Conformité Loi 25 pour Cabinets Comptables et d'Avocats : Guide IT Complet 2026

Qu'exige réellement la Loi 25 pour un cabinet comptable ou un cabinet d'avocats au Québec ? Elle exige la désignation d'un responsable de la protection des renseignements personnels, une politique de confidentialité publiée et à jour, un registre des incidents de confidentialité conservé au minimum cinq ans, la notification rapide de la Commission d'accès à l'information (CAI) et des clients touchés en cas de brèche présentant un risque de préjudice sérieux, ainsi que des mesures de sécurité proportionnelles à la sensibilité des dossiers détenus — ce qui, pour un cabinet professionnel, signifie généralement le chiffrement, le contrôle d'accès strict et la journalisation des dossiers clients.

Ce guide s'adresse directement aux propriétaires et associés de cabinets comptables et de cabinets d'avocats québécois — des organisations qui, contrairement à une PME de vente au détail ou de restauration, manipulent au quotidien des renseignements personnels d'une sensibilité exceptionnelle : déclarations fiscales complètes, états financiers, numéros d'assurance sociale, dossiers de litige, testaments, dossiers matrimoniaux, transactions immobilières et communications protégées par le secret professionnel. Nos techniciens certifiés accompagnent régulièrement des cabinets de cette nature dans le cadre de nos mandats de cybersécurité en entreprise et d'audit de sécurité informatique à Montréal, et ce guide reprend la structure exacte que nous utilisons lors de ces mandats.

Pourquoi les cabinets professionnels sont une cible prioritaire de la Loi 25

Un cabinet comptable de huit personnes ne se perçoit généralement pas comme une cible probable pour un cybercriminel ou comme un dossier prioritaire pour la Commission d'accès à l'information. C'est pourtant l'inverse qui se vérifie dans les faits. Les cabinets professionnels concentrent, dans un espace numérique souvent modeste, une densité de renseignements personnels sensibles largement supérieure à celle d'une entreprise de taille comparable dans un autre secteur : chaque dossier client contient potentiellement des numéros d'assurance sociale, des relevés bancaires complets, des informations sur des successions, des litiges en cours ou des transactions d'entreprise confidentielles.

Cette concentration change la donne de deux façons concrètes. D'abord, elle fait des cabinets professionnels une cible de choix pour les groupes de rançongiciel (ransomware), qui savent qu'un cabinet incapable d'accéder à ses dossiers clients pendant la période des impôts ou avant une échéance légale a une motivation financière énorme à payer rapidement une rançon. Ensuite, elle amplifie considérablement le préjudice potentiel d'une brèche aux yeux de la CAI : la fuite de quelques adresses courriel n'a pas le même poids qu'une fuite de dossiers fiscaux complets ou de dossiers de litige protégés par le secret professionnel.

Malgré ce profil de risque élevé, la réalité observée sur le terrain par nos techniciens reste constante d'un mandat à l'autre : la majorité des cabinets de moins de 20 employés n'ont ni responsable désigné formellement, ni registre d'incidents, ni chiffrement systématique des dossiers clients, ni politique de gestion des courriels sensibles. Ce n'est généralement pas de la négligence délibérée, mais plutôt le résultat d'un manque de temps et de ressources dédiées à la conformité — exactement le vide que ce guide cherche à combler avec des étapes concrètes plutôt que du jargon juridique.

Ce que la Loi 25 exige réellement en 2026

La Loi 25 (anciennement le projet de loi 64) est entrée en vigueur par phases successives depuis septembre 2022, et l'ensemble de ses obligations sont désormais pleinement applicables en 2026. Il n'existe plus de disposition « à venir » : chaque cabinet, peu importe sa taille, doit dès maintenant être en mesure de démontrer sa conformité à l'ensemble des exigences ci-dessous si la CAI en fait la demande.

a) Désignation d'un responsable de la protection des renseignements personnels

Cette obligation est souvent la plus simple à corriger et pourtant la plus fréquemment négligée. La Loi 25 désigne automatiquement, par défaut, la personne exerçant la plus haute autorité au sein de l'organisation — l'associé principal, le président du cabinet, ou le propriétaire unique dans le cas d'un cabinet individuel — comme responsable de la protection des renseignements personnels, à moins qu'une délégation formelle et écrite ne transfère cette responsabilité à quelqu'un d'autre (souvent un associé désigné, un directeur des opérations, ou dans certains cas un fournisseur externe agissant en soutien).

