Loi 25 et CRM au Québec : obligations pour les PME
Il y a une question que peu de propriétaires de PME québécoises ont posée à leur fournisseur de CRM. Pas parce qu'elle est compliquée. Plutôt parce qu'on ne sait pas toujours qu'il faut la poser.
Cette question, c'est : « Où vont mes données clients — et qui peut y accéder ? »
Depuis le 22 septembre 2024, les principales dispositions de la Loi 25, qui modernise notamment la Loi sur la protection des renseignements personnels dans le secteur privé, sont entrées en vigueur au Québec. Ce n'est plus un projet de loi en déploiement progressif. C'est la réalité légale dans laquelle toutes les entreprises québécoises — PME, travailleurs autonomes, OBNL — doivent opérer, chaque jour.
Et si votre entreprise utilise des outils numériques pour gérer ses clients, ses prospects ou ses campagnes marketing — un CRM, une messagerie courriel, un logiciel de comptabilité, une plateforme de visioconférence — vous êtes directement concerné.
Avis important — Information générale seulement
Cet article est fourni à titre informatif et éducatif. Il ne constitue pas un avis juridique, une évaluation de conformité ni une attestation de conformité à la Loi 25 ou à toute autre législation applicable.
Les obligations en matière de protection des renseignements personnels varient selon les activités de chaque entreprise, les données traitées et les technologies utilisées. Il appartient à chaque organisation de vérifier ses obligations et de mettre en place les mesures appropriées.
Pour obtenir une interprétation juridique ou confirmer la conformité de votre entreprise, nous vous recommandons de consulter un professionnel du droit qualifié en protection des renseignements personnels.
L'utilisation de TierPeak ou de toute autre plateforme CRM ne garantit pas, à elle seule, la conformité à la Loi 25.
Qu'est-ce que la Loi 25, en termes simples ?
La Loi 25 modernise la Loi sur la protection des renseignements personnels dans le secteur privé. Elle s'inspire du RGPD européen et impose à toutes les organisations québécoises — peu importe leur taille — de revoir la façon dont elles collectent, utilisent, conservent et partagent les données personnelles.
Un « renseignement personnel », c'est toute information qui permet d'identifier une personne : un nom, une adresse courriel, un numéro de téléphone, un historique d'achats. Si vos outils numériques contiennent ces informations — et ils le font, par définition — vous êtes assujetti à la loi.
L'entrée en vigueur s'est échelonnée entre septembre 2022 et septembre 2024. Depuis le 22 septembre 2024, l'ensemble des dispositions s'applique.
Il n'y a plus de délai de grâce. Les obligations sont actives maintenant.
Les 5 obligations principales qui touchent directement votre PME
1. Désigner un responsable de la protection des renseignements personnels
Dans une entreprise, la personne ayant la plus haute autorité exerce par défaut la fonction de responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction, en tout ou en partie, par écrit, à un membre du personnel ou à une personne externe. Les coordonnées de cette personne doivent être facilement accessibles, notamment sur votre site web.
Dans une PME de moins de 25 employés, c'est souvent le ou la propriétaire. L'important, c'est que ce rôle soit clairement attribué et documenté. Si un incident survient, la Commission d'accès à l'information (CAI) voudra savoir qui est responsable.
2. Publier une politique de confidentialité claire et à jour
La Loi 25 oblige à publier une politique de confidentialité claire, à jour et facile à consulter, en particulier sur votre site web. Elle doit indiquer comment chaque personne peut exercer ses droits : accès, rectification, retrait du consentement.
Ce n'est pas une formalité. Votre politique et vos avis de confidentialité doivent expliquer vos pratiques réelles de collecte, d'utilisation et de communication des renseignements personnels. Selon les circonstances, il peut être pertinent d'identifier certains fournisseurs ou catégories de fournisseurs, notamment lorsqu'ils interviennent dans le traitement des renseignements. Vos visiteurs doivent savoir à quoi s'en tenir. Une politique générique copiée-collée ne suffit pas. Elle doit refléter vos pratiques réelles.
3. Obtenir un consentement éclairé
Le consentement doit être manifeste, libre, éclairé et donné à des fins précises. Selon les circonstances, il peut être exprès ou implicite; un consentement exprès est notamment requis pour les renseignements sensibles. Vos formulaires doivent expliquer les fins de la collecte et les utilisations prévues. Les envois commerciaux doivent aussi respecter les règles applicables de la Loi canadienne anti-pourriel (LCAP).
