Trois ans après le début de son entrée en vigueur, la Loi 25 est aujourd'hui appliquée dans son intégralité au Québec. Les trois phases prévues par le législateur — le 22 septembre 2022, le 22 septembre 2023 et le 22 septembre 2024 — sont désormais toutes derrière nous. Il n'existe plus, à l'heure actuelle, de nouvelle échéance légale à venir inscrite dans le calendrier officiel de la loi. Et pourtant, l'expérience de terrain de nos techniciens auprès des PME québécoises montre qu'un nombre important d'entreprises traitent encore la Loi 25 comme un projet ponctuel réalisé une fois en 2022 ou 2023, plutôt que comme l'obligation continue qu'elle est réellement devenue.
Ce guide dresse un bilan honnête des trois années écoulées : ce qui a changé concrètement pour les PME, l'état réel de l'application de la loi par la Commission d'accès à l'information (CAI), et surtout, la feuille de route pratique à suivre pour rester conforme à l'approche de 2027 — une année qui, sans apporter de nouvelle phase légale, marquera un tournant dans la maturité de l'application de la loi. Pour un tour d'horizon complet et à jour de vos obligations générales, consultez notre guide pratique Loi 25 pour PME; pour comprendre en détail l'échelle des sanctions et le processus qui peut mener à une amende, notre article sur les amendes Loi 25 et cas réels reste la référence complémentaire à ce bilan.
Le message central de ce bilan
La Loi 25 n'est plus « en implantation » — elle est en pleine application. Cela change tout : la CAI n'accueille plus les premiers manquements avec la même tolérance qu'en 2022, sa jurisprudence administrative se bâtit dossier après dossier, et les entreprises qui n'ont pas révisé leur conformité depuis leur mise en place initiale accumulent un retard silencieux, invisible jusqu'au jour d'une plainte ou d'un incident.
Rétrospective : les trois phases qui ont façonné la Loi 25
Pour comprendre où nous en sommes en 2026, il faut revenir sur ce qui s'est réellement passé depuis l'adoption de la loi. La Loi 25 (anciennement le projet de loi 64) est entrée en vigueur de façon progressive, par vagues successives, chacune ajoutant une couche d'obligations aux entreprises québécoises.
Phase 1 — 22 septembre 2022 : les fondations de la gouvernance
La première vague a posé les bases structurelles : désignation obligatoire d'un responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité au sein de l'organisation, à moins d'une délégation formelle), tenue d'un registre des incidents de confidentialité, et obligation de notifier la CAI et les personnes concernées en cas d'incident présentant un risque de préjudice sérieux. C'est cette phase qui a forcé la majorité des PME québécoises à nommer, pour la première fois, une personne responsable clairement identifiée.
Phase 2 — 22 septembre 2023 : la vague la plus lourde
La deuxième phase a introduit l'essentiel du poids réglementaire de la loi : un consentement clair, distinct des autres conditions d'utilisation, une politique de confidentialité rédigée en langage simple et accessible, l'obligation de réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant l'acquisition ou la refonte de tout système traitant des renseignements personnels, un droit de désindexation, des règles de transparence pour les décisions fondées exclusivement sur un traitement automatisé, l'obligation d'enregistrer certaines bases de données biométriques auprès de la CAI, et surtout, l'entrée en vigueur du régime complet de sanctions administratives pécuniaires et pénales. C'est cette phase, plus que toute autre, qui a transformé la Loi 25 d'une obligation théorique en un risque financier concret pour les entreprises.
Phase 3 — 22 septembre 2024 : la dernière pièce du puzzle
La troisième et dernière phase a introduit le droit à la portabilité des renseignements personnels, permettant à une personne de demander que ses données soient transférées d'une organisation à une autre dans un format technologique structuré et couramment utilisé. Depuis cette date, l'ensemble des obligations prévues par le texte actuel de la loi est en vigueur — il n'existe plus de phase supplémentaire prévue au calendrier légal.
« Tout est déjà en vigueur » ne veut pas dire « rien ne change »
C'est le piège dans lequel tombent de nombreuses PME : puisque la dernière phase légale remonte à septembre 2024, certaines entreprises concluent que le dossier Loi 25 est clos. Dans les faits, c'est l'inverse qui se produit. Une loi pleinement en vigueur depuis moins de deux ans est une loi dont l'application par le régulateur continue de gagner en rigueur, en précédents et en capacité d'enquête — exactement la dynamique que nous observons depuis 2024.
