Ce qu’est la Loi 25
Son nom au complet est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (2021, chapitre 25). Elle a été présentée sous le nom de projet de loi 64 et sanctionnée le 22 septembre 2021. On l’appelle Loi 25 d’après le numéro du chapitre, et à peu près personne ne l’appelle autrement.
Elle ne remplace rien. Elle modifie les lois qui existaient déjà, dont la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P‑39.1), qui est celle qui vise les entreprises. C’est une distinction utile quand vous cherchez le texte exact d’une obligation : la Loi 25 dit ce qui a changé, et P‑39.1 dit ce qui s’applique aujourd’hui.
Les obligations sont entrées en vigueur par étapes, sur trois ans, et tout s’applique maintenant. Savoir laquelle est arrivée quand reste utile, parce que c’est ce qui vous dit depuis combien de temps vous étiez censé faire une chose.
| 22 septembre 2022 | Le responsable de la protection des renseignements personnels : désigné, avec son titre et ses coordonnées publiés. Les obligations liées aux incidents de confidentialité : le registre de tous les incidents, et l’avis à la Commission et aux personnes visées lorsque l’incident présente un risque de préjudice sérieux. |
|---|---|
| 22 septembre 2023 | Le consentement tel que la loi le définit désormais. La politique de confidentialité publiée. L’évaluation avant toute communication de renseignements personnels hors Québec, et l’entente écrite qui l’accompagne. Les politiques et pratiques de gouvernance. La confidentialité par défaut pour un produit ou un service technologique. L’anonymisation selon les meilleures pratiques généralement reconnues lorsque vous choisissez de ne pas détruire. |
| 22 septembre 2024 | Le droit à la portabilité : les renseignements personnels informatisés qu’une personne vous a fournis, remis sur demande dans un format technologique structuré et couramment utilisé. |
À qui elle s’applique
À toute personne qui exploite une entreprise et qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de cette entreprise. Une clinique de trois personnes est visée au même titre qu’une chaîne. Il n’y a pas de seuil d’effectif ; le seuil de 25 employés dont on entend parler appartient à la Charte de la langue française et à l’inscription auprès de l’Office québécois de la langue française, pas à celle-ci.
Être constituée ailleurs ne règle pas la question. La Loi 25 s’attache aux renseignements personnels recueillis dans le cadre d’une entreprise au Québec, et l’emplacement du serveur n’exempte de rien : au contraire, puisque l’obligation d’évaluation se déclenche précisément quand l’information sort du Québec. Une entreprise ontarienne qui répond à des appels venant du Québec peut donc être à la fois assujettie et en train d’effectuer la communication transfrontalière que la loi lui demande d’évaluer au préalable.
Le numéro que vous affichez non plus. Un numéro en 514, 418 ou 819 dit où sont vos appelants, pas quelle loi s’applique à ce que vous conservez à leur sujet.
Servir le Québec depuis l’extérieur
Les indicatifs régionaux du Québec pour un numéro d’entreprise
Les obligations, une par une
Six, dans l’ordre où une entreprise les rencontre plutôt que dans l’ordre où la loi les numérote. Aucune ne demande un projet ; toutes demandent une décision, écrite quelque part, que quelqu’un puisse retrouver dans deux ans.
Un responsable, nommé publiquement
Depuis le 22 septembre 2022, une entreprise privée au Québec doit désigner une personne responsable de la protection des renseignements personnels. Par défaut c’est la personne ayant la plus haute autorité, et le rôle peut être délégué. Le titre et les coordonnées doivent être publiés, sur votre site Web ou, à défaut, par un autre moyen approprié. Désigner quelqu’un à l’interne sans le dire ne suffit pas.
Une politique de confidentialité publiée
Écrite en termes simples et clairs, elle dit ce que vous recueillez et pourquoi. Pour une ligne téléphonique, cela veut dire écrire noir sur blanc que vous détenez des registres d’appels, et pour combien de temps. C’est la page qu’un client mécontent lit en premier, et c’est aussi celle qu’on cite contre vous si elle décrit autre chose que ce que vous faites.
