Leçon 1.2 : À qui s’applique la Loi 25 au Québec?
Une portée plus large qu’anticipée
La Loi 25 s’applique à toute personne qui, à l’occasion de l’exploitation d’une entreprise, collecte, détient, utilise ou communique des renseignements personnels. La majorité des dirigeants sous-estiment cette portée.
Qui est visé?
- PME et entrepreneurs : Un simple formulaire de contact sur votre site suffit à vous rendre assujetti.
- Cabinets professionnels : Avocats, comptables, médecins, dentistes, tous traitent des données sensibles.
- Commerces en ligne : Chaque commande génère des renseignements personnels.
- CPE et écoles privées : Données d’enfants = protection renforcée.
- Assureurs et courtiers : Données financières et de santé particulièrement sensibles.
- OBNL et associations : Membres, donateurs et bénévoles sont des personnes concernées.
- Agences web et développeurs : Si vous traitez les données de vos clients, vous êtes aussi responsable.
La portée extraterritoriale
La Loi 25 s’applique à toute organisation qui collecte des données de résidents québécois, même si l’entreprise est établie hors Québec. Une entreprise américaine, française ou ontarienne offrant des services à des Québécois doit respecter la Loi 25.
Si un résident de Montréal s’inscrit à votre infolettre depuis votre site hébergé en Californie, la Loi 25 s’applique à vous, même sans employé au Québec.
Ce qui est exclu
- Usage strictement personnel (carnet d’adresses privé, journal intime).
- Entreprises de compétence fédérale (banques à charte, télécoms interprovinciales), régies par PIPEDA.
- Secteur public provincial, régi par la Loi sur l’accès aux documents des organismes publics.
Proportionnalité des obligations
Les obligations sont proportionnelles : une PME de 5 employés n’a pas les mêmes exigences documentaires qu’une multinationale, mais elle doit quand même désigner un RPRP (qui peut être le propriétaire), obtenir le consentement pour ses cookies et répondre aux demandes d’accès dans 30 jours.
Points clés
- Toute organisation privée collectant des données de Québécois est visée.
- Portée extraterritoriale : localisation de l’entreprise non pertinente.
- Un formulaire de contact = assujettissement à la Loi 25.
- Obligations proportionnelles à la taille et sensibilité des données.