• ☐ Identifiez qui, dans votre cabinet, assumera formellement ce rôle (par défaut : l'associé principal ou le propriétaire)
• ☐ Documentez cette désignation par écrit, même par une simple résolution interne ou une note signée
• ☐ Publiez le titre de cette fonction (pas nécessairement le nom complet) et une adresse de contact valide sur le site web du cabinet, généralement dans la politique de confidentialité
• ☐ Assurez-vous que cette personne connaît ses obligations : recevoir les plaintes, superviser les évaluations de facteurs relatifs à la vie privée, coordonner la réponse à un incident

b) Politique de gouvernance et de confidentialité à jour

Chaque cabinet doit adopter et publier des règles internes de gouvernance des renseignements personnels : quels renseignements sont recueillis, dans quel but, comment ils sont conservés, combien de temps, et selon quel processus ils sont détruits une fois leur utilité terminée. Pour un cabinet comptable, cela signifie documenter clairement la conservation des dossiers fiscaux passés (souvent soumise à des délais légaux distincts de ceux de la Loi 25) et la destruction sécurisée des dossiers obsolètes. Pour un cabinet d'avocats, cela inclut la gestion des dossiers de litige clos et des documents couverts par le secret professionnel.

c) Évaluation des facteurs relatifs à la vie privée (ÉFVP)

L'ÉFVP est une analyse structurée obligatoire avant certains projets impliquant des renseignements personnels. Pour un cabinet professionnel, les déclencheurs les plus courants sont :

• L'adoption d'un nouveau logiciel de gestion de dossiers clients ou de facturation
• Le passage à une nouvelle plateforme infonuagique pour l'entreposage des dossiers
• La mise en place d'un portail client en ligne permettant le téléversement de documents sensibles
• Toute communication de renseignements personnels à l'extérieur du Québec (par exemple, un fournisseur infonuagique dont les serveurs sont situés hors de la province), qui exige en plus une évaluation comparative du niveau de protection légale offert dans la juridiction de destination

d) Consentement renforcé et transparence

Depuis septembre 2023, le consentement d'un client doit être demandé séparément pour chaque fin distincte, formulé dans un langage clair et simple — pas noyé dans des conditions générales de 20 pages — et manifestement distinct de toute autre information transmise au client. Pour les renseignements les plus sensibles, comme un dossier fiscal complet ou un dossier de litige, un consentement explicite est attendu plutôt qu'un consentement implicite déduit du simple fait d'avoir retenu les services du cabinet.

e) Droit à la portabilité des renseignements personnels

Depuis septembre 2024, un client peut exiger que les renseignements personnels informatisés que le cabinet détient à son sujet lui soient communiqués, ou soient transmis directement à un tiers (par exemple, un nouveau cabinet comptable ou un nouvel avocat), dans un format technologique structuré et couramment utilisé. Concrètement, cela signifie que votre cabinet doit être en mesure d'extraire un dossier client de votre logiciel de gestion sous une forme exploitable — un export PDF non structuré d'un simple relevé ne répond généralement pas à cette obligation aussi bien qu'un export structuré (CSV, XML ou équivalent selon le système utilisé).

Obligations de notification en cas de brèche de confidentialité

Pour un cabinet professionnel, cette section est probablement la plus critique du guide, car c'est ici que se joue la différence entre un incident géré correctement et une crise qui s'aggrave d'heure en heure. La Loi 25 utilise le terme « incident de confidentialité », défini largement : accès non autorisé, utilisation non autorisée, communication non autorisée, ou même simplement la perte de renseignements personnels — qu'il s'agisse d'un rançongiciel, d'un courriel envoyé au mauvais destinataire, d'un ordinateur portable volé contenant des dossiers clients non chiffrés, ou d'un employé qui consulte un dossier sans motif professionnel légitime.

Le test du « risque de préjudice sérieux »

Tous les incidents de confidentialité ne déclenchent pas une obligation de notification externe. La loi impose une évaluation, au cas par cas, du risque qu'un préjudice sérieux soit causé aux personnes concernées. Pour cette évaluation, plusieurs facteurs entrent en jeu : la sensibilité des renseignements touchés, le nombre de personnes concernées, l'usage possible malveillant des renseignements et la probabilité qu'ils soient utilisés à des fins préjudiciables. Un dossier fiscal complet incluant un numéro d'assurance sociale, exposé lors d'une brèche dans un cabinet comptable, franchit presque toujours ce seuil de risque sérieux — bien plus facilement qu'une simple liste de noms et d'adresses courriel professionnelles.