Un consentement valide, une fin à la fois
Le consentement doit être manifeste, libre, éclairé et donné à des fins précises, et il est demandé pour chacune de ces fins, en termes simples et clairs. Demandé par écrit, il se présente distinctement du reste. Un consentement qui n’est pas donné conformément à la loi est sans effet. Article 14 de la loi sur le secteur privé. C’est la plus exigeante des obligations pour une ligne téléphonique, et elle a sa page.
Une évaluation avant toute sortie du Québec
Avant de communiquer des renseignements personnels hors Québec, il faut évaluer s’ils y bénéficieraient d’une protection adéquate, au regard notamment du cadre juridique de la destination. C’est une évaluation, pas une interdiction : conserver des données hors Québec n’est pas défendu, le faire sans avoir évalué l’est. Et l’obligation vous appartient, à vous qui recueillez, pas à votre fournisseur.
Un registre des incidents, et un avis quand le risque est sérieux
Tout incident de confidentialité se consigne dans un registre, quelle qu’en soit la gravité. La Commission demande que le registre porte la description de l’incident, sa date, le nombre de personnes visées, l’évaluation du risque, les dates des avis et les mesures prises, et qu’il soit conservé au moins cinq ans après la connaissance de l’incident. L’avis à la Commission et aux personnes visées, lui, est dû seulement lorsque l’incident présente un risque de préjudice sérieux. Les orientations de la Commission décrivent les deux.
Des politiques de gouvernance, et le reste du calendrier
Depuis le 22 septembre 2023 s’ajoutent des politiques et pratiques de gouvernance (conservation, rôles du personnel, traitement des plaintes), la confidentialité par défaut pour un produit ou un service technologique, et l’anonymisation selon les meilleures pratiques lorsque vous choisissez de ne pas détruire. Depuis le 22 septembre 2024 s’ajoute le droit à la portabilité : remettre à une personne, sur demande, les renseignements qu’elle vous a fournis, dans un format technologique structuré et couramment utilisé.
Les sanctions, et les deux régimes qu’on confond
Il y en a deux, et ce ne sont pas la même chose. Une sanction administrative pécuniaire est imposée par une personne désignée par la Commission, à la suite d’un manquement qu’elle a examiné, sans passer devant un tribunal. Une amende pénale est imposée par un tribunal, sur une poursuite intentée par la Commission. On cite souvent les deux comme un seul chiffre, généralement le plus gros des quatre.
| Sanction administrative | Jusqu’à 10 000 000 $, ou 2 % du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé. 50 000 $ pour une personne physique. Imposée par une personne désignée par la Commission, pas par un tribunal. Article 90.12. |
|---|---|
| Amende pénale | De 15 000 $ à 25 000 000 $, ou 4 % du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé. De 5 000 $ à 100 000 $ pour une personne physique. Doublée en cas de récidive. Articles 91 et 92.1. |
À lire comme des plafonds et non comme un tarif. Pour fixer une amende pénale, le juge tient compte de la nature, de la gravité, du caractère répétitif et de la durée de l’infraction, de la sensibilité des renseignements en cause, du fait que l’entreprise ait agi intentionnellement ou par négligence, et du fait qu’elle ait pris ou non des mesures raisonnables pour l’empêcher (article 92.3). Les mêmes faits, le même jour, ne peuvent pas donner lieu à la fois à une sanction administrative et à un constat d’infraction fondé sur la même disposition (article 90.11). La sanction administrative se prescrit par deux ans à compter du manquement, la poursuite pénale par cinq ans à compter de l’infraction.
Les sanctions applicables aux entreprises, selon la Commission
Ce que ça veut dire pour un système téléphonique
Les obligations ne s’assouplissent pas parce que le canal est sonore. Une ligne d’affaires détient les numéros des appelants, les enregistrements s’ils sont activés, l’audio des messages vocaux et leur transcription, les journaux d’appels, les fiches de contact constituées à partir du trafic, et les adresses IP des sessions du softphone. Tout cela constitue des renseignements personnels dès qu’on peut les associer à une personne. La transcription mérite d’être signalée : c’est un nouveau document dérivé de l’enregistrement, et il se conserve séparément.
