Conformité à la Loi 25 pour les PME de Gatineau et d’Ottawa

Oui. La Loi 25 vise pratiquement toute entreprise du secteur privé au Québec qui recueille, détient ou utilise des renseignements personnels, peu importe sa taille — il n’y a pas d’exemption selon le nombre d’employés. Les obligations centrales sont en vigueur depuis septembre 2023 — et la première vague, dont la désignation d’un responsable et la déclaration des incidents de confidentialité présentant un risque sérieux, l’est depuis septembre 2022. Les plus petites entreprises doivent simplement adapter l’effort à leur taille, et c’est précisément ce que nous faisons.

La Loi 25 prévoit parmi les sanctions les plus sévères au Canada en matière de vie privée. La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et les amendes pénales peuvent atteindre 25 M$ ou 4 % du chiffre d’affaires mondial pour les infractions les plus graves — le montant le plus élevé s’appliquant. La loi a aussi créé un droit privé d’action en dommages-intérêts. Pour une PME, le risque concret est généralement une plainte ou un incident déclaré qui révèle l’absence de gouvernance — d’où l’importance d’avoir les bases en place.

Une EFVP — évaluation des facteurs relatifs à la vie privée — est un examen structuré des risques pour la vie privée d’un projet. En vertu de la Loi 25, vous devez en réaliser une avant d’acquérir, de développer ou de refondre un système d’information qui traite des renseignements personnels, et avant de communiquer des renseignements personnels à l’extérieur du Québec. Nous menons l’EFVP, documentons les risques de façon proportionnée au projet et vous remettons les mesures d’atténuation ainsi que la trace à conserver au dossier.

Oui. Si vous préférez ne pas attribuer ce rôle à l’interne, nous pouvons agir comme votre responsable de la protection des renseignements personnels (RPRP) en impartition — traitement des demandes, évaluation des incidents, tenue du registre et gouvernance continue. Ce service s’arrime naturellement à notre RSSI virtuel : un leadership en vie privée et en sécurité à une fraction du coût d’une embauche à temps plein, en français comme en anglais.

Il n’y a pas de tarif unique, mais le marché est plus resserré qu’on ne le pense. Pour une PME, une analyse d’écarts et de préparation se fait généralement à forfait, entre 3 000 $ et 6 000 $; un programme de conformité complet — analyse, politiques, registres, EFVP et accompagnement de mise en œuvre — se situe la plupart du temps entre 6 000 $ et 20 000 $, selon le volume et la sensibilité des renseignements personnels que vous détenez et le choix de confier ou non le rôle de RPRP en impartition. La presse d’affaires québécoise a rapporté des factures de 30 000 $ à 40 000 $ pour des entreprises complexes au dossier de données lourd. Une PME qui a déjà des politiques et un responsable désigné a beaucoup moins de chemin à faire qu’une entreprise qui part de zéro — c’est pourquoi nous commençons par une courte analyse d’écarts, puis remettons un prix forfaitaire clair, sans surprise, adapté à votre réalité.

Pas toujours — et on vous le dira franchement si c’est votre cas. Si votre empreinte de données est modeste (une liste de clients, des dossiers d’employés, des outils de bureau courants) et qu’une personne à l’interne prend réellement le dossier en charge, vous pouvez accomplir beaucoup vous-même : désigner le responsable, publier la politique, tenir le registre. Un consultant Loi 25 devient utile quand le travail se complexifie ou que les enjeux montent — mener une véritable analyse d’écarts, réaliser les EFVP avant un nouveau système ou un transfert hors Québec, monter des registres qui tiennent la route en cas de plainte, et assumer les fonctions de RPRP quand personne à l’interne ne peut les porter. Le vrai test : le temps et la prise en charge. Si personne chez vous n’a les deux, l’aide externe coûte moins cher qu’une erreur.

Du soutien subventionné en cybersécurité et en conformité à la Loi 25 a été offert aux PME québécoises par l’entremise du réseau des centres collégiaux de transfert technologique (CCTT) — par exemple CyberQuébec, rattaché au Cégep de l’Outaouais et financé par le gouvernement du Québec. Les programmes précis évoluent (le programme MaLoi25, par exemple, a pris fin en 2025); nous vous aidons donc à repérer l’aide actuellement disponible et à vérifier votre admissibilité, puis nous réalisons le travail de conformité lui-même — EFVP, gouvernance et RPRP.