Law 25
Act Respecting the Protection of Personal Information in the Private Sector (Bill 64 / Law 25)
La réforme radicale de la vie privée au Québec — la plus stricte au Canada
La Loi 25 a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé et constitue la législation en matière de vie privée la plus complète au Canada. Elle a introduit des évaluations des facteurs relatifs à la vie privée (EFVP) obligatoires pour les projets à risque élevé, un délai de notification d'atteinte de 72 heures, des exigences de consentement explicite pour le profilage et le droit à la portabilité des données. Elle s'applique à toute organisation qui collecte des renseignements personnels de résidents québécois.
Qui doit se conformer à Law 25?
Toute organisation — peu importe où elle est constituée ou son siège social — qui collecte, détient, utilise ou communique des renseignements personnels de résidents québécois. Cela inclut les entreprises non québécoises exploitant des sites Web, des applications ou des services accessibles aux consommateurs québécois.
Vous n'êtes pas certain que Law 25 s'applique? Effectuez une évaluation gratuite →
Principales obligations en vertu de Law 25
Désignation du responsable de la protection
Publiez le nom et les coordonnées de votre responsable de la protection des renseignements personnels (ou son titre) sur votre site Web. C'est vérifiable publiquement.
Évaluations des facteurs relatifs à la vie privée
Effectuez une EFVP avant tout nouveau projet impliquant un traitement de renseignements personnels à risque élevé. C'est obligatoire en vertu de la Loi 25 — Phase 2.
Notification d'atteinte en 72 heures
Signalez les atteintes comportant un risque de préjudice sérieux à la CAI dans les 72 heures — plus strict que la norme « dès que raisonnablement possible » de la LPRPDE.
Consentement pour le profilage
Un consentement opt-in explicite est requis avant d'utiliser des renseignements personnels pour le profilage, la publicité ciblée ou la prise de décision automatisée.
Portabilité des données
Les personnes peuvent demander leurs renseignements personnels dans un format structuré, neutre sur le plan technologique, pour les transférer à un autre fournisseur.
Règles de transfert hors Québec
Avant de transférer des renseignements personnels hors du Québec, effectuez une EFVP et obtenez un accord de communication signé.
Pénalités et application de la loi
Desjardins was fined following a 9.7M member data breach — the largest in Canadian history
Effectuez une analyse des écarts Law 25 gratuitement
Répondez à 47 questions, obtenez un rapport d'écarts noté, et voyez exactement ce que vous devez faire pour vous conformer à Law 25 — en moins de 3 heures. Gratuit pour toujours.
Commencer l'évaluation gratuite