Conformité à la Loi 25 pour les PME de Gatineau et d’Ottawa

Oui. La Loi 25 vise pratiquement toute entreprise du secteur privé au Québec qui recueille, détient ou utilise des renseignements personnels, peu importe sa taille — il n’y a pas d’exemption selon le nombre d’employés. Les obligations centrales sont en vigueur depuis septembre 2023 — et la première vague, dont la désignation d’un responsable et la déclaration des incidents de confidentialité présentant un risque sérieux, l’est depuis septembre 2022. Les plus petites entreprises doivent simplement adapter l’effort à leur taille, et c’est précisément ce que nous faisons.

La Loi 25 prévoit parmi les sanctions les plus sévères au Canada en matière de vie privée. La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et les amendes pénales peuvent atteindre 25 M$ ou 4 % du chiffre d’affaires mondial pour les infractions les plus graves — le montant le plus élevé s’appliquant. La loi a aussi créé un droit privé d’action en dommages-intérêts. Pour une PME, le risque concret est généralement une plainte ou un incident déclaré qui révèle l’absence de gouvernance — d’où l’importance d’avoir les bases en place.

Une EFVP — évaluation des facteurs relatifs à la vie privée — est un examen structuré des risques pour la vie privée d’un projet. En vertu de la Loi 25, vous devez en réaliser une avant d’acquérir, de développer ou de refondre un système d’information qui traite des renseignements personnels, et avant de communiquer des renseignements personnels à l’extérieur du Québec. Nous menons l’EFVP, documentons les risques de façon proportionnée au projet et vous remettons les mesures d’atténuation ainsi que la trace à conserver au dossier.

Oui. Si vous préférez ne pas attribuer ce rôle à l’interne, nous pouvons agir comme votre responsable de la protection des renseignements personnels (RPRP) en impartition — traitement des demandes, évaluation des incidents, tenue du registre et gouvernance continue. Ce service s’arrime naturellement à notre RSSI virtuel : un leadership en vie privée et en sécurité à une fraction du coût d’une embauche à temps plein, en français comme en anglais.

Il n’y a pas de tarif unique — le coût dépend de la taille de votre organisation, du volume et de la sensibilité des renseignements personnels que vous détenez, de la maturité de votre gouvernance actuelle et du choix de confier ou non le rôle de RPRP en impartition. Une PME qui a déjà des politiques et un responsable désigné a beaucoup moins de chemin à faire qu’une entreprise qui part de zéro. Nous commençons par une courte analyse d’écarts pour cadrer le travail, puis nous remettons un prix forfaitaire clair, sans surprise, adapté à votre réalité.

Du soutien subventionné en cybersécurité et en conformité à la Loi 25 a été offert aux PME québécoises par l’entremise du réseau des centres collégiaux de transfert technologique (CCTT) — par exemple CyberQuébec, rattaché au Cégep de l’Outaouais et financé par le gouvernement du Québec. Les programmes précis évoluent (le programme MaLoi25, par exemple, a pris fin en 2025); nous vous aidons donc à repérer l’aide actuellement disponible et à vérifier votre admissibilité, puis nous réalisons le travail de conformité lui-même — EFVP, gouvernance et RPRP.