Conformité Loi 25 et vie privée
La loi québécoise sur les renseignements personnels s'applique à toutes les entreprises, peu importe leur taille. On bâtit le système qui vous rend conforme, pas juste le rapport qui constate que vous ne l'êtes pas.
La conformité n'est pas un document
La plupart des propriétaires d'entreprise découvrent la Loi 25 par un questionnaire de fournisseur ou par un client qui réclame une politique de confidentialité. Le réflexe naturel est de copier un gabarit trouvé en ligne, de le déposer dans le pied de page du site, et de considérer le dossier réglé.
L'hypothèse derrière ce réflexe est que la conformité est un livrable écrit. Elle est une pratique opérationnelle. La loi demande une personne responsable désignée, une politique publiée qui décrit vos vraies pratiques, un consentement recueilli et traçable, un registre des incidents avec une procédure de déclaration, des règles de conservation et de destruction, et une réponse claire quand quelqu'un demande à consulter ou à effacer ses renseignements.
Rien de tout ça ne vit dans un PDF. Ça vit dans vos formulaires, votre CRM, votre boîte de courriel, vos sauvegardes, et surtout dans ce que votre équipe fait le jour où la demande arrive. Un gabarit qui décrit des pratiques que vous n'avez pas vous place dans une position pire que le silence : vous avez publié une promesse que vos systèmes ne tiennent pas.
Le point de départ : le Diagnostic Conformité
On l'appelle le Bilan. C'est un mandat court et borné qui répond à une seule question : où êtes-vous vraiment par rapport à ce que la loi demande. On ne présume rien de votre situation avant de l'avoir regardée.
- Inventaire des renseignements : quelles données personnelles vous détenez réellement, celles que vous avez oubliées incluses
- Cartographie des systèmes : où ces données vivent, qui y a accès, avec quels fournisseurs elles circulent et dans quel pays elles sont hébergées
- Écarts classés par priorité : ce qui vous expose le plus en premier, pas une liste alphabétique de tout ce qui manque
- Plan d'action écrit : quoi corriger, dans quel ordre, avec quel effort. Le rapport vous appartient, même si vous ne poursuivez pas avec nous
Ce qu'on met en place ensuite
Le Bilan dit quoi corriger. L'implémentation le corrige. Vous choisissez ce qu'on bâtit et dans quel ordre.
Politique de confidentialité
Rédigée à partir de vos pratiques réelles, pas d'un gabarit générique. En français, publiée là où vos clients la trouvent.
Gestion du consentement
Consentement recueilli sur vos formulaires et vos infolettres, horodaté et retraçable. Un consentement que vous ne pouvez pas prouver n'existe pas.
Registre des incidents
Le registre exigé par la loi, plus la procédure qui dit qui fait quoi dans les heures qui suivent un incident de confidentialité.
Conservation et destruction
Des règles écrites sur combien de temps vous gardez quoi, et l'automatisation qui applique ces règles au lieu de compter sur la mémoire de quelqu'un.
Demandes d'accès et de retrait
Un chemin clair pour recevoir, traiter et documenter les demandes de consultation, de rectification et de suppression, dans les délais prévus.
Formation de l'équipe
Un atelier court pour les gens qui touchent aux données au quotidien. Ce sont eux qui rendent la politique vraie ou fausse.
On bâtit les systèmes. On n'est pas un cabinet d'avocats : pour l'avis juridique, on travaille avec votre conseiller ou on vous en réfère un.
Comment on travaille
-
On se rencontre
Aucun mandat ne se chiffre avant une conversation. On regarde ce que vous détenez, ce qui vous inquiète et ce qu'un client ou un fournisseur vous demande.
-
On dessine le flux
On trace la circulation de vos données sous forme de schéma, on s'entend dessus avec vous, et seulement là on bâtit. Vous voyez le système avant qu'il existe.
-
On livre par étapes
Un dépôt ouvre le mandat, un paiement arrive à la première livraison, le solde à la livraison finale. Vous payez au rythme de ce que vous recevez.
On n'affiche pas de prix : le travail de conformité varie trop d'une entreprise à l'autre pour qu'un chiffre affiché veuille dire quelque chose. Chaque mandat reçoit une soumission sur mesure après la rencontre. Plusieurs mandats peuvent se combiner : la conformité s'assemble bien avec un site web ou une automatisation de formulaires.
Questions sur la Loi 25
Est-ce que la Loi 25 s'applique à une petite entreprise ?
Oui. La loi vise toute entreprise qui recueille, utilise ou conserve des renseignements personnels au Québec. Il n'y a pas de seuil d'employés ni de chiffre d'affaires. Un salon de coiffure avec une liste de clients est assujetti au même titre qu'un manufacturier.
Par quoi on commence ?
Par le Diagnostic Conformité, le Bilan. On dresse l'inventaire de ce que vous détenez, on repère où ça vit et qui y a accès, puis on vous remet un rapport écrit avec les écarts classés par priorité. Vous décidez ensuite si vous corrigez avec nous ou à l'interne.
Est-ce que vous donnez des avis juridiques ?
Non. On n'est pas un cabinet d'avocats. On bâtit les systèmes qui rendent vos pratiques conformes et vérifiables : les politiques, le consentement, le registre, les automatisations de conservation. Pour l'avis juridique, on travaille avec votre conseiller ou on vous en réfère un.
Combien ça coûte ?
Ça dépend de ce que vous détenez et de l'état de vos systèmes. On ne publie pas de prix parce qu'un chiffre affiché serait faux dans la majorité des cas. Chaque mandat commence par une rencontre et reçoit ensuite une soumission sur mesure. Certaines subventions québécoises peuvent couvrir une partie des coûts de numérisation rattachés au projet ; on vérifie votre admissibilité pendant l'appel.
Commencez par savoir où vous êtes
Un appel de 20 minutes pour regarder ce que vous détenez et voir si un Bilan a du sens pour vous. Sans engagement.