Loi 25 vs RGPD : comparaison pour les organisations qui doivent composer avec les deux régimes

De plus en plus d'organisations québécoises se retrouvent à devoir respecter à la fois la Loi 25 et le RGPD européen : filiales d'entreprises européennes installées au Québec, entreprises québécoises qui exportent en Europe, plateformes en ligne dont la clientèle traverse les deux territoires, fournisseurs SaaS qui servent les deux marchés. Pour ces organisations, comprendre où les deux régimes convergent et où ils divergent permet de bâtir une conformité unifiée et d'éviter le dédoublement de deux programmes parallèles.

Ce guide compare la Loi 25 québécoise et le Règlement général sur la protection des données (RGPD) européen sur les dimensions les plus utiles à un programme de conformité : portée, base juridique, droits des personnes, gouvernance, transferts, incidents et sanctions.

Origines et structure

Le RGPD est entré en vigueur en mai 2018. Il s'applique uniformément dans les 27 États membres de l'Union européenne. Sa portée extraterritoriale est large : il s'applique à toute organisation, peu importe son siège, qui offre des biens ou services à des personnes situées dans l'UE ou qui surveille leur comportement.

La Loi 25 québécoise est entrée en vigueur par étapes entre septembre 2022 et septembre 2024. Elle modernise deux lois existantes : la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1) et la Loi sur l'accès aux documents des organismes publics (A-2.1). Elle s'applique aux organisations québécoises et, dans plusieurs cas, aux organisations étrangères qui collectent des renseignements de personnes au Québec.

La Loi 25 s'inspire fortement du RGPD. Plusieurs concepts (analyse d'impact, droit à l'effacement, sanctions élevées) ont été directement transposés du modèle européen.

Tableau de comparaison principal

| Dimension | RGPD | Loi 25 | |---|---|---| | Entrée en vigueur | Mai 2018 | Sept. 2022 – sept. 2024 (par étapes) | | Portée géographique | UE + extraterritorial | Québec + organisations étrangères qui ciblent le Québec | | Régulateur | Autorités nationales (CNIL en France, BfDI en Allemagne, etc.) coordonnées par l'EDPB | Commission d'accès à l'information (CAI) | | Base juridique du traitement | 6 bases (consentement, contrat, obligation légale, intérêt vital, intérêt public, intérêt légitime) | Consentement central, avec exceptions limitées | | Responsable de la protection | DPO (obligatoire dans certains cas) | RPP (obligatoire pour toute organisation) | | Analyse d'impact | DPIA requise pour traitements à risque élevé | EFVP requise pour traitements à risque élevé et transferts hors Québec | | Délai de notification d'incident | 72 heures à l'autorité | « Avec diligence » (jours, pas semaines) | | Notification aux personnes | Si risque élevé | Si risque de préjudice sérieux | | Droit d'accès | Oui, sous 30 jours | Oui, sous 30 jours | | Droit de rectification | Oui | Oui | | Droit à l'effacement | Oui (oubli) | Oui (désindexation, retrait) | | Droit à la portabilité | Oui | Oui (depuis sept. 2024) | | Droit d'opposition aux décisions automatisées | Oui (article 22 RGPD) | Oui (article 12.1 Loi 25) | | Transferts internationaux | Décisions d'adéquation, clauses types, BCR | EFVP préalable, protection équivalente | | Sanctions maximales | 20 M€ ou 4 % du chiffre d'affaires mondial | 25 M$ CAD ou 4 % du chiffre d'affaires mondial |

Convergences principales

1. Sanctions financières alignées

Le plafond de sanctions de la Loi 25 (25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial, selon le plus élevé) est calibré sur celui du RGPD. Les deux régimes peuvent prononcer des sanctions qui menacent la viabilité financière d'une organisation moyenne en cas de manquement grave.

2. Droits des personnes très similaires

Les droits d'accès, de rectification, d'effacement, de portabilité et d'opposition aux décisions automatisées existent dans les deux régimes. Une organisation qui a structuré ses processus pour répondre aux demandes RGPD est généralement bien positionnée pour répondre aux demandes Loi 25, à condition d'ajuster les délais (30 jours dans les deux cas mais avec quelques nuances) et le format des réponses.

3. Approche par les risques

Les deux régimes attendent une démarche fondée sur les risques. L'EFVP de la Loi 25 et la DPIA du RGPD sont des outils similaires : ils servent à documenter les risques pour la vie privée d'un traitement et à justifier les mesures d'atténuation choisies.

