Informatique et cybersécurité — Obligations · Preuves · Questionnaires
Loi 25 pour les petites entreprises : ce que vous devez avoir fait, et comment le prouver
Un client vous envoie un questionnaire de sécurité ?La Loi 25 vise toute entreprise qui détient des renseignements personnels, la petite comme la grande. On met en place avec vous ce qu'elle demande, on rassemble les preuves et on vous aide à répondre aux questionnaires de sécurité. Ce n'est pas un avis juridique. Pour les PME de la Montérégie, de la Rive-Sud, de Montréal et de partout au Québec.
- Responsable désigné
- Registre des incidents
- Politique de confidentialité
- Inventaire des renseignements
- Questionnaires de sécurité
Loi 25 et questionnaires de sécurité
- Pour qui
- PME qui détiennent des renseignements personnels
- Format
- Mandat court, à livrable fixe, puis revue annuelle
- Vous gardez
- Les documents, le registre et le dossier de preuves
- Qui le fait
- Novi Intelligence ; votre conseiller juridique valide
- Prix
- Sur devis
Un accompagnement Loi 25 pour petite entreprise est un mandat court qui met en place ce que la loi demande à toute entreprise détenant des renseignements personnels, rassemble les preuves de ce qui est fait et laisse la validation juridique à votre conseiller.
Ce que la loi demande : un responsable désigné, des politiques écrites, un registre des incidents, une évaluation avant certains projets.
Ce que vous recevez : ces documents rédigés pour votre entreprise, l'inventaire de vos renseignements, la liste des écarts et un plan.
Les questionnaires de sécurité : on vous aide à répondre à celui d'un gros client, preuves à l'appui.
Pas un avis juridique : on met en place et on documente. Votre conseiller juridique valide ce qui relève du droit.
La loi
Ce que la Loi 25 demande à une petite entreprise, en mots simples
Voici les principales exigences de la Loi 25 pour une entreprise privée, d'après la Commission d'accès à l'information. La dernière colonne est notre conseil : ce qu'il faut pouvoir montrer.
| Obligation | Ce que ça veut dire | La preuve à garder |
|---|---|---|
| Un responsable de la protection des renseignements personnels | Par défaut, la personne qui a la plus haute autorité. Elle peut déléguer la fonction par écrit. Le titre et les coordonnées du responsable sont publiés sur votre site web ou, si vous n'en avez pas, rendus accessibles par un autre moyen approprié. | La délégation écrite et la mention publiée. |
| Des politiques et des pratiques de gouvernance | Des règles sur la conservation et la destruction, les rôles du personnel et le traitement des plaintes, proportionnelles à vos activités. | Les politiques, datées et approuvées par le responsable. |
| Une politique de confidentialité | Obligatoire dès que vous recueillez des renseignements personnels par un moyen technologique, comme un site web. | La politique publiée et sa date de mise à jour. |
| Un registre des incidents de confidentialité | Tous les incidents y sont inscrits, même ceux dont le risque n'est pas sérieux. Chaque inscription se conserve pendant la durée prévue par règlement, et le registre se remet à la Commission sur demande. | Le registre, tenu à jour. |
| Une évaluation des facteurs relatifs à la vie privée | À faire avant d'acquérir ou de refondre un système qui traite des renseignements personnels, et avant d'en communiquer hors du Québec. | L'évaluation écrite, proportionnée au projet. |
Résumé d'information générale, et non un avis juridique : la loi contient d'autres règles, notamment sur le consentement. Pages consultées le 13 octobre 2026.
Pour qui
À qui s'adresse l'accompagnement Loi 25
Aux petites entreprises qui détiennent des renseignements sur des clients, des employés ou des candidats.
Le propriétaire qui ne sait pas où il en est
Vous avez entendu parler de la Loi 25, peut-être nommé un responsable, puis le quotidien a repris. Vous voulez savoir ce qui est fait et ce qui manque.
L'entreprise qui reçoit un questionnaire de sécurité
Un donneur d'ordres veut des réponses écrites sur vos sauvegardes, vos accès et la formation de vos employés avant de signer. Il faut répondre juste, avec des preuves.
L'entreprise qui détient des renseignements sensibles
Un cabinet comptable, une clinique, un gestionnaire d'immeubles : vos dossiers en disent long sur des personnes. Plus les renseignements sont sensibles, plus les mesures attendues sont sérieuses.
Ce qui est livré
Ce que vous avez en main à la fin du mandat
Six livrables, écrits en français clair. L'aide pour un questionnaire de sécurité s'y ajoute au besoin.
Le responsable, désigné et publié
On clarifie qui porte la fonction, on rédige la délégation écrite s'il y a lieu et on prépare la mention à publier.
L'inventaire des renseignements détenus
Quels renseignements personnels vous détenez, où ils se trouvent, qui y a accès et combien de temps vous les gardez.
Les politiques écrites
La politique de confidentialité à publier, puis vos règles internes : conservation et destruction, rôles du personnel, traitement des plaintes.
