Conformité Loi 25 : un plan clair, réglé dans Microsoft 365.

Questions fréquentes

Questions fréquentes sur la Loi 25.

Une autre question ? Écrivez-nous.

• Qui est concerné par la Loi 25 ?

  Toute organisation opérant au Québec qui collecte, utilise ou conserve des renseignements personnels : PME, OBNL, professionnels (CPA, avocats, notaires, médecins), municipalités, organismes publics, établissements de santé. Les obligations sont graduées selon la taille et la sensibilité des données, et toutes les organisations sont visées.

• Quelles sont les principales obligations de la Loi 25 ?

  Désigner un responsable de la protection des renseignements personnels (RPRP), publier une politique de confidentialité conforme, tenir un registre des traitements et des incidents, réaliser des évaluations des facteurs relatifs à la vie privée (EFVP), évaluer les transferts hors-Québec, permettre la portabilité des données (depuis sept. 2024), informer les personnes concernées des décisions automatisées (article 12.1) et notifier la CAI en cas d'incident.

• Quelles sont les sanctions réelles en cas de non-conformité ?

  Trois niveaux de risque cumulables : (1) Sanctions administratives jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, imposées directement par la CAI. (2) Sanctions pénales jusqu'à 25 M$ ou 4 % du CA mondial pour les infractions plus graves. (3) Recours civils privés (art. 93.1) depuis sept. 2023 : toute personne lésée peut désormais poursuivre directement votre organisation, avec dommages punitifs d'au moins 1 000 $. Pour une PME québécoise, un incident peut représenter plusieurs centaines de milliers de dollars ; une réponse préparée à un incident protège votre organisation de ces coûts.

• Comment la Loi 25 s'applique-t-elle à Copilot et aux outils IA ?

  L'article 12.1 oblige toute organisation utilisant un système de décision exclusivement automatisé à en informer la personne concernée. Microsoft 365 Copilot et les agents IA tombent sous cette obligation dès qu'ils influencent une décision sur un employé, un client ou un fournisseur. De plus, le déploiement Copilot révèle souvent des situations de sur-partage SharePoint/Teams qui constituent en eux-mêmes des violations potentielles de la Loi 25. C'est pourquoi nous combinons toujours un audit oversharing avec le déploiement Copilot.

• Quelle différence entre la Loi 25 (Québec), la LPRPDE (Canada) et le RGPD (Europe) ?

  La Loi 25 du Québec est en vigueur depuis 2022-2024 (par phases). Au fédéral, la LPRPDE reste la loi applicable au secteur privé : le projet de loi C-27 (LPVPC) est mort au Feuilleton à la prorogation du Parlement en janvier 2025. Le RGPD européen s'applique si vous traitez des données de résidents européens. La Loi 25 est inspirée du RGPD mais plus stricte sur la résidence des données et les transferts hors-Québec. Pour une organisation québécoise multinationale, nous documentons une conformité unifiée qui satisfait les 3 régimes.

• Combien de temps pour se mettre en conformité ?

  Pour une PME : 4 à 8 semaines avec notre méthodologie. Pour un cabinet professionnel : 6 à 10 semaines. Pour un organisme public ou un CIUSSS : 12 à 20 semaines selon la complexité et le nombre de systèmes. Nous livrons systématiquement : registre des traitements, politique de confidentialité, EFVP-types, procédures internes, formation du RPRP et des équipes, et plan d'audit annuel.