4. Encadrement des sous-traitants

L'article 18.3 de la Loi 25 et l'article 28 du RGPD jouent des rôles équivalents : ils imposent un contrat écrit avec des clauses minimales obligatoires entre le responsable du traitement et le sous-traitant. Les addenda contractuels (DPA) signés avec les fournisseurs SaaS pour le RGPD couvrent généralement la plupart des exigences de l'article 18.3.

Divergences importantes

1. La place du consentement

Le RGPD reconnaît six bases juridiques de traitement, dont l'« intérêt légitime » qui couvre une part importante des activités courantes (marketing direct vers des clients existants, sécurité des systèmes, prévention de la fraude). Le consentement est une base parmi six.

La Loi 25 place le consentement au centre. Les exceptions existent mais sont plus limitées. Une organisation qui s'appuie largement sur l'intérêt légitime sous le RGPD doit revoir cette assise lorsqu'elle traite des renseignements de personnes au Québec : le consentement explicite est plus souvent requis.

2. Le délai de notification d'incident

Le RGPD impose 72 heures pour notifier une violation à l'autorité de protection. La Loi 25 utilise l'expression « avec diligence » sans délai chiffré. En pratique, la CAI s'attend à une notification en quelques jours. Les organisations habituées au compte à rebours de 72 heures du RGPD ont généralement un avantage opérationnel.

3. Les transferts internationaux

Sous le RGPD, les transferts vers des pays tiers reposent sur des décisions d'adéquation de la Commission européenne, des clauses contractuelles types (SCC), ou des règles d'entreprise contraignantes (BCR). Le Canada bénéficie d'une décision d'adéquation partielle qui couvre certaines activités du secteur privé.

Sous la Loi 25, les transferts hors Québec exigent une EFVP au cas par cas et la démonstration que les renseignements bénéficient d'une protection équivalente. Le mécanisme est plus individualisé que sous le RGPD.

Concrètement, une organisation européenne qui transfère des renseignements vers une filiale québécoise utilise probablement des SCC ou la décision d'adéquation. La filiale québécoise qui retransfère ces renseignements vers les États-Unis (par exemple, vers le siège social ou un fournisseur SaaS américain) doit faire son propre EFVP sous la Loi 25.

4. La désignation du responsable

Le DPO du RGPD est obligatoire dans trois cas seulement : autorité publique, traitement systématique et à grande échelle, ou traitement à grande échelle de catégories particulières. Beaucoup de PME européennes n'ont pas l'obligation d'en désigner un.

Le RPP de la Loi 25 est obligatoire pour toute organisation. Il n'y a pas de seuil de taille. Une PME québécoise de cinq personnes a la même obligation de désignation qu'une grande entreprise.

5. Le périmètre matériel

Le RGPD distingue clairement « données personnelles » et « données personnelles sensibles » (avec un régime renforcé pour ces dernières : santé, opinions politiques, orientation sexuelle, origine raciale, etc.). La Loi 25 utilise la notion de « renseignement personnel sensible » mais l'encadrement est moins systématique. Les deux régimes traitent particulièrement les renseignements de santé, mais avec des modalités différentes.

Stratégie pour une conformité unifiée

Pour une organisation soumise aux deux régimes, plusieurs approches fonctionnent. La plus efficace consiste généralement à :

Adopter le RGPD comme standard interne le plus exigeant sur les dimensions où il l'est (clauses sous-traitants détaillées, délais d'incident à 72 heures, formalisation des bases juridiques).
Surcouche Loi 25 pour les dimensions où elle est plus exigeante (RPP obligatoire pour toute organisation, EFVP pour les transferts hors Québec, consentement plus explicite).
Politique de confidentialité bilingue unique qui couvre les exigences des deux régimes, sans dédoublement.
Registre des traitements unifié qui fait la double cartographie (où les données sont traitées, sous quel régime).
Procédure de réponse aux demandes des personnes unique, avec des aiguillages internes selon le régime applicable.

Cette approche réduit les redondances et les risques de divergence. Elle exige cependant un suivi des évolutions réglementaires des deux côtés.

Comment Observantia accompagne cette démarche

Observantia est conçu autour des exigences de la Loi 25, et plusieurs de ses fonctions (registre des fournisseurs, EFVP, registre des incidents, calendrier de conservation) couvrent également les obligations équivalentes du RGPD. Pour une organisation qui doit gérer les deux régimes, Observantia constitue un point central qui peut alimenter la documentation des deux conformités. Essayez gratuitement pendant 14 jours.

Articles connexes

Ce contenu est fourni à titre informatif seulement et ne constitue pas un avis juridique. Pour des questions spécifiques à votre situation, consultez un conseiller juridique qualifié.