renseignements collectés, les fins de cette collecte, les droits des personnes concernées et le processus de plainte.
- Un horaire de conservation et de destruction, déclenché par la fin du besoin qui a justifié la collecte, pas par une date fixe au calendrier.
- Un registre des incidents tenu à jour, même vide.
Ces quatre obligations tiennent la route pour une entreprise qui n’utilise aucun outil d’automatisation. La deuxième catégorie s’active au moment précis où vous configurez un système, et chaque outil que vous branchez pose une question différente :
| Ce que vous avez automatisé | L’obligation que ça déclenche |
|---|---|
| Un nouveau CRM, même hébergé au Québec | EFVP au sens de l’article 3.3, avant la mise en production |
| Un connecteur vers un outil hébergé hors Québec, l’Ontario compris | EFVP au sens de l’article 17, entente écrite avec le destinataire |
| Un formulaire web qui alimente une liste d’envoi | Consentement granulaire et distinct pour chaque finalité |
| Un outil de suivi ou un pixel publicitaire | Bandeau opt-in, rien qui s’active avant le choix du visiteur |
| Un agent IA qui trie, score ou décide quelque chose pour un client | Divulgation au sens de l’article 12.1 |
Cinq lignes, cinq obligations distinctes. La plupart des PME en cochent une ou deux sans savoir que les trois autres existent.
L’EFVP se déclenche en construisant le système, pas seulement en l’envoyant ailleurs
L’article 3.3 de la loi exige une évaluation des facteurs relatifs à la vie privée (EFVP) avant l’acquisition, le développement ou la refonte d’un système d’information qui traite des renseignements personnels. Un nouveau CRM hébergé sur un serveur à Québec déclenche cette obligation exactement comme un CRM hébergé en Californie. Le critère n’est pas la localisation des données. C’est le fait de construire ou de reconfigurer le système lui-même.
La plupart des PME sautent cette étape parce qu’elles associent l’EFVP au mot « transfert », et un système hébergé au Québec ne transfère rien nulle part. C’est une lecture incomplète de la loi. Une entreprise qui remplace son logiciel comptable pour un outil québécois, sans jamais envoyer une donnée hors province, doit tout de même produire une EFVP pour ce changement, parce qu’elle vient de refondre un système qui traite des renseignements personnels.
Une fois cette étape franchie, une deuxième question se pose presque toujours : où vivent les serveurs de l’outil que vous venez de brancher? La majorité des outils d’automatisation grand public, Zapier, Make, la version infonuagique de n8n, hébergent hors Québec par défaut. Dès que c’est le cas, une deuxième couche d’obligations s’ajoute : l’EFVP de l’article 17, l’entente écrite, la vérification d’une protection adéquate chez le destinataire. Notre guide sur le transfert de données hors Québec couvre cette mécanique en détail, avec le piège le plus coûteux à corriger après coup (l’Ontario compte comme « hors Québec » exactement comme la Californie) et une méthode pour produire l’évaluation d’un scénario Zapier ordinaire sans y passer des semaines.
Le consentement se joue à la case, pas au paragraphe
La CAI fixe huit critères de validité pour le consentement : manifeste, libre, éclairé, spécifique, granulaire, compréhensible, temporaire, distinct. Une case précochée dans votre formulaire de contact viole le premier critère avant même que le visiteur ait lu quoi que ce soit. Une seule case qui couvre à la fois l’envoi de la soumission et l’inscription à l’infolettre viole le critère de granularité : chaque finalité mérite sa propre case, cochée séparément.
Le critère distinct pose un piège particulier pour une automatisation. Un formulaire intégré par un connecteur qui glisse l’accord de consentement à l’intérieur de la case « j’accepte les conditions d’utilisation » ne satisfait pas ce critère, même si le texte complet apparaît quelque part sur la page. La demande de consentement doit se présenter séparément de tout autre document.
