Law 25
Act Respecting the Protection of Personal Information in the Private Sector (Bill 64 / Law 25)
La réforme radicale de la vie privée au Québec — la plus stricte au Canada
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé et constitue la législation en matière de vie privée la plus complète au Canada. Elle a introduit des évaluations des facteurs relatifs à la vie privée (EFVP) obligatoires pour les projets de systèmes d'information et les communications hors Québec, l'avis avec diligence des incidents de confidentialité présentant un risque de préjudice sérieux, des exigences de consentement explicite pour le profilage et le droit à la portabilité des données. Elle s'applique à toute organisation qui collecte des renseignements personnels de résidents québécois.
Qui doit se conformer à Law 25?
Toute organisation — peu importe où elle est constituée ou son siège social — qui collecte, détient, utilise ou communique des renseignements personnels de résidents québécois. Cela inclut les entreprises non québécoises exploitant des sites Web, des applications ou des services accessibles aux consommateurs québécois.
Vous n'êtes pas certain que Law 25 s'applique? Effectuez une évaluation gratuite →
Principales obligations en vertu de Law 25
Désignation du responsable de la protection
Publiez le nom et les coordonnées de votre responsable de la protection des renseignements personnels (ou son titre) sur votre site Web. C'est vérifiable publiquement.
Évaluations des facteurs relatifs à la vie privée
Effectuez une EFVP avant tout nouveau projet impliquant un traitement de renseignements personnels à risque élevé. C'est obligatoire en vertu de la Loi 25 — Phase 2.
Avis d'incident avec diligence
Si un incident de confidentialité présente un risque de préjudice sérieux, avisez avec diligence la CAI et les personnes concernées (Loi sur le privé, art. 3.5). Aucun délai fixe en heures n'est prévu.
Consentement pour le profilage
Un consentement opt-in explicite est requis avant d'utiliser des renseignements personnels pour le profilage, la publicité ciblée ou la prise de décision automatisée.
Portabilité des données
Les personnes peuvent demander leurs renseignements personnels dans un format structuré, neutre sur le plan technologique, pour les transférer à un autre fournisseur.
Règles de transfert hors Québec
Avant de transférer des renseignements personnels hors du Québec, effectuez une EFVP et obtenez un accord de communication signé.
Pénalités et application de la loi
Desjardins was fined following a 9.7M member data breach — the largest in Canadian history
Effectuez une analyse des écarts Law 25 gratuitement
Complétez une courte évaluation guidée, obtenez un rapport d'écarts noté, et voyez exactement ce que vous devez faire pour vous conformer à Law 25 — en moins de 3 heures. Gratuit pour toujours.
Commencer l'évaluation gratuite