Dans vos outils numériques, cela touche directement vos formulaires de capture de prospects, vos inscriptions à l'infolettre, et tout processus d'automatisation marketing qui s'appuie sur les données récoltées.
4. Réagir rapidement en cas d'incident de confidentialité
Lorsqu'un incident de confidentialité présente un risque de préjudice sérieux, l'entreprise doit aviser la Commission d'accès à l'information avec diligence et informer les personnes concernées. Elle doit prendre les mesures raisonnables pour réduire les risques et éviter une répétition, puis inscrire l'incident à son registre.
5. Réaliser une ÉFVP avant tout transfert de données hors du Québec
C'est l'obligation la moins connue — et pourtant l'une des plus importantes pour les PME qui utilisent des outils numériques modernes.
La communication d'un renseignement personnel hors Québec peut s'effectuer seulement si on évalue que ce renseignement jouit d'une protection adéquate. Une Évaluation des facteurs relatifs à la vie privée (ÉFVP) est requise avant de transférer des données hors du Québec.
En pratique, si vos outils numériques hébergent vos données sur des serveurs situés aux États-Unis ou ailleurs hors du Québec, vous êtes potentiellement concerné par cette obligation — et nous y revenons en détail dans la prochaine section.
Ce que la Loi 25 dit sur les transferts de données hors Québec — et pourquoi presque toutes les PME sont concernées
C'est ici que beaucoup de propriétaires de PME ont une surprise.
De nombreux services numériques utilisés par les PME québécoises — messagerie, comptabilité en ligne, visioconférence, gestion de projet et CRM — peuvent traiter ou conserver des renseignements personnels à l'extérieur du Québec. Les régions concernées varient selon le fournisseur, le service, les sous-traitants et la configuration choisie. C'est pourquoi il est important de vérifier les flux de données plutôt que de présumer leur localisation.
Pour chacun de vos outils, documentez les régions de stockage et de traitement, les accès possibles du personnel de soutien et les sous-traitants concernés. Un abonnement commercialisé au Canada ne garantit pas que tous les renseignements restent au Québec.
La Loi 25 n'interdit pas ces transferts. Les entreprises québécoises peuvent utiliser ces services tout en respectant la Loi 25, sous réserve de certaines obligations.
Ces obligations existent. Mais elles sont gérables — à condition de les connaître.
Lorsqu'un fournisseur de services numériques est soumis à des lois étrangères, certaines demandes d'accès aux renseignements peuvent être possibles dans des circonstances prévues par ces lois. Ce risque doit être examiné selon le fournisseur, sa structure juridique, les services utilisés et les mesures de protection applicables. La localisation d'un serveur ne suffit donc pas, à elle seule, pour évaluer la protection des renseignements personnels.
Ce n'est pas une raison de paniquer. C'est une raison de documenter.
Avant une communication de renseignements personnels hors Québec, l'évaluation doit permettre de déterminer si ceux-ci bénéficieront d'une protection adéquate. L'analyse tient notamment compte de leur sensibilité, des fins de l'utilisation, des mesures de protection et du cadre juridique applicable. La communication doit être encadrée par l'entente écrite requise.
Lorsque votre entreprise communique des renseignements personnels hors Québec, la Loi prévoit une évaluation préalable et, lorsque la communication est permise, une entente écrite tenant compte des résultats de cette évaluation. Selon les services utilisés, un accord sur le traitement des données (DPA) peut faire partie de la documentation contractuelle pertinente. Vérifiez toutefois son contenu et sa portée plutôt que de présumer qu'un document standard répond à toutes vos obligations.
Ce que votre dossier de conformité doit contenir
Avant d'aller plus loin, une précision qui change tout : les obligations que nous décrivons ici ne s'appliquent pas uniquement à votre CRM.
Les obligations de protection des renseignements personnels concernent l'ensemble des outils et des fournisseurs qui recueillent, utilisent, communiquent ou conservent de tels renseignements pour votre entreprise. Leur application concrète dépend des données traitées et des activités réalisées.
Votre messagerie courriel, votre logiciel de comptabilité, votre plateforme de visioconférence, votre outil de gestion de projet et votre hébergeur web peuvent tous traiter des renseignements personnels. Pour chacun, vérifiez la nature des données concernées, les fournisseurs qui y ont accès et les lieux où elles sont traitées. Certaines configurations peuvent entraîner des communications de renseignements personnels hors Québec, lesquelles doivent alors être évaluées et encadrées conformément aux exigences applicables.
La bonne nouvelle, c'est que la Loi 25 n'interdit pas ces transferts. Elle demande qu'ils soient encadrés, documentés et que des mesures de protection adéquates soient en place.
