{
  "name": "Quebec Law 25 obligations for a business phone system",
  "description": "The nine obligations Law 25 places on a private business in Quebec, in the order they came into force, with the five that reach a phone line marked. Each row cites the Commission d'acces a l'information page it comes from.",
  "license": "CC BY 4.0",
  "licenseUrl": "https://creativecommons.org/licenses/by/4.0/",
  "attribution": "Ringfully.com",
  "canonical": "https://ringfully.com/law-25",
  "canonicalFr": "https://ringfully.com/fr/loi-25",
  "sourcesVerified": "2026-09-06",
  "coverage": {
    "jurisdiction": "Quebec, Canada",
    "statute": "P-39.1",
    "tranches": [
      "2022-09-22",
      "2023-09-22",
      "2024-09-22"
    ]
  },
  "obligations": [
    {
      "id": "privacy-officer",
      "inForce": "2022-09-22",
      "section": null,
      "reachesPhoneLine": true,
      "label": {
        "en": "A named privacy officer, published",
        "fr": "Un responsable désigné, publié"
      },
      "requirement": {
        "en": "Designate a person responsible for the protection of personal information. By default that is the person with the highest authority, and the role may be delegated. Their title and contact details have to be published.",
        "fr": "Désigner un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité, et la fonction peut être déléguée. Son titre et ses coordonnées doivent être publiés."
      },
      "phone": {
        "en": "Naming somebody internally is not enough. The title and contact details go on your site, or by another appropriate means.",
        "fr": "Nommer quelqu’un à l’interne ne suffit pas. Le titre et les coordonnées vont sur votre site, ou par un autre moyen approprié."
      },
      "source": {
        "id": "cai-responsable-protection",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/responsable-protection-renseignements-personnels-entreprise",
        "title": "the Commission on naming and publishing a person responsible for personal information",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "incident-register",
      "inForce": "2022-09-22",
      "section": null,
      "reachesPhoneLine": true,
      "label": {
        "en": "A register of confidentiality incidents",
        "fr": "Un registre des incidents de confidentialité"
      },
      "requirement": {
        "en": "Record every confidentiality incident, however small, and keep the register for at least five years after the incident became known. Notice to the Commission and to the people affected is a separate duty, owed only where the incident presents a risk of serious harm.",
        "fr": "Consigner tout incident de confidentialité, si petit soit-il, et conserver le registre au moins cinq ans après la prise de connaissance. L’avis à la Commission et aux personnes concernées est une obligation distincte, due seulement lorsque l’incident présente un risque de préjudice sérieux."
      },
      "phone": {
        "en": "Call recordings and voicemail are personal information. A recording sent to the wrong person is an incident and belongs in the register even when nobody has to be notified.",
        "fr": "Les enregistrements d’appels et la boîte vocale sont des renseignements personnels. Un enregistrement envoyé à la mauvaise personne est un incident et va au registre même si personne n’a à être avisé."
      },
      "source": {
        "id": "cai-incidents-confidentialite",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/incidents-confidentialite-mesures-securite-entreprises",
        "title": "the Commission on confidentiality incidents, the register, and when to notify",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "privacy-policy",
      "inForce": "2023-09-22",
      "section": null,
      "reachesPhoneLine": true,
      "label": {
        "en": "A published privacy policy",
        "fr": "Une politique de confidentialité publiée"
      },
      "requirement": {
        "en": "Publish policies and practices in simple and clear terms, saying what is collected, why, and how long it is kept.",
        "fr": "Publier des politiques et pratiques en termes simples et clairs, indiquant ce qui est recueilli, pourquoi, et pendant combien de temps c’est conservé."
      },
      "phone": {
        "en": "Write down that you hold call records, and for how long. This is the page quoted back at you if it describes something other than what you actually do.",
        "fr": "Écrivez que vous détenez des enregistrements d’appels, et pour combien de temps. C’est la page qu’on vous citera si elle décrit autre chose que ce que vous faites réellement."
      },
      "source": {
        "id": "cai-loi-25-changements",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25",
        "title": "what Law 25 changed, summarised by the Commission d'accès à l'information",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "valid-consent",
      "inForce": "2023-09-22",
      "section": "14",
      "reachesPhoneLine": true,
      "label": {
        "en": "Valid consent, one purpose at a time",
        "fr": "Un consentement valide, un usage à la fois"
      },
      "requirement": {
        "en": "Consent must be manifest, free and informed, and given for specific purposes. It is requested for each of those purposes, in simple and clear terms, and presented distinctly from anything else. Consent not given in accordance with the Act is without effect.",
        "fr": "Le consentement doit être manifeste, libre et éclairé, et donné à des fins spécifiques. Il est demandé pour chacune de ces fins, en termes simples et clairs, et présenté distinctement de toute autre information. Un consentement non conforme est sans effet."
      },
      "phone": {
        "en": "The hardest of the nine for a phone line, and the reason the consent form has a page of its own.",
        "fr": "La plus exigeante des neuf pour une ligne téléphonique, et la raison pour laquelle le formulaire de consentement a sa propre page."
      },
      "source": {
        "id": "cai-consentement-entreprises",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/consentement-personnes-entreprises",
        "title": "the eight conditions the Commission sets for valid consent",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "outside-quebec-assessment",
      "inForce": "2023-09-22",
      "section": null,
      "reachesPhoneLine": true,
      "label": {
        "en": "An assessment before anything leaves Quebec",
        "fr": "Une évaluation avant toute sortie du Québec"
      },
      "requirement": {
        "en": "Before communicating personal information outside Quebec, assess whether it would receive adequate protection there, having regard to the legal framework where it is going.",
        "fr": "Avant de communiquer des renseignements personnels hors du Québec, évaluer s’ils y bénéficieraient d’une protection adéquate, au regard du cadre juridique applicable là où ils vont."
