Beaucoup d'organisations québécoises se demandent si elles relèvent de la Loi 25 du Québec ou de la loi fédérale, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, ou PIPEDA en anglais). La question revient particulièrement chez les entreprises qui font affaire dans plusieurs provinces, les transporteurs, les institutions financières et les filiales de groupes canadiens.
La réponse courte : pour la grande majorité des entreprises établies au Québec, la Loi 25 s'applique. Mais les zones de chevauchement existent, et les deux régimes diffèrent sur des points qui ont des conséquences pratiques. Ce guide les passe en revue.
Les deux régimes en bref
La LPRPDE est la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé. Elle est en vigueur depuis 2001 et s'applique aux organisations qui collectent, utilisent ou communiquent des renseignements personnels dans le cadre d'activités commerciales. Elle est supervisée par le Commissariat à la protection de la vie privée du Canada (CPVP).
La Loi 25 (qui modernise la Loi sur la protection des renseignements personnels dans le secteur privé, P-39.1) est la loi québécoise. Elle s'applique aux entreprises qui exploitent une entreprise au Québec. Elle est supervisée par la Commission d'accès à l'information (CAI).
Quelle loi s'applique à votre organisation ?
La règle de répartition fonctionne ainsi :
La Loi 25 s'applique aux organisations du secteur privé qui exploitent une entreprise au Québec, pour les renseignements personnels qu'elles traitent au Québec. Le régime québécois est reconnu comme « essentiellement similaire » à la loi fédérale, ce qui écarte l'application de la LPRPDE pour les activités intraprovinciales.
La LPRPDE s'applique dans trois cas principaux :
- Les entreprises fédérales (banques à charte fédérale, télécommunications, transport interprovincial, aviation), même établies au Québec, pour leurs activités de base et les renseignements de leurs employés
- Les transferts interprovinciaux et internationaux de renseignements personnels dans le cadre d'activités commerciales
- Les activités commerciales dans les provinces qui n'ont pas de loi essentiellement similaire (l'Ontario, par exemple, n'a pas de loi générale pour le secteur privé)
Les deux lois peuvent s'appliquer simultanément à une même organisation. Exemple courant : une entreprise montréalaise qui vend en ligne partout au Canada relève de la Loi 25 pour ses activités québécoises et de la LPRPDE pour ses clients des autres provinces.
En pratique, pour une organisation québécoise, la stratégie la plus simple consiste à se conformer à la Loi 25, qui est plus exigeante sur presque tous les plans. Une organisation conforme à la Loi 25 satisfait la quasi-totalité des exigences de la LPRPDE.
Tableau comparatif
| Dimension | Loi 25 (Québec) | LPRPDE (fédéral) | |---|---|---| | Entrée en vigueur | 2022-2024 (par étapes) | 2001 (notification d'incident : 2018) | | Régulateur | CAI | CPVP | | Responsable désigné | RPP obligatoire pour toutes les organisations | Responsable requis (principe 1), exigences moins détaillées | | Publication du responsable | Obligatoire (site Web) | Non exigée explicitement | | EFVP | Obligatoire (projets à risque, transferts hors Québec) | Non obligatoire (bonne pratique) | | Notification d'incident | CAI + personnes concernées si risque de préjudice sérieux | CPVP + personnes si risque réel de préjudice grave | | Registre des incidents | Obligatoire, 5 ans | Obligatoire, 24 mois | | Décisions automatisées | Encadrées (article 12.1) | Non encadrées spécifiquement | | Droit à la portabilité | Oui (depuis sept. 2024) | Non | | Désindexation | Oui | Non | | Sanctions administratives | Jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial | Aucune (pouvoir de recommandation) | | Sanctions pénales | Jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial | Amendes jusqu'à 100 000 $ (infractions précises) | | Droit privé d'action | Oui (dommages-intérêts punitifs possibles) | Limité (Cour fédérale après conclusions du CPVP) |
Les différences qui comptent en pratique
1. La force des sanctions
C'est l'écart le plus spectaculaire. Le CPVP fédéral n'a pas le pouvoir d'imposer des sanctions financières ; il enquête, publie des conclusions et peut recommander. La CAI québécoise peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des poursuites pénales peuvent porter le total à 25 millions ou 4 %.
Conséquence pratique : le risque financier réel d'une organisation québécoise se trouve du côté de la Loi 25.
2. Le registre des incidents
Les deux lois exigent un registre, mais la durée de conservation diffère : cinq ans sous la Loi 25, vingt-quatre mois sous la LPRPDE. Une organisation soumise aux deux régimes applique la durée la plus longue.
3. Les seuils de notification
Les critères se ressemblent (« risque de préjudice sérieux » au Québec, « risque réel de préjudice grave » au fédéral) mais ne sont pas identiques. Un incident qui touche des personnes au Québec et ailleurs au Canada peut exiger une double notification : à la CAI et au CPVP. Les formulaires et les attentes des deux régulateurs diffèrent.
4. Les droits absents de la LPRPDE
La portabilité des données, la désindexation et l'encadrement des décisions automatisées existent dans la Loi 25 et pas dans la LPRPDE. Une organisation pancanadienne qui aligne ses processus sur la Loi 25 offre donc à tous ses clients canadiens des droits que la loi fédérale n'exige pas, ce qui simplifie l'exploitation.
5. La réforme fédérale en attente
Le projet de loi fédéral C-27 (Loi sur la protection de la vie privée des consommateurs) visait à moderniser la LPRPDE avec des sanctions comparables à celles du Québec et de l'Europe. Son adoption a connu plusieurs reports. Tant que la réforme n'est pas en vigueur, l'écart entre les deux régimes demeure. Les organisations qui se conforment dès maintenant à la Loi 25 se préparent de facto à la future norme fédérale.
Cas pratiques
PME de services établie à Québec, clientèle québécoise. Loi 25 seulement. La LPRPDE ne joue aucun rôle pratique.
Boutique en ligne montréalaise, ventes partout au Canada. Loi 25 pour l'essentiel ; LPRPDE pour les clients hors Québec. Stratégie : appliquer la Loi 25 partout, vérifier les obligations de double notification en cas d'incident touchant des clients hors Québec.
Filiale québécoise d'une banque fédérale. LPRPDE pour les activités bancaires et les employés ; certaines activités connexes peuvent relever de la Loi 25. Ce cas justifie un avis juridique.
Transporteur interprovincial basé à Laval. Entreprise fédérale : LPRPDE pour le cœur des activités. La Loi 25 peut s'appliquer à des activités accessoires.
Comment Observantia gère les deux régimes
Observantia est structuré autour des exigences de la Loi 25, le régime le plus exigeant. Le registre des incidents conserve la documentation pendant cinq ans (couvrant l'exigence fédérale de 24 mois), et les champs de notification documentent les avis transmis à la CAI comme au CPVP lorsque les deux s'appliquent. Essayez gratuitement pendant 14 jours.
Articles connexes
- Loi 25 vs RGPD : comparaison pour les organisations qui doivent composer avec les deux régimes
- Qu'est-ce que la Loi 25? Guide complet pour les organisations québécoises
- Gérer un incident de confidentialité : guide étape par étape sous la Loi 25
Ce contenu est fourni à titre informatif seulement et ne constitue pas un avis juridique. Pour des questions spécifiques à votre situation, consultez un conseiller juridique qualifié.