Contenu obligatoire de l'avis de notification

L'avis transmis à la Commission d'accès à l'information et aux personnes concernées doit inclure, au minimum :

• Une description des renseignements personnels visés par l'incident
• Une description des circonstances entourant l'incident ou, à défaut de circonstances connues, les raisons pour lesquelles elles ne le sont pas encore
• La date ou la période durant laquelle l'incident s'est produit
• Le nombre de personnes concernées et le nombre de personnes touchées au Québec
• Une description des mesures que le cabinet a prises ou prévoit de prendre pour réduire les risques de préjudice
• Une description des mesures que les personnes concernées peuvent elles-mêmes adopter pour réduire les risques (par exemple, surveiller leur dossier de crédit)
• Les coordonnées d'une personne au sein du cabinet pouvant répondre à des questions sur l'incident

Le registre des incidents de confidentialité

Que le seuil de risque sérieux soit atteint ou non, chaque incident de confidentialité doit être consigné dans un registre interne — y compris les incidents mineurs qui ne déclenchent aucune obligation de notification externe. Ce registre doit être conservé pendant au moins cinq ans et rendu accessible à la CAI sur demande. Pour un cabinet professionnel, ce registre devrait inclure au minimum : la date de détection, la nature de l'incident, les renseignements et le nombre de personnes touchées, l'évaluation du risque de préjudice sérieux (et sa justification), les mesures correctives prises, et si une notification externe a été effectuée.

Les pénalités réelles en cas de non-conformité

Les sanctions prévues par la Loi 25 comptent parmi les plus sévères en Amérique du Nord, et elles sont conçues pour s'appliquer à des organisations de toutes tailles, pas seulement aux grandes entreprises. Deux régimes distincts de sanctions coexistent :

Type de sanction	Autorité	Montant maximal
Sanction administrative pécuniaire (SAP)	Commission d'accès à l'information (CAI)	10 millions $ ou 2 % des revenus mondiaux de l'exercice précédent, selon le plus élevé
Poursuite pénale — personne morale (le cabinet)	Tribunaux (poursuite intentée par le DPCP ou la CAI)	25 millions $ ou 4 % des revenus mondiaux, selon le plus élevé
Poursuite pénale — personne physique (associé, dirigeant)	Tribunaux	Amendes distinctes pouvant viser personnellement les décideurs, en plus des sanctions visant le cabinet

Dans les faits, la très grande majorité des dossiers ouverts par la CAI touchant des PME et des cabinets professionnels ne se soldent pas par les montants maximaux, qui visent d'abord à dissuader les manquements les plus graves et délibérés chez de grandes organisations. La CAI privilégie généralement, dans un premier temps, des ordonnances de mise en conformité et des mesures correctives. Cela dit, deux éléments méritent une attention particulière pour un cabinet professionnel :

• Les poursuites pénales peuvent viser les associés personnellement, pas uniquement l'entité du cabinet, ce qui distingue la Loi 25 de plusieurs autres régimes réglementaires où seule la société répond de ses manquements.
• Une brèche mal gérée déclenche souvent des conséquences parallèles à la sanction elle-même : plainte à l'ordre professionnel, poursuite civile de clients lésés, perte de couverture d'assurance responsabilité si les mesures de sécurité de base n'étaient pas en place, et dommage réputationnel difficile à quantifier mais bien réel dans un secteur où la confiance est le principal actif du cabinet.

Exigences techniques concrètes pour cabinets comptables et cabinets d'avocats

C'est ici que la conformité légale rencontre l'implémentation informatique réelle. Voici les cinq piliers techniques que nos techniciens mettent systématiquement en place lors d'un mandat de mise en conformité Loi 25 pour un cabinet professionnel.

