La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) s'applique à toutes les entreprises du Québec, quelle que soit leur taille — y compris une entreprise d'installation de trois employés qui garde ses clients dans un fichier Excel. Voici, sans jargon, ce qu'elle demande et comment s'y conformer sans y passer ses soirées.
Ce qui compte comme « renseignement personnel » chez un installateur
Le nom, l'adresse, le téléphone et le courriel de vos clients. L'historique d'entretien d'un équipement rattaché à une adresse. Les photos d'un chantier où l'on voit l'intérieur d'une maison. Les signatures sur un bon de travail. Autrement dit : presque tout votre registre.
Les obligations, dans l'ordre où vous les rencontrerez
- Désigner un responsable de la protection des renseignements personnels. Par défaut, c'est le dirigeant. Son titre et ses coordonnées doivent être publiés (site web, ou à défaut communiqués sur demande).
- Publier une politique de confidentialité en termes simples : quelles données vous recueillez, pourquoi, combien de temps vous les gardez, à qui vous les confiez (vos logiciels), et comment un client exerce ses droits.
- Recueillir un consentement clair pour tout usage qui n'est pas évident. Facturer et entretenir un appareil est évident ; envoyer une infolettre ne l'est pas. Un consentement se documente : qui, quand, pour quoi.
- Répondre aux demandes des clients : accès à leurs données, rectification, retrait du consentement, et effacement (le « droit à l'oubli » quand les données ne sont plus nécessaires). Le délai de réponse est de 30 jours.
- Tenir un registre des incidents de confidentialité (fichier perdu, courriel envoyé au mauvais client, piratage) et, si le risque de préjudice est sérieux, aviser la Commission d'accès à l'information et les personnes concernées.
- Encadrer vos sous-traitants : le logiciel qui héberge vos clients doit garantir par contrat la protection des données. Demandez où elles sont hébergées et ce qui se passe si vous partez.
- Détruire ou anonymiser les données qui n'ont plus d'utilité. Un client parti depuis quinze ans n'a pas à rester dans votre fichier nominatif.
Les sanctions sont réelles — des pénalités administratives et des amendes pouvant atteindre des montants importants pour les manquements graves — mais l'esprit de la loi est raisonnable pour une PME : savoir ce qu'on garde, pourquoi, le dire clairement, et répondre quand un client le demande. Ceci n'est pas un avis juridique ; le site de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) publie des guides pour les PME.
Une conformité qui tient dans une après-midi
- Écrivez votre politique (une page suffit) et mettez-la sur votre site ou remettez-la avec votre soumission.
- Nommez le responsable (vous) dans cette politique.
- Notez les consentements marketing au moment où vous les obtenez — un champ « oui, le … » dans la fiche client suffit.
- Prévoyez comment vous sortirez les données d'un client s'il les demande, et comment vous les effacerez.
- Gardez une liste de vos logiciels et de ce qu'ils hébergent.
Byrsia intègre ces obligations : politique de confidentialité générée pour votre entreprise, registre des consentements, export des données d'un client en un clic, anonymisation ou suppression complète, et demandes des clients depuis leur portail — avec un ticket pour vous.
Voir comment Byrsia gère la Loi 25Publié le 2026-09-20 · Ce guide est informatif et général ; il ne remplace ni les documents des fabricants, ni un avis juridique ou comptable.