Voici donc ce que votre dossier de conformité doit contenir — pour l'ensemble de vos outils numériques.
Des ententes appropriées avec les fournisseurs qui traitent des renseignements personnels pour votre entreprise. Selon la nature du service et des communications de données, certaines clauses ou ententes écrites sont exigées par la loi. Examinez notamment les responsabilités du fournisseur, les mesures de sécurité, les sous-traitants, les incidents et les conditions d'accès aux renseignements. Un accord sur le traitement des données (DPA) peut contribuer à documenter ces engagements, sans garantir à lui seul la conformité.
Une documentation des lieux de traitement et des communications de renseignements personnels. Identifiez les régions où vos données peuvent être conservées, traitées ou consultées, ainsi que les fournisseurs et sous-traitants concernés. Lorsqu'une évaluation des facteurs relatifs à la vie privée est requise, elle doit examiner les renseignements en cause, les fins du traitement, les mesures de protection et le cadre juridique applicable. Une simple liste des pays d'hébergement ne remplace pas cette analyse.
Des éléments documentés sur les mesures de sécurité de vos fournisseurs. Selon le service, un rapport SOC 2, un rapport SOC 3 ou une certification pertinente peut contribuer à votre évaluation. Vérifiez sa portée, sa période de validité et les services couverts. Aucun rapport ou certification ne garantit à lui seul la conformité à la Loi 25.
Un processus de notification en cas d'incident. Vos ententes doivent préciser comment et à quel moment le fournisseur vous avise d'un incident, quels renseignements il transmet et comment il collabore à l'intervention. Ces engagements doivent vous permettre d'agir avec diligence et de respecter vos obligations. Ne confondez pas un délai contractuel convenu avec un délai légal universel.
Un inventaire de vos outils et de leurs sous-traitants. Les plateformes modernes font appel à de multiples fournisseurs spécialisés. Ce qui compte, c'est que vous sachiez quels outils vous utilisez et que chacun d'eux ait des engagements contractuels en matière de protection des données.
Évaluer les projets et les flux. Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise dans les situations prévues par la loi, notamment pour certains projets d'acquisition, de développement ou de refonte de systèmes impliquant des renseignements personnels et avant leur communication hors Québec. Son périmètre dépend du projet et des flux de données. Une plateforme unique peut faire appel à plusieurs sous-traitants; elle ne réduit donc pas automatiquement le travail à une seule évaluation.
Cet inventaire constitue un point de départ pour documenter vos pratiques et identifier les vérifications à compléter. Il ne garantit pas la conformité de votre entreprise, mais facilite le suivi des responsabilités, des fournisseurs et des mesures à mettre en place.
Ce que votre PME doit mettre en place de son côté
Même avec des fournisseurs exemplaires, les obligations de la Loi 25 ne s'arrêtent pas à vos contrats. Une partie importante de la responsabilité reste du côté de votre organisation.
Documentez vos flux de données. Sachez quelles données vous collectez, pourquoi, combien de temps vous les conservez, et qui y a accès dans votre équipe. Cet inventaire est la base de toute démarche de conformité sérieuse.
Révisez vos formulaires. Pour chaque formulaire, indiquez les fins de la collecte et limitez les renseignements demandés à ce qui est nécessaire. Séparez la demande de service de l'inscription aux communications promotionnelles. Utilisez un mécanisme de consentement adapté aux renseignements et à l'usage prévu, puis conservez les preuves pertinentes.
Mettez à jour votre politique de confidentialité. Elle doit refléter la réalité de vos outils actuels. Expliquez les catégories de renseignements recueillis, les fins de leur utilisation et les communications pertinentes à des tiers. Assurez-vous que vos avis reflètent les pratiques réelles de votre entreprise et les exigences légales applicables.
Formez votre équipe. Les rôles et les responsabilités des membres du personnel tout au long du cycle de vie des renseignements personnels doivent être documentés dans votre politique de gouvernance. Les personnes qui accèdent aux données clients dans votre équipe doivent savoir ce qu'elles ont le droit de faire — et ce qu'elles n'ont pas le droit de faire.
Établissez un registre des incidents. Même si vous n'avez jamais vécu d'incident, avoir un processus documenté pour y répondre est une obligation légale. Un simple document suffit — à condition qu'il existe.
Sept vérifications à faire dans votre CRM pour mieux protéger les données clients
Votre CRM contient probablement des noms, des coordonnées, des historiques de communication et des renseignements sur les occasions de vente. Voici sept vérifications à effectuer avec votre responsable de la protection des renseignements personnels et votre fournisseur CRM.