Le bilan réel de l'application par la CAI depuis trois ans
Contrairement à certaines craintes exprimées en 2022 — celle d'un régulateur qui distribuerait des amendes multimillionnaires dès les premiers manquements — l'application de la Loi 25 a suivi une trajectoire plus graduelle, mais bien réelle. Voici ce que l'on peut affirmer avec un niveau de confiance raisonnable, en s'appuyant sur l'information rendue publique par la CAI elle-même :
- Le volume de signalements est significatif et croissant. La CAI a reçu plusieurs centaines de signalements d'incidents de confidentialité au cours des exercices récents, un indicateur clair que le mécanisme de déclaration obligatoire, introduit dès 2022, est aujourd'hui utilisé de façon régulière par les organisations québécoises.
- Les décisions de la CAI sont publiques. Lorsqu'elle rend une décision formelle — qu'elle comprenne une ordonnance, une sanction administrative pécuniaire, ou les deux — cette décision devient publique, avec l'impact réputationnel que cela suppose pour l'organisation visée, en plus de tout montant financier imposé.
- Une avenue de règlement existe. La loi permet à une organisation passible d'une sanction administrative pécuniaire de conclure une entente avec la CAI précisant les mesures correctives qu'elle s'engage à mettre en œuvre — une option qui récompense une fois de plus la collaboration rapide plutôt que la confrontation.
- Le recours civil demeure disponible. Indépendamment de toute intervention de la CAI, une personne dont la vie privée a été violée conserve le droit d'intenter une poursuite civile, y compris une action collective, ce qui ajoute une couche de risque distincte du processus réglementaire.
- La fenêtre de prescription pénale s'étend sur cinq ans. La CAI dispose d'un délai de cinq ans suivant la commission d'une infraction pour entamer une poursuite pénale — ce qui signifie que des manquements survenus dès 2022 ou 2023 demeurent potentiellement exposés à une poursuite jusqu'en 2027 ou 2028.
Pour les chiffres et les décisions les plus à jour, la seule source fiable demeure le site officiel de la CAI, www.cai.gouv.qc.ca, qui publie ses rapports annuels d'activités ainsi que certaines décisions et avis d'intérêt public. Notre guide sur les amendes Loi 25 : cas réels et montants détaille séparément l'échelle complète des sanctions et le processus précis qui mène à une pénalité — un complément utile à consulter en parallèle de ce bilan.
Votre conformité Loi 25 date-t-elle de 2022 ou 2023 ?
Nos techniciens certifiés IT Cares réalisent un bilan de conformité actualisé — registre d'incidents, politique de confidentialité, mesures de sécurité — pour vous montrer précisément où votre PME se situe avant 2027.
Ce qui a vraiment changé pour les PME québécoises depuis 2023
Au-delà du texte de loi, nos techniciens observent des changements de comportement bien réels chez les PME québécoises depuis l'entrée en vigueur complète de la loi :
Les formulaires de consentement se sont professionnalisés
En 2022, il était encore courant de voir des cases précochées ou des consentements noyés dans des conditions d'utilisation de dix pages. En 2026, la majorité des PME que nous accompagnons présentent des demandes de consentement distinctes, spécifiques et rédigées en langage clair — un changement culturel autant que légal.
L'EFVP est passée de l'exception à la routine, mais reste inégale
Les entreprises les plus avancées intègrent désormais une évaluation des facteurs relatifs à la vie privée dans leur processus standard d'adoption de tout nouvel outil technologique, incluant les outils d'intelligence artificielle. D'autres, en revanche, continuent de traiter l'EFVP comme une formalité ponctuelle réalisée une seule fois en 2023, sans jamais la reproduire pour les systèmes adoptés depuis.
Les incidents sont mieux détectés qu'avant, pas nécessairement mieux gérés
La sensibilisation accrue des employés a permis de détecter davantage d'incidents mineurs qu'auparavant — un signe positif de maturité organisationnelle. Cependant, plusieurs PME manquent encore de processus clair pour évaluer rapidement si un incident présente un « risque de préjudice sérieux » exigeant une notification, ce qui demeure la source la plus fréquente de délais problématiques.