L’enregistrement et le consentement
Un message annonçant que l’appel « pourrait être enregistré » satisfait à l’information et ne constitue pas automatiquement un consentement valide. L’écart entre annoncer et obtenir est l’endroit où se situent la plupart des systèmes téléphoniques. Et « contrôle de la qualité », « formation » et « preuve en cas de litige » sont trois fins, pas une : le consentement obtenu pour la première ne couvre pas les deux autres.
Le registre des incidents
Pour une ligne téléphonique, la liste réaliste est plus banale qu’une fuite spectaculaire : une boîte vocale encore accessible à une personne partie, un enregistrement envoyé à la mauvaise adresse, un journal d’appels exporté puis laissé dans un espace partagé, un softphone resté connecté sur un portable rendu, quelqu’un qui réécoute des enregistrements sans raison de le faire. Ce dernier cas compte : l’utilisation non autorisée est un incident même si rien n’est sorti de l’entreprise et qu’aucun attaquant n’est en cause.
Où vivent les données d’appel
C’est l’obligation dont on parle le moins et celle qui rattrape presque tous les systèmes téléphoniques infonuagiques, parce que presque aucun ne conserve les données québécoises au Québec. Dans notre propre revue de huit fournisseurs concurrents, faite le 19 août 2026, aucun des huit ne nommait la Loi 25 où que ce soit sur son site. Une bonne réponse à « où mes données sont-elles stockées ? » nomme une région. Une mauvaise dit « l’infonuagique ».
La conservation
La conservation est une limite de finalité, pas un réglage de stockage. Un enregistrement gardé indéfiniment a survécu à la fin de contrôle de la qualité pour laquelle il a été recueilli, et c’est votre propre avis qu’un plaignant citera. La réponse à incident la moins coûteuse consiste à ne pas détenir l’enregistrement du tout : une suppression planifiée réduit la surface de façon permanente, et c’est une décision de configuration, pas un projet.
Demandes d’accès, de rectification et de portabilité
Un appelant peut demander ce que vous détenez à son sujet, en demander la rectification et, depuis le 22 septembre 2024, obtenir les renseignements informatisés qu’il vous a fournis dans un format structuré et couramment utilisé. Pour une ligne téléphonique, cela veut dire pouvoir retrouver chaque enregistrement, message vocal et transcription à partir du numéro de l’appelant, dire ce qui a déjà été supprimé, et répondre par écrit à l’adresse que nomme votre formulaire de consentement.
L’avis à la Commission et aux personnes visées
Le registre couvre tous les incidents. L’avis est une obligation distincte, due lorsque l’incident présente un risque de préjudice sérieux, apprécié selon la sensibilité des renseignements, l’usage qu’on pourrait en faire et la probabilité du préjudice. Un enregistrement pèse lourd : il porte une voix, et souvent quelque chose que l’appelant a dit sans y penser. La Commission publie le formulaire de déclaration (PDF), pour que vous voyiez ce qu’il y aurait à remplir avant d’y être tenu.
L’avis de consentement, étape par étape
L’ordre dans lequel une entreprise s’y prend, de la décision d’enregistrer jusqu’au jour où l’enregistrement est supprimé. Six étapes, et aucune n’est un projet.
Décidez si vous enregistrez, et à quelles fins
Enregistrer est un choix, pas un réglage par défaut : la loi demande le plus haut niveau de confidentialité par défaut sur un service technologique. Si vous enregistrez, nommez chaque fin avant d’écrire quoi que ce soit. Vérifier la qualité du service, former le personnel et conserver une preuve de ce qui a été convenu sont trois fins, et le consentement se demande pour chacune.
Rédigez un avis qui confirme et nomme une fin
Dites que l’appel est enregistré, pas qu’il pourrait l’être, et dites pourquoi. Une phrase fait les deux : « Cet appel est enregistré afin de vérifier la qualité de notre service. » Rédigez-la d’abord en français ; la version anglaise vit dans la branche anglaise de votre menu, pas devant la française.