Le registre des incidents
Un registre prêt à servir, et une marche à suivre d'une page : qui prévenir, quoi noter, comment évaluer le risque.
L'évaluation avant un nouvel outil
Une démarche simple pour l'évaluation des facteurs relatifs à la vie privée, à reprendre à chaque nouveau logiciel qui traite des renseignements personnels.
La liste des écarts et le plan
Ce qui manque, par ordre d'importance, avec qui fait quoi pour le corriger, et ce qui attend un avis juridique.
Tout vous appartient : les documents, le registre et le dossier de preuves restent chez vous.
Le questionnaire
Répondre au questionnaire de sécurité d'un gros client
Avant de signer ou de renouveler un contrat, un donneur d'ordres peut vous envoyer un questionnaire : vos sauvegardes, vos accès, la formation de vos employés, votre plan en cas d'incident. La tentation est de cocher « oui » partout.
On fait l'inverse. Chaque question est traduite en mots simples, puis on répond à partir de ce qui est réellement en place, preuve à l'appui. S'il manque une mesure, la cybersécurité pour PME et la formation des employés la mettent en place.
Les preuves qu'on rassemble
- La double vérification à la connexion.
- Les sauvegardes et le dernier essai de restauration.
- Les attestations de formation de vos employés.
- Vos politiques, avec leur date.
- Le registre des incidents.
Les étapes
Comment se déroule l'accompagnement
Un mandat court, à livrable fixe. On vous donne sa durée par écrit, avec le devis.
Appel gratuit
Le premier appel
On parle de ce que vous détenez et de ce qui presse : une question sur la loi, un questionnaire à remettre. Vous recevez un devis.
L'état des lieux
L'inventaire et les écarts
On dresse l'inventaire avec la personne qui connaît le mieux vos dossiers, puis on le compare à ce que la loi demande.
La rédaction
Les documents et le registre
On rédige la désignation du responsable, les politiques et le registre. Vous les relisez : ce sont vos règles, pas les nôtres.
La validation
La validation par votre conseiller juridique
Ce qui relève du droit lui est soumis. On lui remet un dossier ordonné et on apporte les corrections qu'il demande.
La remise
Le dossier de preuves, puis la revue annuelle
On vous remet le tout, avec la liste des écarts et le plan. Une fois l'an, on revoit le dossier avec vous.
La vue complète
Trois chantiers : l'entreprise, l'IA, le site web
Les renseignements personnels passent par trois endroits. Cette page couvre le premier.
L'entreprise
Le responsable, les politiques, le registre, l'inventaire. C'est l'objet de cet accompagnement.
L'intelligence artificielle
Quels outils d'IA vos employés utilisent, et ce qu'ils y entrent : c'est la politique d'utilisation de l'IA. À lire aussi : IA et Loi 25.
Le site web
La politique de confidentialité publiée, les formulaires, les témoins de connexion. L'inventaire relève ce qui manque ; les corrections au site se planifient à part.
Le prix
Ce qui fait varier le prix, et ce qui est toujours inclus
Un mandat à livrable fixe, suivi d'une revue annuelle. Le prix est établi après le premier appel. Les honoraires de votre conseiller juridique n'en font pas partie.
Ce qui fait varier le prix
- Le nombre d'employés et d'emplacements.
- La quantité et la sensibilité des renseignements détenus.
- Ce qui existe déjà : responsable désigné, politiques, registre.
- Un questionnaire de sécurité à remplir, et sa longueur.
Ce qui est toujours inclus
- Le premier appel, gratuit.
- L'inventaire des renseignements détenus.
- Les documents rédigés pour votre entreprise.
- Le registre des incidents et sa marche à suivre.
- La liste des écarts et le plan pour les corriger.
La limite honnête
Où s'arrête notre travail, et quand ce n'est pas le bon choix
Ceci n'est pas un avis juridique. Notre équipe met en place, documente et rassemble les preuves. Elle ne tranche aucune question de droit et ne remet aucun sceau.
Ce n'est pas un avis juridique
Interpréter la loi pour votre situation, rédiger une clause de contrat, décider s'il faut aviser la Commission : ces questions vont à votre conseiller juridique.
Aucun sceau, aucune approbation
On ne remet aucun document disant que votre entreprise est « conforme ». Aucun organisme n'approuve ce service, et aucun mandat n'empêche à lui seul un incident.
Deux cas où ce n'est pas le bon choix
En pleine crise (plainte, enquête, incident grave), commencez par un avocat. Et si un cabinet tient déjà vos politiques et votre registre, notre travail ferait double emploi.
Après le mandat, le registre se tient à jour chez vous, incident par incident.
Région desservie
Montérégie, Rive-Sud, Montréal et partout au Québec
L'inventaire et la rédaction se font très bien à distance, par appels et documents partagés. Une rencontre sur place aide parfois à voir où les dossiers se trouvent : on se déplace en Montérégie, sur la Rive-Sud et à Montréal.