1. Localisation des données. Dans quelles régions vos renseignements sont-ils conservés, traités ou accessibles? Vérifiez aussi les accès des fournisseurs de soutien et les communications hors Québec.
2. Fournisseurs et sous-traitants. Identifiez les entreprises qui interviennent dans le traitement des données. Demandez la documentation contractuelle et les renseignements nécessaires à vos évaluations.
3. Consentements et préférences. Vérifiez comment les fins de collecte sont expliquées et comment les consentements requis sont recueillis et documentés. Distinguez les communications de service des communications promotionnelles.
4. Accès, rectification et portabilité. Déterminez comment votre entreprise peut retrouver les renseignements d'une personne, corriger une information et répondre aux demandes admissibles de communication ou de suppression.
5. Traçabilité des activités. Vérifiez quelles opérations peuvent être retracées, par exemple les modifications apportées aux fiches, les accès et les exports. Demandez quelles fonctions sont disponibles dans votre forfait.
6. Gestion des accès. Examinez les autorisations accordées aux employés et aux collaborateurs. Chaque personne devrait disposer des accès nécessaires à ses responsabilités, sans accès inutile aux autres renseignements.
7. Conservation et suppression. Documentez les durées de conservation applicables, les procédures de suppression et les mesures prévues lorsque les renseignements ne sont plus nécessaires.
Ces vérifications ne constituent pas une certification de conformité. Elles permettent de repérer les questions à résoudre et de mieux préparer vos échanges avec votre fournisseur CRM et votre conseiller juridique.
Quelles sanctions sont prévues en cas de non-respect de la Loi 25?
Certaines PME croient encore que la Loi 25 est surtout faite pour les grandes entreprises. Ce n'est pas le cas.
La Loi sur la protection des renseignements personnels dans le secteur privé prévoit des sanctions administratives pécuniaires pour certains manquements ainsi que des amendes pénales pour certaines infractions. Pour une entreprise, le plafond d'une sanction administrative peut atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé. Certaines infractions pénales peuvent entraîner des amendes plus importantes, pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Ces montants représentent des plafonds légaux, et non des sanctions automatiquement imposées à chaque manquement.
Les conséquences d'un manquement dépendent notamment de sa nature et des circonstances. Au-delà des sanctions prévues par la loi, une mauvaise gestion des renseignements personnels peut aussi nuire à la confiance des clients et aux relations commerciales.
La conformité comme avantage compétitif
Il y a une façon de voir la Loi 25 comme une contrainte. Et il y en a une autre.
Les PME qui prennent la protection des données au sérieux envoient un signal fort à leurs clients : vous pouvez nous faire confiance avec vos informations. Dans un contexte où les scandales de fuites de données font régulièrement les manchettes, c'est un différenciateur réel.
Pour les entrepreneurs qui vendent à d'autres entreprises — en B2B — la question de la conformité devient de plus en plus une condition d'accès aux contrats. Dans certains secteurs et processus d'approvisionnement B2B, les acheteurs demandent des renseignements sur la sécurité, la confidentialité et les pratiques de gestion des données avant de retenir un fournisseur.
Ce n'est pas seulement une question légale. C'est une question de réputation, de confiance, et de positionnement.
Conclusion : commencez par les bonnes bases
Vous n'avez pas besoin d'être avocat pour prendre la Loi 25 au sérieux. Vous avez besoin de trois choses :
Comprendre vos propres flux de données — ce que vous collectez, pourquoi, et où ça va.
Vérifier les engagements contractuels, les mesures de sécurité et les processus de gestion des incidents de vos fournisseurs, selon les services et les renseignements concernés.
Documenter vos pratiques pour pouvoir les démontrer si la CAI venait à vous questionner.
La Loi 25 n'est pas une tempête à attendre en retenant son souffle. C'est un cadre qui, bien compris, protège autant vos clients que votre entreprise — et qui s'applique à l'ensemble de votre écosystème numérique, pas seulement à un outil en particulier.
Examinez la gestion de vos données clients avec TierPeak
Votre équipe utilise plusieurs outils pour gérer ses contacts, ses occasions de vente et ses communications?
Demandez une démonstration de TierPeak pour examiner l'organisation de vos données clients, les paramètres d'accès et les possibilités de configuration pertinentes à votre entreprise.
Cette démonstration permet d'évaluer les possibilités de la plateforme. Elle ne constitue pas une vérification juridique ni une attestation de conformité à la Loi 25.