Diffusez-le après l’accueil, avant le menu, seulement là où vous enregistrez
L’appelant doit l’entendre avant de commencer à vous donner des renseignements, donc il se place entre l’accueil et le premier choix. Si seuls certains parcours sont enregistrés, l’avis va sur ces parcours et pas sur chaque appel : annoncer un enregistrement qui n’a pas lieu est tout simplement inexact.
Là où l’avis ne suffit pas, obtenez le consentement et gardez-en la trace
Un avis informe l’appelant ; à lui seul, il ne vaut pas consentement. Sur un appel entrant de service, l’avis plus une vraie possibilité de raccrocher est habituellement défendable. Il ne couvre pas un appel que vous avez placé, ni une deuxième fin. Pour ceux-là, un formulaire écrit qui coche les fins une à une est la trace que vous gardez.
Inscrivez l’enregistrement, ses fins et sa durée de conservation dans votre politique
La politique publiée dit ce que vous recueillez, pourquoi, et pour combien de temps. Pour une ligne enregistrée, cela veut dire l’enregistrement lui-même, les fins nommées dans l’avis, qui peut l’écouter, où il est conservé, et combien de temps avant sa suppression. C’est la page qu’on vous citera si elle décrit autre chose que ce que vous faites.
Fixez une durée de conservation et une suppression planifiée
La loi ne fixe aucune durée : une fois la fin nommée atteinte, l’enregistrement est détruit ou anonymisé. Une durée fixée une fois, avec une tâche qui supprime ce qui l’a dépassée, est la réponse à incident la moins coûteuse qui soit, parce qu’un enregistrement que vous ne détenez plus ne peut pas être envoyé à la mauvaise personne.
Où en est Ringfully
Nos données sont chez AWS dans us-east-1 : Virginie du Nord, aux États-Unis. Pas une région canadienne. Si vous êtes une entreprise québécoise, nous communiquer des renseignements personnels constitue une communication hors Québec, et la loi vous demande de l’évaluer avant de commencer. Nous préférons écrire cette phrase plutôt que vous la laisser découvrir dans un tableau de sous-traitants.
L’enregistrement est désactivé par défaut : une organisation qui ne l’a pas configuré n’enregistre pas. Quand il est activé, la règle appartient à l’entreprise et non à chaque personne, et réécouter un enregistrement est une permission distincte de celle d’en faire un. La conservation se règle plutôt que de rester ouverte : un administrateur fixe une durée par catégorie de données, une tâche nocturne supprime ce qui l’a dépassée sans archive derrière, et une organisation qui ne fixe rien suit 30 jours pour les enregistrements et 90 pour les messages vocaux.
Notre liste de sous-traitants est publiée intégralement, sans formulaire et sans connexion, et elle nomme chaque partie et ce qu’elle reçoit : c’est la moitié du travail de votre évaluation, faite à l’avance. Ce que nous détenons, qui peut y accéder et ce qui nous manque encore est énuméré sur sécurité.
Ce que nous ne pouvons pas faire à votre place
Nous ne déterminons pas vos fins, et aucun système téléphonique ne le peut. Nous ne pouvons pas non plus tenir votre registre : les incidents qu’il consigne sont les vôtres, et il vous suit même le jour où vous changez de fournisseur. Et nous ne pouvons pas vous dire que la communication hors Québec est acceptable ; ce jugement vous appartient, et tout fournisseur qui le porte à votre place vous renseigne sur le sérieux avec lequel il a lu la loi.
Nous ne nommons pas encore de responsable de la protection des renseignements personnels, parce que l’entité exploitante n’est pas encore constituée. C’est une lacune et non une caractéristique, et chaque page juridique du site le dit sur sa face tant que ce n’est pas réglé. Nous préférons qu’elle soit visible plutôt que sous-entendue.
Questions
Qu’est-ce que la Loi 25 ?
La Loi 25 est la loi québécoise qui a modernisé les règles sur les renseignements personnels. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, qui est le texte qui lie une entreprise aujourd’hui. Elle a été sanctionnée le 22 septembre 2021 et s’est appliquée par étapes à partir de 2022.
La Loi 25 s’applique-t-elle à une petite entreprise ?