- Nos bureaux
- Sorel-TracySaint-HyacintheTerrebonne
- Notre région
- MontérégieRive-SudMontréal
- À distance
- Partout au Québec
Pour aller plus loin
Services liés
Politique d'utilisation de l'IA
Un cadre écrit pour l'usage de l'IA au travail : l'inventaire des outils, une politique courte, un registre tenu à jour et la formation des employés, avec attestation.
Voir le serviceInformatique et cybersécuritéFormation cybersécurité des employés
Une formation qui donne aux employés les réflexes de sécurité de tous les jours, y compris avec ChatGPT et les assistants IA, suivie d'un test final et d'une attestation datée par employé.
Voir le serviceInformatique et cybersécuritéBilan de sécurité PME
Un audit de cybersécurité à la mesure d'une PME : la revue des protections de base, un rapport en français clair, des priorités et un plan d'action, expliqués par un humain.
Voir le serviceInformatique et cybersécuritéCybersécurité pour PME
Les protections qui réduisent le risque de piratage et de fraude par courriel dans une PME, et une équipe qui intervient si une attaque survient : postes, courriel, mots de passe, sauvegardes.
Voir le serviceQuestions fréquentes
Loi 25 et questionnaires de sécurité : vos questions.
La Loi 25 s'applique-t-elle à une entreprise de cinq employés ?
Oui, si elle détient des renseignements personnels, ce qui est le cas de presque toutes : dossiers de clients, d'employés, de candidats. Selon la Commission d'accès à l'information, la définition d'une entreprise s'étend même au travailleur autonome. Les politiques exigées doivent toutefois être proportionnelles à vos activités.
Que dois-je avoir mis en place ?
Cinq choses, pour l'essentiel : un responsable de la protection des renseignements personnels, dont le titre et les coordonnées sont publiés ; des politiques de gouvernance ; une politique de confidentialité, si vous recueillez des renseignements par un moyen technologique ; un registre des incidents ; une évaluation des facteurs relatifs à la vie privée avant certains projets. C'est un résumé, pas un avis juridique.
Qui doit être le responsable de la protection des renseignements personnels ?
Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise : le propriétaire ou le dirigeant. Elle peut déléguer la fonction par écrit à une personne en mesure de l'assumer, mais elle en demeure imputable. Le titre et les coordonnées du responsable doivent être publiés sur le site web de l'entreprise ou, si elle n'en a pas, rendus accessibles par un autre moyen approprié.
Que faire en cas d'incident de confidentialité ?
La loi demande de prendre des mesures raisonnables pour diminuer le risque de préjudice, puis d'évaluer, avec votre responsable, si ce risque est sérieux. Si oui, il faut aviser la Commission d'accès à l'information et les personnes concernées. Dans tous les cas, l'incident s'inscrit au registre. La décision d'aviser vous appartient, avec votre conseiller juridique.
Pouvez-vous m'aider à répondre au questionnaire de sécurité d'un gros client ?
Oui. On lit le questionnaire avec vous et on rédige les réponses à partir de ce qui est réellement en place, preuves à l'appui. Quand une mesure manque, la réponse le dit. Si vous ne savez pas ce qui est en place chez vous, commencez par un bilan de sécurité.
Est-ce un avis juridique ?
Non. Notre équipe n'est pas un cabinet d'avocats. Elle met en place ce que la loi demande, rédige les documents et rassemble les preuves. Ce qui relève du droit doit être validé par votre conseiller juridique. On ne déclare aucune entreprise « conforme », et aucun organisme n'approuve ce service.
Combien coûte un accompagnement Loi 25 pour une PME ?
L'accompagnement est sur devis. Le prix dépend surtout du nombre d'employés, de la sensibilité des renseignements détenus, de ce qui existe déjà et de la présence d'un questionnaire à remplir. Sont toujours inclus : l'inventaire, les documents, le registre des incidents, la liste des écarts et le plan. Les honoraires de votre conseiller juridique sont à part.
Savoir ce qui est fait, et pouvoir le montrer.
Consultation gratuite : on regarde ce que vous détenez, ce qui est déjà en place et ce qu'on vous demande de prouver.
À lire ensuite
Sources
- Commission d'accès à l'information du Québec, « Principaux changements aux lois sur la protection des renseignements personnels » (consulté le 13 octobre 2026)
- Commission d'accès à l'information du Québec, « Champ d'application de la Loi » (consulté le 13 octobre 2026)
- Commission d'accès à l'information du Québec, « Responsabilité des entreprises » : responsable, politiques de gouvernance, évaluation des facteurs relatifs à la vie privée (consulté le 13 octobre 2026)
- Commission d'accès à l'information du Québec, « Collecte de renseignements personnels » : politique de confidentialité (consulté le 13 octobre 2026)
- Commission d'accès à l'information du Québec, « Incidents de confidentialité et mesures de sécurité » (consulté le 13 octobre 2026)
Mis à jour le