1. Chiffrement des dossiers clients

Le chiffrement doit couvrir deux états distincts des données : au repos (les dossiers stockés sur un serveur, un poste de travail ou un service infonuagique) et en transit (les dossiers en cours de transmission, par exemple par courriel ou via un portail client). Pour un cabinet comptable ou un cabinet d'avocats, cela signifie généralement :

• Chiffrement complet du disque sur tous les ordinateurs portables et postes de travail contenant des dossiers clients (BitLocker sur Windows, FileVault sur Mac)
• Chiffrement au niveau du serveur de fichiers ou de la plateforme infonuagique hébergeant les dossiers (la plupart des solutions professionnelles reconnues l'offrent par défaut, mais elle doit être vérifiée, pas présumée)
• Chiffrement des sauvegardes, y compris les copies hors site
• Chiffrement de bout en bout ou protection par mot de passe pour tout document sensible transmis par courriel à un client ou à un tiers

2. Contrôle d'accès selon le principe du besoin de savoir

Un cabinet de 10 employés où chaque membre du personnel a un accès complet à tous les dossiers clients, sans distinction de rôle, représente un risque disproportionné : une seule compromission de compte expose alors l'ensemble du portefeuille de clients plutôt qu'un sous-ensemble limité. Le contrôle d'accès efficace repose sur :

• Des permissions d'accès définies par rôle (associé, comptable senior, technicien junior, adjoint administratif) plutôt qu'un accès uniforme
• L'authentification multifacteur (MFA) obligatoire sur tous les comptes ayant accès à des dossiers clients, sans exception pour les comptes des associés
• Une révision périodique des accès, particulièrement lors du départ d'un employé — un accès qui n'est pas révoqué le jour même du départ demeure une porte ouverte
• La désactivation immédiate des comptes de stagiaires ou d'employés temporaires dès la fin de leur mandat

3. Journalisation des accès (audit trail)

La capacité de répondre précisément à la question « qui a consulté ce dossier, et quand » est déterminante à deux moments critiques : lors de la détection d'un incident, pour en circonscrire rapidement l'ampleur, et lors d'une enquête de la CAI, pour démontrer la diligence du cabinet. Une journalisation adéquate enregistre minimalement les accès aux dossiers sensibles, les tentatives de connexion échouées, les modifications de permissions et les exports ou téléchargements massifs de données — ce dernier point étant souvent le signal le plus révélateur d'une fuite de données en cours, qu'elle soit malveillante ou accidentelle.

4. Gestion sécurisée des courriels contenant des renseignements sensibles

Le courriel demeure, dans la pratique observée par nos techniciens, le point de fuite le plus fréquent de renseignements personnels dans les cabinets professionnels — bien plus souvent que les cyberattaques sophistiquées. Un dossier fiscal envoyé au mauvais destinataire à cause d'une saisie automatique de l'adresse, ou un document juridique transmis sans protection à un client via une messagerie personnelle non sécurisée, constitue un incident de confidentialité au sens de la loi, même en l'absence de toute malveillance.

• ☐ Utilisez un outil de prévention de perte de données (DLP) qui détecte et bloque l'envoi accidentel de numéros d'assurance sociale ou de renseignements financiers non protégés
• ☐ Exigez la protection par mot de passe ou le chiffrement pour tout document sensible transmis par courriel, avec transmission du mot de passe par un canal distinct
• ☐ Privilégiez un portail client sécurisé plutôt que le courriel pour l'échange de documents volumineux ou hautement sensibles
• ☐ Interdisez formellement l'utilisation de comptes courriel personnels pour tout échange de dossiers clients
• ☐ Activez une confirmation de destinataire (double vérification) avant l'envoi de courriels contenant des pièces jointes à des adresses externes nouvelles ou peu fréquentes

5. Sauvegardes sécurisées et résilience

Au-delà de la confidentialité, la Loi 25 exige des mesures de sécurité qui incluent la protection contre la perte accidentelle des renseignements — un rançongiciel qui chiffre l'ensemble des dossiers clients d'un cabinet sans sauvegarde fonctionnelle constitue à la fois un désastre opérationnel et, potentiellement, un manquement à la loi. La norme minimale recommandée par nos techniciens reste la règle 3-2-1 : au moins trois copies des données, sur deux types de support différents, dont une copie hors site. Pour un cabinet professionnel en 2026, il faut ajouter deux éléments essentiels face à la menace actuelle des rançongiciels :