Tableau comparatif : obligations en vigueur vs enjeux à surveiller pour 2027
Le tableau suivant distingue les obligations déjà pleinement applicables aujourd'hui des tendances et enjeux émergents qu'une PME devrait activement surveiller à l'approche de 2027 — non pas parce qu'une nouvelle échéance légale est prévue, mais parce que le contexte d'application évolue rapidement.
| Obligation ou enjeu | Statut en vigueur (2026) | Ce qu'il faut surveiller pour 2027 |
|---|---|---|
| Responsable de la protection des renseignements personnels | Obligatoire depuis sept. 2022 | Rôle de plus en plus examiné par la CAI durant les enquêtes; formation continue attendue, pas seulement nomination initiale |
| Registre des incidents de confidentialité | Obligatoire depuis sept. 2022 | La CAI vérifie de plus en plus l'exhaustivité et la qualité du registre, pas seulement son existence formelle |
| Consentement clair et distinct | Obligatoire depuis sept. 2023 | Bannières génériques et cases précochées de moins en moins tolérées lors des enquêtes |
| EFVP avant nouveaux projets ou outils | Obligatoire depuis sept. 2023 | Obligation continue à chaque nouveau projet ou outil (y compris l'IA), pas une case cochée une seule fois |
| Politique de confidentialité en langage clair | Obligatoire depuis sept. 2023 | Attente d'une mise à jour à chaque changement réel de pratique, pas seulement une révision annuelle symbolique |
| Droit à la portabilité des données | Obligatoire depuis sept. 2024 | Demandes plus fréquentes à mesure que les consommateurs connaissent mieux leurs droits |
| Sanctions administratives pécuniaires et pénales | En vigueur depuis sept. 2023 | Jurisprudence administrative en construction; montants et fréquence des sanctions appelés à évoluer avec la maturité de la CAI |
| Harmonisation avec les lois fédérales sur la vie privée | Non requise directement pour les entreprises purement québécoises | Pression additionnelle pour les entreprises multiprovinciales à mesure que la réforme fédérale du régime de protection des renseignements personnels évolue |
| Systèmes décisionnels automatisés et intelligence artificielle | Obligations de transparence déjà en vigueur pour les décisions entièrement automatisées | Encadrement appelé à se préciser à mesure que l'adoption de l'IA par les PME s'accélère |
Trois PME québécoises, trois trajectoires depuis 2022
Les scénarios suivants sont des études de cas fictives et anonymisées, construites à des fins pédagogiques pour illustrer trois trajectoires typiques observées par nos techniciens depuis l'entrée en vigueur de la loi. Elles ne représentent aucune entreprise réelle et ne remplacent jamais la consultation des décisions officielles publiées par la CAI sur www.cai.gouv.qc.ca.
Exemple illustratif — Sherbrooke : la conformité comme processus vivant
Une entreprise de services professionnels d'une trentaine d'employés, établie à Sherbrooke, a mis en place l'essentiel de sa conformité Loi 25 dès 2022 : responsable désigné, registre d'incidents, politique de confidentialité révisée. Dans ce scénario illustratif, plutôt que de considérer ce travail comme terminé, l'entreprise a intégré une révision annuelle systématique à son calendrier de gouvernance, incluant une nouvelle EFVP chaque fois qu'un outil d'intelligence artificielle est envisagé pour le service à la clientèle. En 2026, lorsqu'un client dépose une plainte mineure concernant la conservation de ses données, l'entreprise peut démontrer une trace documentée continue depuis 2022 — un facteur qui, selon les critères publics de la CAI, pèse fortement en faveur d'une résolution sans sanction financière.
Exemple illustratif — Trois-Rivières : le rattrapage tardif d'une conformité gelée en 2023
Un commerce de détail d'une quinzaine d'employés, situé à Trois-Rivières, avait complété l'essentiel de ses obligations Loi 25 en 2023, au moment de la vague la plus exigeante, puis n'y avait plus touché depuis. Dans ce scénario illustratif, l'entreprise a depuis adopté un nouveau système de fidélisation client basé sur un outil infonuagique tiers, sans jamais réaliser d'EFVP pour ce nouveau système ni mettre à jour sa politique de confidentialité en conséquence. Une fuite de données touchant ce nouveau système en 2026 révèle cet écart de gouvernance à la CAI, qui traite le dossier avec plus de sévérité qu'un manquement isolé, compte tenu de l'absence de mise à jour malgré un changement clair de pratique depuis la conformité initiale.