Le Québec est la seule province nord-américaine qui exige un consentement opt-in, et non opt-out, pour les outils de suivi et la publicité. Aucun outil de ce genre ne peut s’activer avant que le visiteur ait cliqué « j’accepte ». Un bandeau calqué sur le modèle européen, qui charge Google Analytics en arrière-plan pendant que le visiteur lit encore la bannière, ne satisfait pas ce standard.
Dans une automatisation, le consentement se configure au moment où vous branchez le connecteur, pas après coup. Un formulaire Zapier qui pousse automatiquement chaque nouveau contact vers une liste de marketing par courriel, sans case distincte pour ce deuxième usage, viole la loi dès le premier envoi, même si personne ne s’en est jamais plaint.
Quand l’automatisation décide quelque chose pour un client, l’article 12.1 s’applique
C’est la section que la plupart des gabarits de conformité oublient complètement, parce qu’elle est arrivée avec la vague d’automatisation par IA plutôt qu’avec les formulaires et les témoins. L’article 12.1 s’applique dès qu’une décision au sujet d’une personne est prise uniquement ou principalement par un traitement automatisé. Un agent qui trie les demandes entrantes, qui attribue un score de priorité à un lead, ou qui refuse automatiquement une demande de remboursement, entre dans ce périmètre.
Quatre obligations en découlent. Informer la personne qu’un système automatisé a été utilisé. Sur demande, expliquer les renseignements personnels utilisés dans la décision. Sur demande, expliquer les facteurs et le raisonnement principal. Sur demande, permettre une révision humaine. Ce dernier point n’est pas satisfait par une porte fermée avec une adresse courriel générique au bout : un client qui reçoit un refus automatique doit pouvoir demander qu’une personne revoie son dossier, et cette possibilité doit être annoncée quelque part, pas seulement offerte à qui insiste assez longtemps.
Ce n’est pas une case à cocher qu’on ajoute après coup. C’est une conversation à avoir avant de construire l’automatisation : qu’est-ce que ce système décide vraiment, et qui répond quand un client demande pourquoi?
Le registre des incidents existe même si rien n’est jamais arrivé
Un incident de confidentialité, au sens de la loi, dépasse largement le piratage informatique : un accès non autorisé, une communication par erreur, une perte de renseignement, comptent tous. Le registre qui consigne ces incidents est obligatoire depuis 2022, conservé cinq ans, et produisible sur demande de la CAI, même si votre entreprise n’a jamais eu d’incident à déclarer. Notre guide sur le registre des incidents couvre le système au complet : ce que les huit champs obligatoires doivent contenir, pourquoi un gabarit Excel reste vide sans un canal de signalement, et comment brancher ce canal à ce qui se passe réellement dans votre entreprise plutôt que d’attendre qu’un humain s’en souvienne.
Ce que la conformité ressemble dans un système qui tourne, pas dans un document
La plupart des fournisseurs de conformité au Québec vendent le même document : un gabarit de politique de confidentialité, une lettre de désignation à signer. Appelons ça la conformité de gabarit : le document existe, mais rien dans le système ne dépend de son contenu. Le document ne fait rien tout seul. Le système, oui.
Voici à quoi ça ressemble en production. Un bandeau de consentement configuré avec Google Consent Mode v2 se déploie avant que le moindre outil de suivi ne se charge, avec les catégories de consentement fixées à « refusé » par défaut dans le code, avant même que la page finisse de s’afficher. Le visiteur voit le bandeau, choisit, et ce choix se propage immédiatement au système d’analytique. Un bouton discret dans le pied de page, « Préférences de confidentialité », rouvre le même bandeau à tout moment, parce que retirer un consentement doit être aussi facile que de le donner.