• Sauvegardes immuables : au moins une copie ne peut être modifiée ni supprimée pendant une période définie, même par un compte administrateur compromis
• Tests de restauration réguliers : une sauvegarde qui n'a jamais été testée n'offre aucune garantie réelle — plusieurs cabinets découvrent, au pire moment possible, qu'une sauvegarde était corrompue ou incomplète

Cartographie des données (data mapping) : méthode pratique étape par étape

Impossible de protéger correctement ce qu'on n'a pas identifié. La cartographie des données est l'exercice fondateur de toute démarche de conformité Loi 25 sérieuse : elle consiste à répertorier précisément quels renseignements personnels le cabinet détient, où ils se trouvent, qui y a accès et pendant combien de temps ils sont conservés. Voici la méthode que nos techniciens appliquent lors d'un mandat d'audit pour un cabinet comptable ou un cabinet d'avocats.

Tableau comparatif : ce qui est obligatoire vs ce qui est optionnel

Face à la quantité de recommandations disponibles en matière de cybersécurité, il est utile de distinguer clairement ce que la Loi 25 exige formellement de ce qui relève d'une bonne pratique fortement recommandée, mais non explicitement obligatoire. Ce tableau aide à prioriser vos efforts, particulièrement pour un cabinet avec des ressources limitées.

Mesure	Statut	Pourquoi
Désignation d'un responsable de la protection des renseignements personnels	Obligatoire	Exigence explicite de la loi, applicable automatiquement par défaut
Registre des incidents de confidentialité	Obligatoire	Doit être conservé 5 ans et accessible à la CAI sur demande
Politique de confidentialité publiée et à jour	Obligatoire	Doit refléter les fins réelles de collecte et d'usage des données
Notification de brèche en cas de risque de préjudice sérieux	Obligatoire	Déclenchée automatiquement selon le test de risque prévu par la loi
ÉFVP avant certains projets impliquant des données personnelles	Obligatoire (selon le projet)	Requise notamment avant un nouveau système ou une communication hors Québec
Mesures de sécurité proportionnelles à la sensibilité des données	Obligatoire (principe général)	La loi n'impose pas une technologie précise, mais un résultat de protection adéquat
Chiffrement systématique des dossiers clients	Fortement recommandé	Constitue en pratique la mesure attendue pour respecter l'obligation générale de sécurité
Authentification à deux facteurs sur tous les comptes	Fortement recommandé	Réduit drastiquement le risque de compromission de compte, base attendue par les assureurs
Journalisation complète des accès aux dossiers	Fortement recommandé	Facilite la démonstration de diligence et la circonscription rapide d'un incident
Sauvegardes immuables contre les rançongiciels	Recommandé	Bonne pratique de résilience, non explicitement nommée par la loi
Simulations de phishing pour le personnel	Optionnel	Utile pour réduire le risque humain, non exigé formellement par la Loi 25
Certification externe (ISO 27001, SOC 2)	Optionnel	Peut renforcer la confiance des clients, mais n'est pas une exigence de la loi

Checklist téléchargeable — Conformité Loi 25 pour cabinets professionnels

Voici la checklist récapitulative complète, conçue pour être imprimée ou partagée en réunion d'associés afin d'évaluer où en est votre cabinet aujourd'hui.

Études de cas : trois cabinets québécois face à la Loi 25

Les scénarios suivants sont fictifs mais construits à partir de situations typiques observées par nos techniciens lors de mandats similaires auprès de cabinets professionnels québécois. Ils illustrent des trajectoires réalistes, tant les erreurs fréquentes que les corrections efficaces.

Cas 1 — Cabinet comptable de 8 employés à Sherbrooke

Un cabinet comptable établi depuis quinze ans à Sherbrooke, avec deux associés et six employés, gérait ses dossiers clients sur un serveur de fichiers interne vieillissant, sans chiffrement au repos, avec un mot de passe partagé pour l'accès administrateur utilisé par l'ensemble du personnel depuis des années. Lors d'un audit de conformité demandé après qu'un client eut posé des questions précises sur la protection de ses renseignements fiscaux, nos techniciens ont identifié trois lacunes majeures : absence totale de responsable désigné formellement, absence de chiffrement sur les postes de travail portables des deux associés (qui transportaient régulièrement des dossiers clients à l'extérieur du bureau), et absence de toute authentification à deux facteurs sur la messagerie professionnelle.