Exemple illustratif — Gatineau : une PME multiprovinciale qui prépare l'harmonisation
Une entreprise technologique d'une vingtaine d'employés, basée à Gatineau, sert une clientèle en Ontario et au Québec. Dans ce scénario illustratif, l'entreprise a mis en place, dès le départ, un cadre de conformité calibré sur les exigences les plus strictes applicables à l'ensemble de ses clients — celles de la Loi 25 — plutôt que de gérer deux régimes distincts. Cette approche proactive lui permet d'absorber sans heurt les évolutions futures des lois fédérales sur la protection des renseignements personnels, sans devoir reconstruire son cadre de gouvernance chaque fois que la réglementation évolue dans une province.
Ce que ces trois trajectoires ont en commun
Ce n'est pas la conformité initiale de 2022 ou 2023 qui distingue ces trois entreprises en 2026 — c'est la fréquence et la rigueur avec lesquelles chacune a maintenu cette conformité à jour face à l'évolution réelle de ses pratiques et de ses outils. C'est précisément l'écart que ce bilan cherche à combler.
La feuille de route : ce qu'une PME doit encore faire avant 2027
Réaliser un bilan de conformité actualisé, pas un simple rappel du travail de 2022-2023
Un audit de vos pratiques actuelles — pas de vos pratiques documentées il y a trois ans — permet d'identifier les écarts accumulés depuis la mise en place initiale, notamment tout nouvel outil, fournisseur ou système d'IA adopté depuis.
Revoir chaque EFVP à la lumière des outils réellement utilisés aujourd'hui
Si votre entreprise a adopté un nouveau système de gestion de la relation client, un outil d'IA ou une nouvelle plateforme infonuagique depuis 2023, une nouvelle évaluation des facteurs relatifs à la vie privée est requise — pas une simple mise à jour cosmétique de l'ancienne.
Documenter, documenter, documenter
Les trois études de cas ci-dessus le démontrent : la documentation continue de vos efforts de conformité constitue votre meilleure protection en cas d'enquête. Une entreprise qui peut prouver une trace ininterrompue depuis 2022 est traitée très différemment d'une entreprise qui doit reconstruire son historique après le fait.
Former à nouveau vos employés, pas seulement les nouveaux arrivants
La formation initiale donnée en 2022 ou 2023 s'estompe avec le temps et ne couvre pas les employés embauchés depuis. Un rappel annuel, même bref, maintient la vigilance nécessaire pour détecter rapidement un incident.
Assurer une veille active sur la jurisprudence de la CAI et la réforme fédérale
À mesure que la CAI publie de nouvelles décisions et que les lois fédérales sur la protection des renseignements personnels évoluent, les attentes concrètes envers les PME se préciseront. Une veille légère mais continue évite les mauvaises surprises.
Checklist mise à jour : votre conformité Loi 25 est-elle encore vivante ?
Checklist à imprimer / partager avec votre équipe de direction
- ☐ Le registre des incidents de confidentialité couvre l'ensemble des années depuis 2022, sans trou ni interruption
- ☐ Chaque nouvel outil ou système adopté depuis votre mise en conformité initiale (y compris l'intelligence artificielle) a fait l'objet d'une EFVP
- ☐ La politique de confidentialité a été révisée au moins une fois depuis sa publication initiale en 2023
- ☐ Le processus de portabilité des données (en vigueur depuis 2024) est documenté, testé et connu de l'équipe
- ☐ Un bilan de conformité Loi 25 est planifié annuellement, pas seulement lors de la mise en place initiale
- ☐ Une veille est assurée sur les décisions publiques de la CAI et sur l'évolution des lois fédérales sur la vie privée
- ☐ La direction comprend la possibilité de conclure une entente avec la CAI en cas de manquement identifié
- ☐ Le responsable de la protection des renseignements personnels reçoit une formation continue, pas seulement une nomination initiale
- ☐ Les employés embauchés après votre formation initiale de 2022-2023 ont reçu leur propre formation Loi 25
Section budget : combien coûte le maintien de la conformité Loi 25 en 2026-2027
Contrairement à la mise en conformité initiale, souvent plus coûteuse parce qu'elle part de zéro, le maintien de la conformité Loi 25 représente généralement un investissement récurrent plus modeste, à condition de ne pas laisser les écarts s'accumuler. Les fourchettes suivantes reflètent des prix de marché indicatifs pour des PME québécoises en 2026, observés auprès de fournisseurs spécialisés en conformité et en sécurité informatique — elles ne constituent pas une grille tarifaire officielle.