      },
      "phone": {
        "en": "It catches almost every cloud phone system. It is an assessment, not a prohibition: keeping data outside Quebec is not forbidden, doing it without having assessed is. The duty belongs to the business collecting, not to the provider.",
        "fr": "Elle rattrape presque tous les systèmes téléphoniques infonuagiques. C’est une évaluation, pas une interdiction : conserver des données hors du Québec n’est pas interdit, le faire sans avoir évalué l’est. L’obligation appartient à l’entreprise qui recueille, pas au fournisseur."
      },
      "source": {
        "id": "cai-communication-hors-quebec",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/utilisation-communication-renseignements-personnels",
        "title": "the Commission on communicating personal information outside Quebec",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "governance-policies",
      "inForce": "2023-09-22",
      "section": null,
      "reachesPhoneLine": false,
      "label": {
        "en": "Governance policies and practices",
        "fr": "Des politiques et pratiques de gouvernance"
      },
      "requirement": {
        "en": "Establish and maintain governance policies and practices covering retention, the roles of staff through the information lifecycle, and how complaints are handled.",
        "fr": "Établir et maintenir des politiques et pratiques de gouvernance couvrant la conservation, le rôle des membres du personnel tout au long du cycle de vie de l’information, et le traitement des plaintes."
      },
      "phone": null,
      "source": {
        "id": "cai-loi-25-changements",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25",
        "title": "what Law 25 changed, summarised by the Commission d'accès à l'information",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "privacy-by-default",
      "inForce": "2023-09-22",
      "section": null,
      "reachesPhoneLine": false,
      "label": {
        "en": "Privacy by default",
        "fr": "La confidentialité par défaut"
      },
      "requirement": {
        "en": "Where a technological product or service is offered to the public, the highest level of confidentiality applies by default, without any action by the person concerned.",
        "fr": "Lorsqu’un produit ou service technologique est offert au public, les paramètres assurant le plus haut niveau de confidentialité s’appliquent par défaut, sans intervention de la personne concernée."
      },
      "phone": null,
      "source": {
        "id": "cai-loi-25-changements",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25",
        "title": "what Law 25 changed, summarised by the Commission d'accès à l'information",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "anonymisation",
      "inForce": "2023-09-22",
      "section": null,
      "reachesPhoneLine": false,
      "label": {
        "en": "Destruction, or anonymisation to a standard",
        "fr": "Destruction, ou anonymisation selon une norme"
      },
      "requirement": {
        "en": "Once the purpose is served, destroy the information or anonymise it according to generally accepted best practices.",
        "fr": "Une fois la fin atteinte, détruire les renseignements ou les anonymiser selon les meilleures pratiques généralement reconnues."
      },
      "phone": null,
      "source": {
        "id": "cai-conservation-destruction",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/conservation-destruction-renseignements-personnels",
        "title": "the Commission on how long personal information may be kept and how to destroy it",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "portability",
      "inForce": "2024-09-22",
      "section": "27",
      "reachesPhoneLine": false,
      "label": {
        "en": "Portability on request",
        "fr": "La portabilité sur demande"
      },
      "requirement": {
        "en": "On request, give a person the computerised information they supplied, in a structured, commonly used technological format. Access and correction sit alongside it.",
        "fr": "Sur demande, remettre à une personne les renseignements informatisés qu’elle a fournis, dans un format technologique structuré et couramment utilisé. L’accès et la rectification l’accompagnent."
      },
      "phone": null,
      "source": {
        "id": "cai-loi-25-changements",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25",
        "title": "what Law 25 changed, summarised by the Commission d'accès à l'information",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    }
  ],
  "penalties": [
    {
      "id": "administrative",
      "label": {
        "en": "Administrative monetary penalty",
        "fr": "Sanction administrative pécuniaire"
      },
      "imposedBy": {
        "en": "The Commission d'accès à l'information",
        "fr": "La Commission d’accès à l’information"
      },
      "ceiling": {
        "en": "Up to 2% of worldwide turnover or $10 million, whichever is higher.",
        "fr": "Jusqu’à 2 % du chiffre d’affaires mondial ou 10 millions de dollars, selon le plus élevé."
      },
      "source": {
        "id": "cai-sanctions-entreprises",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/sanctions-entreprises-poursuites",
        "title": "the penalties the Commission can impose on a business",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    },
    {
      "id": "penal",
      "label": {
        "en": "Penal fine",
        "fr": "Amende pénale"
      },
      "imposedBy": {
        "en": "A court, on prosecution",
        "fr": "Un tribunal, sur poursuite"
      },
      "ceiling": {
        "en": "From $15,000 to the greater of $25 million or 4% of worldwide turnover.",
        "fr": "De 15 000 $ jusqu’au plus élevé de 25 millions de dollars ou 4 % du chiffre d’affaires mondial."
      },
      "source": {
        "id": "cai-sanctions-entreprises",
        "url": "https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/sanctions-entreprises-poursuites",
        "title": "the penalties the Commission can impose on a business",
        "publisher": "Commission d'accès à l'information du Québec",
        "lang": "fr",
        "verifiedOn": "2026-09-06"
      }
    }
  ]
}