La mise en conformité s'est déroulée sur environ six semaines : désignation formelle de l'un des associés comme responsable, migration des dossiers vers une plateforme infonuagique chiffrée avec contrôle d'accès par rôle, activation du 2FA sur l'ensemble des comptes Microsoft 365, et mise en place d'un registre des incidents. Le coût total de l'intervention, incluant l'audit initial et la mise en œuvre technique, est resté dans une fourchette de quelques milliers de dollars — un investissement que les deux associés ont jugé largement justifié une fois qu'ils ont réalisé l'ampleur réelle de leur exposition avant l'intervention.

Cas 2 — Cabinet d'avocats de 15 employés à Montréal

Un cabinet d'avocats montréalais spécialisé en droit des affaires et en litige commercial, comptant quatre avocats associés, six avocats juniors et cinq membres du personnel de soutien, avait déjà investi dans des mesures de sécurité de base — pare-feu, antivirus géré, sauvegardes infonuagiques — mais n'avait jamais formalisé sa gouvernance Loi 25 ni réalisé de cartographie des données. Le déclencheur de leur démarche a été un incident mineur mais révélateur : un adjoint juridique avait transmis par erreur un document de litige confidentiel à une adresse courriel externe presque identique à celle du destinataire prévu, une simple faute de frappe dans l'adresse.

L'incident, bien que rapidement contenu (le document a pu être rappelé avant consultation, selon toute vraisemblance), a servi de signal d'alarme pour la direction du cabinet. L'audit qui a suivi a mené à la mise en place d'un outil de prévention de perte de données bloquant l'envoi de numéros d'assurance sociale non protégés, d'une confirmation obligatoire de destinataire pour les courriels externes, d'une journalisation complète des accès au système de gestion de dossiers, et d'une procédure écrite de réponse aux incidents avec des rôles clairement assignés parmi les associés. Le cabinet a également profité de cette démarche pour réaliser sa première ÉFVP formelle, dans le cadre de l'évaluation d'un nouveau portail client sécurisé alors en cours de déploiement.

Cas 3 — Cabinet comptable individuel à Trois-Rivières

Un comptable exerçant seul, avec l'aide d'une adjointe administrative à temps partiel, servait principalement une clientèle de travailleurs autonomes et de très petites entreprises locales. Convaincu que la Loi 25 « ne visait que les grandes entreprises », il n'avait mis en place aucune mesure formelle de conformité. Une conversation avec son assureur professionnel, qui lui a signalé que sa police de responsabilité pourrait ne pas couvrir un incident de sécurité en l'absence de mesures de protection de base, a été l'élément déclencheur de sa démarche.

Pour un cabinet de cette taille, l'approche a été délibérément simplifiée : migration vers un logiciel comptable infonuagique reconnu offrant nativement le chiffrement et l'authentification à deux facteurs, adoption d'un gestionnaire de mots de passe professionnel, rédaction d'une politique de confidentialité d'une seule page adaptée à la réalité d'un cabinet individuel, et mise en place d'un registre d'incidents simple sous forme de feuille de calcul protégée. L'intervention complète, réalisée à distance, est demeurée sous les mille dollars — la preuve qu'une conformité de base reste accessible même pour un praticien seul, sans nécessiter l'infrastructure d'un grand cabinet.

Budget et prix au Québec : combien coûte une mise en conformité IT

Le coût d'une démarche de conformité Loi 25 varie considérablement selon la taille du cabinet, l'état actuel de son infrastructure et la profondeur de l'intervention souhaitée. Voici les fourchettes généralement observées par nos techniciens pour des cabinets comptables et des cabinets d'avocats québécois, à titre indicatif.

Intervention	Fourchette de prix typique	Fréquence
Audit initial de conformité Loi 25	119,99 $ à quelques centaines de dollars, selon la profondeur	Ponctuel
Cartographie complète des données	500 $ à 2 000 $ selon la complexité et le nombre de systèmes	Ponctuel, révision annuelle
Migration vers un stockage chiffré et contrôle d'accès par rôle	1 000 $ à 5 000 $ selon le volume de données et le nombre d'employés	Ponctuel
Déploiement de l'authentification à deux facteurs sur l'ensemble des comptes	Souvent inclus dans un forfait de gestion informatique	Ponctuel + supervision continue
Outil de prévention de perte de données (DLP) pour courriels	Quelques dizaines de dollars par utilisateur, par mois	Récurrent (mensuel)
Gestion informatique gérée incluant surveillance, sauvegardes et support	Forfait mensuel variable selon le nombre de postes et le niveau de service	Récurrent (mensuel)
Rédaction de la politique de confidentialité et des procédures internes	Quelques centaines à plus de 1 000 $ selon la complexité du cabinet	Ponctuel, révision périodique