| Mesure de maintien de la conformité | Fourchette indicative 2026 (CAD) | Fréquence recommandée |
|---|---|---|
| Bilan de conformité Loi 25 actualisé | 500$ à 2 500$ | Annuel |
| Mise à jour de la politique de confidentialité existante | 300$ à 1 500$ | À chaque changement de pratique, ou annuel |
| Nouvelle EFVP pour un projet ou outil adopté récemment | 400$ à 3 000$ selon la complexité | À chaque nouveau système ou outil d'IA |
| Formation de rappel pour les employés | 200$ à 1 200$ | Annuel, plus à l'embauche |
| Test du processus de notification d'incident et de portabilité | 300$ à 1 500$ | Annuel |
| Veille réglementaire (interne ou déléguée à un partenaire) | Variable selon la formule choisie | Continu |
Ce niveau d'investissement demeure généralement bien inférieur au coût réel d'un manquement découvert tardivement — sans compter les coûts indirects d'un incident, comme la perte de confiance client ou le temps de gestion de crise. C'est la même logique de rapport coût-bénéfice qui rend pertinente la cyberassurance pour PME, souvent complémentaire à une démarche de conformité continue.
Ressources gouvernementales pour maintenir votre conformité
La Commission d'accès à l'information (CAI)
La CAI demeure l'organisme provincial responsable de l'application de la Loi 25. Au-delà de la réception de plaintes et de la conduite d'enquêtes, elle publie régulièrement des guides d'interprétation, des outils pratiques pour les entreprises et certains résumés de décisions sur son site officiel, www.cai.gouv.qc.ca. Consulter ces ressources périodiquement, plutôt qu'une seule fois lors de la mise en conformité initiale, fait partie intégrante d'une veille réglementaire sérieuse.
La Banque de développement du Canada (BDC)
La BDC (www.bdc.ca) offre des prêts et des services-conseils technologiques qui peuvent appuyer des projets de modernisation liés à la cybersécurité et à la protection des renseignements personnels, notamment pour les PME qui doivent revoir leur infrastructure à la lumière de nouveaux outils adoptés depuis leur mise en conformité initiale. Les critères d'admissibilité évoluent — il est recommandé de communiquer directement avec la BDC.
Investissement Québec
Investissement Québec (www.investquebec.com) propose de l'accompagnement et des solutions de financement pour appuyer la transformation numérique des PME québécoises, ce qui peut inclure des projets de modernisation technologique liés indirectement au maintien de la conformité à la Loi 25. Comme pour la BDC, consultez directement leur site pour connaître les options actuellement disponibles.
Ne laissez pas votre conformité Loi 25 de 2022-2023 prendre du retard
IT Cares aide les PME québécoises à réviser leurs pratiques de sécurité et de gestion des renseignements personnels, à combler les écarts accumulés depuis leur mise en conformité initiale, et à documenter leurs mesures de diligence raisonnable en continu. Nos techniciens certifiés interviennent en audit, en cybersécurité et en accompagnement de conformité.
Questions fréquentes — Loi 25, trois ans plus tard
Oui. La Loi 25 est entrée en vigueur en trois phases : la première le 22 septembre 2022 (responsable de la protection des renseignements personnels, registre des incidents, notification obligatoire), la deuxième le 22 septembre 2023 (consentement, politique de confidentialité, évaluations des facteurs relatifs à la vie privée, sanctions), et la troisième le 22 septembre 2024 (droit à la portabilité des données). Depuis septembre 2024, l'ensemble des obligations prévues par la loi s'applique pleinement, sans nouvelle phase d'entrée en vigueur prévue au calendrier.
