« Sommes-nous concernés par la Loi 25 ? » La question revient constamment, et les idées reçues abondent : trop petit pour être visé, exempté parce qu'OBNL, à l'abri parce que l'entreprise est en Ontario. La plupart de ces idées sont fausses.
Ce guide délimite précisément le champ d'application de la Loi 25 : qui est visé, qui ne l'est pas, et les nuances pour les cas frontières.
La règle générale
La Loi 25 modernise deux lois, et le champ d'application dépend de laquelle vous vise :
- Le secteur privé relève de la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1). Elle s'applique à toute personne qui exploite une entreprise au sens de l'article 1525 du Code civil du Québec et qui collecte, détient, utilise ou communique des renseignements personnels.
- Le secteur public relève de la Loi sur l'accès aux documents des organismes publics (A-2.1) : ministères, municipalités, CIUSSS et CISSS, commissions scolaires et centres de services scolaires, sociétés d'État.
La notion d'« entreprise » du Code civil est large : toute activité économique organisée, qu'elle soit commerciale ou non, lucrative ou non. Concrètement, presque toute organisation qui produit des biens ou des services de façon organisée exploite une entreprise.
Aucun seuil de taille
C'est le point le plus important à retenir : la Loi 25 ne prévoit aucun seuil de taille. Pas de minimum d'employés, pas de minimum de chiffre d'affaires, pas de minimum de volume de données.
| Organisation | Visée ? | |---|---| | Travailleur autonome avec une liste de clients | Oui | | Boutique en ligne à 2 personnes | Oui | | PME de 50 employés | Oui | | Clinique privée de physiothérapie | Oui | | Multinationale établie au Québec | Oui |
Les obligations s'appliquent intégralement à toutes ces organisations. La loi prévoit toutefois une modulation implicite : les « mesures de sécurité raisonnables » et la profondeur des EFVP s'évaluent selon la sensibilité des renseignements, la finalité, la quantité, la répartition et le support. Une organisation de 3 personnes n'a pas besoin du programme d'une banque, mais elle a besoin d'un programme.
Les OBNL : visés dans la plupart des cas
L'idée qu'un organisme à but non lucratif échappe à la Loi 25 est répandue et généralement fausse. Le critère est l'exploitation d'une entreprise au sens du Code civil, et la jurisprudence reconnaît qu'une activité économique organisée peut être non lucrative.
Un OBNL qui emploie du personnel, offre des services, perçoit des cotisations ou des frais, tient une liste de membres ou de donateurs, exploite presque certainement une entreprise. Les associations professionnelles, les organismes communautaires structurés, les clubs sportifs avec employés et les fondations entrent généralement dans le champ d'application.
Les cas limites existent (petits regroupements bénévoles sans activité économique organisée), mais la posture prudente pour tout OBNL structuré est de se considérer visé.
Les organisations hors Québec
La Loi 25 ne s'arrête pas à la frontière. Une organisation établie ailleurs (Toronto, Vancouver, New York, Paris) qui collecte des renseignements personnels de personnes situées au Québec dans le cadre de l'exploitation d'une entreprise au Québec peut être visée.
Les indices d'un assujettissement : un site transactionnel qui vend activement au Québec, du marketing ciblé vers le Québec, une version française destinée au marché québécois, des clients québécois servis de façon organisée et récurrente.
Une entreprise ontarienne dont quelques clients québécois achètent occasionnellement sans ciblage particulier se trouve dans une zone grise. Une entreprise qui développe activement le marché québécois devrait se conformer.
Les vraies exceptions
Les exceptions au champ d'application sont rares et étroites.
Le matériel journalistique, historique ou généalogique collecté, détenu, utilisé ou communiqué à une fin d'information légitime du public est exclu. Cette exception protège le travail des médias ; elle ne couvre pas les activités commerciales d'une entreprise de presse (abonnements, publicité, marketing).
Les renseignements à usage strictement personnel ne sont pas visés : votre carnet d'adresses personnel, vos photos de famille.
Les renseignements déjà publics par effet de la loi (registres publics comme le Registraire des entreprises) obéissent à des règles allégées pour leur consultation, mais leur réutilisation à d'autres fins reste encadrée.
Les renseignements professionnels dans certains contextes : le nom, le titre et les coordonnées professionnelles d'une personne dans le cadre de ses fonctions bénéficient d'un traitement allégé pour certaines communications d'affaires. Cette nuance ne sort pas ces renseignements du champ de la loi ; elle allège certaines obligations de consentement en contexte B2B.
C'est tout, ou presque. Il n'existe pas d'exception pour les petites entreprises, pas d'exception pour les OBNL, pas d'exception pour les organisations qui « ne vendent pas de données ».
Cas frontières fréquents
Les franchisés. Chaque franchisé qui exploite sa propre entreprise est responsable de sa propre conformité. Le franchiseur est responsable des traitements qu'il effectue lui-même (programme de fidélité central, marketing national).
Les professionnels régis par un ordre. Avocats, comptables, médecins en cabinet privé : visés par la Loi 25 en plus de leurs obligations déontologiques. Les deux régimes s'appliquent en parallèle.
Les syndicats de copropriété. La jurisprudence et la doctrine tendent à les considérer comme exploitant une entreprise pour leurs activités de gestion. La posture prudente est de se conformer.
Les partis politiques. Régis par des règles particulières issues de la Loi électorale, modifiées en parallèle de la Loi 25.
Les entreprises fédérales (banques, télécommunications, transport interprovincial) relèvent principalement de la LPRPDE fédérale pour leurs activités de base. Le partage exact mérite un avis juridique. Notre article Loi 25 vs LPRPDE détaille cette frontière.
Vous êtes visé : qu'est-ce que ça implique ?
Si votre organisation entre dans le champ d'application (et si vous lisez ceci depuis une organisation québécoise, c'est presque certainement le cas), les obligations de base sont les mêmes pour tous :
- Désigner un responsable de la protection des renseignements personnels et publier ses coordonnées
- Adopter des politiques et pratiques de gouvernance
- Tenir un registre des incidents de confidentialité
- Réaliser des EFVP pour les projets à risque et les communications hors Québec
- Respecter les droits des personnes (accès, rectification, retrait, portabilité)
- Détruire ou anonymiser les renseignements devenus inutiles
L'ampleur du programme se calibre selon votre réalité. L'existence du programme ne se négocie pas.
Comment Observantia aide
Observantia s'adapte à la taille de l'organisation : les registres, les EFVP et les politiques se construisent à partir de gabarits calibrés pour les PME québécoises, sans la lourdeur des plateformes d'entreprise. Essayez gratuitement pendant 14 jours.
Articles connexes
- Qu'est-ce que la Loi 25? Guide complet pour les organisations québécoises
- Loi 25 vs LPRPDE (PIPEDA) : quelle loi s'applique à votre organisation?
- Évaluation de conformité Loi 25 : par où commencer?
Ce contenu est fourni à titre informatif seulement et ne constitue pas un avis juridique. Pour des questions spécifiques à votre situation, consultez un conseiller juridique qualifié.