Pour mettre ces montants en perspective : le coût total d'une mise en conformité complète pour un petit cabinet reste, dans la vaste majorité des cas observés, inférieur à celui d'une seule journée d'interruption d'activité causée par un rançongiciel non contenu, sans parler du risque d'une sanction de la CAI ou d'une plainte déontologique. Plusieurs cabinets choisissent d'étaler ces investissements sur plusieurs mois plutôt que d'attendre un budget unique important — une approche parfaitement viable tant que les mesures les plus critiques (chiffrement, 2FA, responsable désigné) sont priorisées en premier.

Ressources gouvernementales et organismes utiles

Au-delà de l'accompagnement d'un fournisseur TI, plusieurs organismes offrent de la documentation officielle et, dans certains cas, du soutien financier pertinent pour la mise en conformité de votre cabinet.

• Commission d'accès à l'information du Québec (CAI) — L'autorité responsable de l'application de la Loi 25, qui publie des guides pratiques sur la désignation du responsable, la réalisation d'une ÉFVP et la gestion des incidents de confidentialité. Consultez cai.gouv.qc.ca pour les formulaires de notification d'incident et la documentation officielle à jour.
• Banque de développement du Canada (BDC) — Propose du financement et des services-conseils pouvant couvrir des investissements technologiques liés à la cybersécurité et à la conformité, particulièrement pertinents pour les PME et cabinets professionnels en croissance. Voir bdc.ca.
• Investissement Québec — Offre différents programmes d'accompagnement et de financement pour la transformation numérique des entreprises québécoises, dont certains volets peuvent appuyer la modernisation de l'infrastructure informatique d'un cabinet. Voir investquebec.com.
• Votre ordre professionnel — L'Ordre des CPA du Québec, le Barreau du Québec et la Chambre des notaires du Québec publient chacun des lignes directrices spécifiques sur la protection des renseignements confidentiels qui se superposent aux exigences de la Loi 25 et qu'il convient de consulter en parallèle.

Erreurs courantes des cabinets professionnels face à la Loi 25

Après avoir accompagné plusieurs cabinets comptables et cabinets d'avocats dans leur démarche de conformité, voici les erreurs les plus fréquemment observées par nos techniciens — et qui expliquent souvent pourquoi une bonne intention initiale ne se traduit jamais en conformité réelle.

Croire que la taille du cabinet offre une protection

« Nous sommes trop petits pour intéresser la CAI » est probablement la phrase la plus coûteuse qu'un associé puisse se répéter. La Loi 25 ne prévoit aucune exemption fondée sur la taille de l'entreprise, et un incident déclenché par une plainte d'un seul client mécontent peut toucher un cabinet de cinq employés aussi facilement qu'une multinationale.

Confondre « utiliser un logiciel reconnu » et « être conforme »

Adopter un logiciel comptable ou juridique infonuagique réputé réduit certains risques techniques, mais ne remplace jamais la gouvernance interne : désignation d'un responsable, politique de confidentialité, registre des incidents et configuration correcte des permissions d'accès demeurent la responsabilité du cabinet, peu importe la qualité de l'outil utilisé.

Traiter la conformité comme un projet ponctuel plutôt qu'un processus continu

Une cartographie des données réalisée une seule fois, jamais mise à jour malgré l'ajout de nouveaux logiciels ou fournisseurs, perd rapidement sa valeur. La conformité Loi 25 exige une révision périodique — idéalement annuelle — pas un exercice ponctuel classé dans un tiroir après l'audit initial.

Négliger la formation du personnel de soutien

Les mesures techniques les plus sophistiquées restent vulnérables si le personnel administratif, souvent le premier point de contact avec les documents clients, n'est pas formé à reconnaître un courriel suspect ou à vérifier un destinataire avant l'envoi d'un document sensible. Notre guide sur la formation cybersécurité pour employés détaille une checklist complète applicable directement au personnel d'un cabinet professionnel.

Questions fréquentes — Loi 25 pour cabinets comptables et cabinets d'avocats