Quebec's Law 25: What Your Small Business Actually Needs to Do
If you own a business in Quebec, Law 25 is not optional. It applies to you even if you are a one-person company, even if you never heard of it. The good news: it is far less terrifying than the rumors make it sound. Here is what you actually need to know, in plain language.
What Law 25 is
Law 25 (formerly Bill 64) modernized Quebec's privacy legislation. It gives individuals rights over their personal information and imposes duties on the businesses that hold it. Enforcement power sits with the Commission d'accès à l'information (CAI). Fines for a business can run up to $10 million or 2% of global turnover, whichever is higher, although enforcement so far has focused on education first.
Your core obligations
- Name a privacy officer. Even if that person is you. It must be a titled position, publicly identified, and reachable. This is mandatory regardless of company size.
- Respond to requests. People can ask what information you hold about them and ask for corrections or deletion. You must respond within 30 days.
- Report incidents. If you suffer a confidentiality incident involving personal information that presents a risk of serious injury, you must document it internally and notify affected people and the CAI.
- Privacy impact assessments. Required before acquiring or deploying technology that involves personal information, such as new software or marketing tools.
- Consent and transparency. You need informed consent to collect personal info, and clear privacy statements saying what you collect and why.
The parts that trip people up
The traps: (1) Thinking "I am too small to count." You are not. (2) Waiting for clients to ask for their data instead of preparing your process now. (3) Having your marketing tools, email lists, CRM, website forms, collect data with no privacy notice anywhere. And most common of all: (4) no designated privacy officer at all.
Practical steps, in order
- Write down everywhere your business touches personal information: email inbox, contact forms, invoicing, ad platforms
- Put your privacy officer appointment in writing (a sentence and a signature will do for a micro-business)
- Draft a simple privacy policy and publish it on your website
- Create a one-page process for handling access requests: receive, log, respond within 30 days
- Set up basic protection: strong unique passwords, a password manager, two-factor authentication
- Restrict employee access to only the data they need
Where we come in: part of our audit covers exactly this ground: what your website collects, what leaks to third parties, what trackers load, and what a compliance-ready privacy page should say. We help you get defensible before anyone ever asks.
Get compliant, sleep better
We help Quebec small businesses untangle their privacy obligations and make their websites Law 25 ready. Plain language, no lawyer bills. Talk to us →
La Loi 25 du Québec : ce que votre PME doit vraiment faire
Si vous êtes propriétaire d'une entreprise au Québec, la Loi 25 n'est pas optionnelle. Elle s'applique à vous, même si votre entreprise compte une seule personne, même si vous n'en avez jamais entendu parler. Bonne nouvelle : elle est bien moins terrifiante que ce que la rumeur laissait entendre. Voici ce qu'il faut vraiment savoir, en langage clair.
Ce qu'est la Loi 25
La Loi 25 (ancien projet de loi 64) a modernisé la législation québécoise sur la vie privée. Elle donne aux personnes des droits sur leurs renseignements personnels et impose des obligations aux entreprises qui les détiennent. Le pouvoir d'application appartient à la Commission d'accès à l'information (CAI). Les amendes pour une entreprise peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, le montant le plus élevé prévalant, mais jusqu'ici, l'approche a privilégié l'éducation d'abord.
Vos obligations de base
- Nommez un responsable de la protection des renseignements personnels. Même si cette personne, c'est vous. Il doit s'agir d'un poste titré, identifié publiquement et joignable. C'est obligatoire, peu importe la taille de l'entreprise.
- Répondez aux demandes. Les gens peuvent demander quels renseignements vous détenez à leur sujet et demander des corrections ou une suppression. Vous devez répondre dans les 30 jours.
- Signalez les incidents. Si vous subissez un incident de confidentialité impliquant des renseignements personnels présentant un risque de préjudice grave, vous devez le documenter à l'interne et aviser les personnes touchées et la CAI.
- Analyses d'impact sur la vie privée. Obligatoires avant d'acquérir ou de déployer des technologies impliquant des renseignements personnels, comme de nouveaux logiciels ou outils marketing.
- Consentement et transparence. Vous devez obtenir un consentement éclairé pour recueillir des renseignements personnels, et publier des énoncés clairs indiquant ce que vous recueillez et pourquoi.
Ce qui fait trébucher les gens
Les pièges : (1) croire « je suis trop petit pour que ça compte ». Faux. (2) Attendre que les clients demandent leurs données au lieu de préparer le processus maintenant. (3) Laisser ses outils marketing, listes de courriels, bases clients et formulaires web recueillir des données sans aucun avis de confidentialité. Et le plus courant : (4) aucun responsable de la vie privée nommé.
Des étapes concrètes, dans l'ordre
- Notez tous les endroits où votre entreprise touche à des renseignements personnels : boîte de réception, formulaires de contact, facturation, plateformes publicitaires
- Mettez la nomination de votre responsable par écrit (une phrase et une signature suffisent pour une micro-entreprise)
- Rédigez une politique de confidentialité simple et publiez-la sur votre site
- Créez un processus d'une page pour traiter les demandes d'accès : recevoir, consigner, répondre dans les 30 jours
- Mettez en place la protection de base : mots de passe forts et uniques, gestionnaire de mots de passe, authentification à deux facteurs
- Limitez l'accès des employés aux seules données dont ils ont besoin
Où nous intervenons : une partie de notre audit couvre exactement ce terrain : ce que votre site recueille, ce qui fuit vers des tiers, quels traceurs se chargent, et ce qu'une page de confidentialité conforme devrait dire. Nous vous aidons à être solide avant que quiconque ne pose la question.
Être conforme, dormir mieux
Nous aidons les PME québécoises à débroussailler leurs obligations de vie privée et à rendre leur site conforme à la Loi 25. En langage clair, sans factures d'avocat. Parlons-en →