Il n'existe pas de nouvelle échéance légale figée pour 2027 dans le texte actuel de la loi : toutes les obligations sont déjà applicables depuis septembre 2024. Ce qui évolue plutôt, c'est la posture d'application de la CAI, qui gagne en maturité et en capacité d'enquête, la jurisprudence administrative qui se bâtit décision après décision, et la pression additionnelle liée à la réforme des lois fédérales sur la protection des renseignements personnels pour les entreprises actives dans plusieurs provinces. Une entreprise qui considère sa conformité comme un projet ponctuel terminé en 2024 risque de prendre du retard sur ces évolutions.
La CAI a le pouvoir d'imposer des sanctions administratives pécuniaires depuis septembre 2023 et publie certaines de ses décisions sur son site officiel. Son activité d'enquête est bien réelle : des centaines de signalements d'incidents de confidentialité lui sont soumis chaque année. Pour connaître l'état actuel des décisions publiées et des sanctions réellement imposées, la seule source fiable demeure le site officiel de la CAI, www.cai.gouv.qc.ca, plutôt que des estimations génériques.
La Loi 25 prévoit la possibilité, pour une organisation passible d'une sanction administrative pécuniaire, de conclure une entente avec la CAI précisant les mesures qu'elle s'engage à prendre pour remédier à l'infraction ou en atténuer les conséquences. Cette avenue existe en complément du processus habituel d'avis et de correction, et démontre encore une fois que la collaboration et la rapidité de réaction demeurent les facteurs les plus déterminants dans l'issue d'un dossier.
Notre guide sur les amendes Loi 25 (amendes-loi-25-cas-reels-montants.html) se concentre spécifiquement sur l'échelle des sanctions, le processus d'application et des scénarios illustrant comment une sanction peut être évitée ou imposée. Cet article-ci adopte une perspective différente et prospective : il dresse un bilan des trois années écoulées depuis l'entrée en vigueur de la loi et présente une feuille de route concrète pour rester conforme à l'approche de 2027, incluant les enjeux émergents comme l'intelligence artificielle et l'harmonisation avec les lois fédérales.
Pas nécessairement refaire au complet, mais une révision est fortement recommandée. Une politique de confidentialité, un registre d'incidents ou une évaluation des facteurs relatifs à la vie privée réalisés en 2022 peuvent ne plus refléter les pratiques réelles de l'entreprise en 2026, surtout si de nouveaux outils, fournisseurs ou systèmes d'intelligence artificielle ont été adoptés depuis. La conformité à la Loi 25 est un exercice continu, pas un projet qu'on termine une fois pour toutes.
La Loi 25 impose déjà des obligations de transparence pour toute décision fondée exclusivement sur un traitement automatisé de renseignements personnels ayant un impact sur une personne, incluant certains usages de l'intelligence artificielle. À mesure que les PME adoptent des outils d'IA pour le service à la clientèle, le recrutement ou l'analyse de données, ces usages doivent être évalués au cas par cas pour déterminer si une évaluation des facteurs relatifs à la vie privée est requise avant leur déploiement.
La Commission d'accès à l'information (www.cai.gouv.qc.ca) publie des guides d'interprétation et des outils pratiques. La Banque de développement du Canada (www.bdc.ca) et Investissement Québec (www.investquebec.com) offrent des services-conseils et des solutions de financement pouvant appuyer des projets de modernisation technologique liés à la protection des renseignements personnels. Les critères et programmes évoluent régulièrement : il est recommandé de consulter directement ces organismes.
Commentaires (3)
On pensait avoir fini le travail en 2023. Après lecture de cet article, on a réalisé qu'aucune EFVP n'avait été refaite depuis qu'on a changé de logiciel de facturation l'an dernier. Correctif en cours.
Le point sur la documentation continue est celui qui m'a le plus marqué. On a de bonnes pratiques mais rien n'est écrit nulle part. On corrige ça cette semaine.
Utile de voir que même après trois ans, ce n'est pas terminé. On dessert des clients en Ontario et au Québec, ça confirme qu'on doit continuer à surveiller les deux côtés.
Laisser un commentaire