Ce système tourne aujourd’hui sur le site de Rideaux Nalia, en français et en anglais. Il est spécifié pour l’atelier Multidécor, où sa construction a délibérément retardé autre chose : un chantier séparé prévoyait le portage d’un nouvel outil d’analytique, et quelqu’un a remarqué à temps que ce chantier allait mettre un traceur en ligne avant que le bandeau de consentement n’existe. Le déploiement de l’outil d’analytique attend maintenant que le bandeau soit livré, et pas l’inverse. C’est le genre de séquence qu’un gabarit ne peut pas imposer, parce qu’un gabarit ne sait pas quel code s’apprête à passer en production le lendemain.
C’est la différence entre écrire qu’on respecte la loi 25 et construire un système qui ne peut pas faire autrement.
Par où commencer cette semaine
Cinq gestes, dans l’ordre où ils rapportent le plus par rapport à l’effort qu’ils demandent :
- Dressez la liste de vos outils. Chaque connecteur, chaque CRM, chaque plateforme qui reçoit un nom, un courriel ou une adresse. Notez où vivent leurs serveurs.
- Vérifiez vos cases de consentement. Aucune précochée, une case par finalité, un bandeau qui bloque les outils de suivi par défaut.
- Confirmez qu’un registre des incidents existe, même une feuille avec les huit colonnes prêtes et rien dedans.
- Désignez un responsable et publiez son nom et son courriel à deux clics de votre page d’accueil.
- Inscrivez-vous à MaLoi25, un programme gratuit de coaching individuel pour les PME québécoises de moins de 500 employés.
Aucun de ces cinq gestes ne demande un consultant à l’heure. Ils demandent une liste, une case décochée, et une décision.
Ce que ce guide ne fait pas
Ce guide nomme les articles, explique les déclencheurs, et montre un système réel. Il ne remplace pas une évaluation de votre situation précise : le volume de renseignements que vous traitez, leur sensibilité, et le risque réel que porte votre entreprise varient d’un dossier à l’autre, et seule une lecture de votre cas peut trancher ce que la loi exige exactement chez vous. Le Diagnostic Conformité de Telos Machina part de votre pile d’outils réelle, pas d’un gabarit générique, et identifie ce qui est déjà en ordre et ce qui ne l’est pas.
FAQ
Une PME de trois employés est-elle visée par la loi 25?
Oui. La loi s’applique dès le premier renseignement personnel recueilli dans le cadre d’une activité d’entreprise, sans seuil de taille, de chiffre d’affaires ou de nombre d’employés. Telos Machina elle-même, une entreprise de deux personnes, porte les mêmes obligations de base qu’une entreprise de deux cents employés : responsable désigné, politique publiée, registre tenu à jour.
Quelle est la différence entre une EFVP et le registre des incidents?
L’EFVP se produit avant qu’un système soit construit ou qu’un transfert ait lieu : elle évalue un risque à venir. Le registre des incidents consigne ce qui s’est déjà mal passé, après le fait. Les deux appartiennent au même système de conformité, mais l’un regarde en avant et l’autre en arrière.
Utiliser ChatGPT ou Claude dans une automatisation change-t-il quelque chose?
Oui, sur deux plans. D’abord, chaque appel à une API d’IA hébergée aux États-Unis communique potentiellement des renseignements personnels hors Québec au sens de l’article 17, ce qui déclenche l’EFVP correspondante. Ensuite, si le résultat de cet appel décide ou influence une décision au sujet d’un client, comme trier une demande ou refuser une réclamation, l’article 12.1 s’ajoute par-dessus.
Un gabarit de politique de confidentialité téléchargé en ligne suffit-il?
Un gabarit couvre la politique publiée, un des éléments de la conformité. Il ne couvre pas l’EFVP avant de brancher un nouvel outil, le consentement configuré case par case dans un formulaire, ni le registre alimenté au moment où un incident se produit. Un gabarit fige une intention sur papier. La loi 25 juge ce que le système fait réellement.
Par où commencer si rien n’a encore été fait?
Par la liste de vos outils et l’endroit où vivent leurs serveurs, pas par un document. C’est le geste qui révèle le plus vite où la loi s’applique déjà chez vous, et il ne coûte rien d’autre que le temps de le faire.