Oui. Il n’y a pas de seuil d’effectif. Toute personne qui exploite une entreprise au Québec et qui recueille, détient, utilise ou communique des renseignements personnels est visée, alors une clinique de trois personnes l’est au même titre qu’une chaîne. Le seuil de 25 employés dont on entend parler appartient à la Charte de la langue française, pas à celle-ci.
Quelles sont les sanctions prévues par la Loi 25 ?
Deux régimes distincts. Une sanction administrative pécuniaire pouvant atteindre 10 000 000 $, ou 2 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevé. Une amende pénale de 15 000 $ à 25 000 000 $, ou 4 % du chiffre d’affaires mondial si ce montant est plus élevé, doublée en cas de récidive. Ce sont des maximums pour une entreprise, pas l’issue habituelle.
Depuis quand la Loi 25 est-elle en vigueur ?
En trois étapes. Le 22 septembre 2022 pour le responsable et les obligations liées aux incidents de confidentialité, le 22 septembre 2023 pour le consentement, la politique de confidentialité, la gouvernance et l’évaluation avant toute sortie du Québec, et le 22 septembre 2024 pour le droit à la portabilité. Tout s’applique maintenant.
La Loi 25 vise-t-elle les appels enregistrés ?
Oui. Un enregistrement, un message vocal et sa transcription, un journal d’appels et le numéro d’un appelant sont des renseignements personnels dès qu’on peut les associer à une personne, et rien ne s’assouplit parce que le canal est sonore. Un message annonçant que l’appel pourrait être enregistré informe l’appelant ; à lui seul, il ne vaut pas consentement.
Une entreprise québécoise peut-elle conserver ses données d’appel hors Québec ?
Oui, après une évaluation. L’article 17 exige une évaluation des facteurs relatifs à la vie privée avant de communiquer un renseignement personnel à l’extérieur du Québec, et une entente écrite qui tient compte de ses résultats. Ce n’est pas une interdiction : c’est communiquer sans avoir évalué qui constitue le manquement. L’obligation appartient à l’entreprise qui recueille, pas à son fournisseur.
Que doit dire l’avis d’enregistrement ?
Que l’appel est enregistré, et à quelle fin. « Cet appel est enregistré afin de vérifier la qualité de notre service » fait les deux en une phrase. « Cet appel pourrait être enregistré » ne fait ni l’un ni l’autre : il ne confirme pas l’enregistrement et ne nomme aucune fin. Diffusé en anglais d’abord sur une ligne québécoise, il met aussi la mauvaise langue devant.
Un appelant peut-il demander une copie de son enregistrement ?
Oui. L’enregistrement est un renseignement personnel qui le concerne, et la loi lui donne accès à ce que vous détenez et le droit de le faire rectifier, auxquels s’ajoute depuis le 22 septembre 2024 le droit à la portabilité des renseignements informatisés qu’il vous a fournis. En pratique, il faut pouvoir retrouver chaque enregistrement à partir du numéro de l’appelant, et savoir lesquels ont déjà été supprimés.
Prenez les données
Les obligations en fichier
Les 9 obligations, dans leur ordre d’entrée en vigueur, avec les 5 qui touchent une ligne téléphonique signalées et chaque ligne citant la page de la Commission d’où elle vient. Le français et l’anglais dans le même fichier. Si vous écrivez sur la loi 25, voici la liste sans le texte autour.
Sources ouvertes et confirmées le 2026-09-06.
Réutilisez ce jeu de données partout, y compris à des fins commerciales, en créditant Ringfully et en liant vers cette page. CC BY 4.0.
Pour aller plus loin
Loi 25 : cinq obligations pour votre téléphonie
Le consentement à l’enregistrement d’appel
L’avis d’enregistrement : quoi dire
Registre des incidents et avis à la Commission
Où sont hébergées vos données d’appel
Servir le Québec de l’extérieur : Lois 96 et 25
Description de ce que la loi demande ; ceci ne constitue pas un avis juridique. Les obligations dépendent de ce que votre entreprise recueille et pourquoi. Validez votre situation auprès d’un conseiller qualifié au Québec.