Boîte à outils · Gratuite

Liste de vérification de conformité Loi 25 pour votre entreprise

Les exigences technologiques et organisationnelles de la Loi 25, traduites en 31 gestes concrets. Cochez au fur et à mesure — votre progression est sauvegardée sur votre appareil, et seulement là : rien n'est transmis. C'est un peu le sujet.

0 % complété 0 / 31

Par où commencer — les 3 premiers gestes

Désignez votre responsable de la protection des renseignements personnels et publiez ses coordonnées (section 1).
Ouvrez le registre des incidents — un simple tableur suffit pour être conforme (section 3).
Faites l'inventaire des outils qui touchent des renseignements personnels, y compris ceux que votre équipe utilise sans vous le dire (section 5).

💾 Où va votre progression ? Nulle part — et c'est voulu. Vos coches sont enregistrées localement dans ce navigateur, sur cet appareil. Rien n'est envoyé à nos serveurs : aucun compte, aucun témoin, aucune collecte. Vous retrouverez votre liste de vérification telle quelle à votre prochaine visite; si vous changez d'appareil, de navigateur ou utilisez le mode privé, elle repart à zéro.

1. Gouvernance et responsable

— Le socle : sans responsable identifié, rien d'autre ne tient.

Responsable de la protection des renseignements personnels désigné Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. La fonction peut être déléguée — par écrit. Titre et coordonnées du responsable publiés sur votre site web C'est une exigence explicite de la loi, et la première chose vérifiable de l'extérieur. Politique de confidentialité publiée, en langage clair Quelles données vous collectez, pourquoi, combien de temps, avec qui elles sont partagées, et comment exercer ses droits. Politiques et pratiques internes de gouvernance documentées Le cycle de vie complet des renseignements : collecte → utilisation → conservation → destruction. Rôles et responsabilités de l'équipe. Personnel sensibilisé Une heure de formation par année suffit pour transformer votre équipe de risque n°1 en première ligne de défense.

💡 Recommandation ASGO

Créez une boîte courriel dédiée du type [email protected] (un simple alias vers le responsable suffit). Avantages : l'adresse publiée ne change pas quand la personne change, les demandes d'accès ne se perdent pas dans une boîte personnelle, et vous pouvez démontrer un traitement rigoureux en cas de plainte.

2. Consentement et collecte

— La règle d'or : minimiser, puis demander clairement.

Inventaire des renseignements personnels que vous détenez Quoi, sur qui, où, pourquoi. Impossible de protéger (ou de détruire) ce qu'on n'a pas répertorié. Consentement demandé par finalité, en termes simples Manifeste, libre, éclairé, et distinct pour chaque usage. Une nouvelle utilisation = un nouveau consentement. Formulaires réduits au minimum nécessaire Chaque champ de collecte doit se justifier par la finalité. Le superflu est un passif, pas un actif. Témoins et technologies de suivi désactivés par défaut Tout ce qui identifie, localise ou profile doit être inactif tant que la personne ne l'a pas activé elle-même. Renseignements sensibles : consentement explicite Santé, finances, biométrie : le consentement doit être exprès, pas déduit.

💡 Recommandation ASGO

Sur vos formulaires papier et web, ajoutez une phrase type sous la signature : « Les renseignements recueillis servent uniquement à [finalité]. Détails et droits : votredomaine.ca/confidentialite ». Une ligne, et le consentement devient démontrable.

3. Incidents de confidentialité

— Ce qui est sanctionné, c'est l'absence de réaction, pas l'incident.

Registre des incidents ouvert et tenu à jour Obligatoire même pour les incidents mineurs (courriel au mauvais destinataire, portable égaré). Colonnes : date, nature, renseignements visés, personnes touchées, mesures prises. Procédure d'évaluation du « risque de préjudice sérieux » définie Qui évalue, selon quels critères (sensibilité, usage malveillant possible, personnes visées), dans quel délai. Processus de notification prêt Si préjudice sérieux : aviser la Commission d'accès à l'information et les personnes concernées avec diligence. Préparez les gabarits d'avis à l'avance — pas pendant la crise. Chaîne de responsabilité claire en cas d'incident Qui détecte → qui déclare → qui décide → qui communique. Une page suffit, affichée quelque part où on la retrouvera.

4. Sécurité technologique

— Les « mesures de sécurité raisonnables » que la loi exige, en pratique.

Authentification multifacteur (MFA) sur les comptes critiques Courriel, comptabilité, stockage infonuagique, banque. La mesure au meilleur ratio effort/protection qui existe. Gestionnaire de mots de passe déployé Un mot de passe unique et fort par service. Fini le cahier et le « même mot de passe partout ». Chiffrement des données en transit et au repos Site en HTTPS, disques chiffrés (FileVault/BitLocker), y compris les portables et les copies de sauvegarde. Sauvegardes automatiques — et restauration testée Une sauvegarde jamais testée est une hypothèse, pas une protection. Testez la restauration une fois par année. Accès par rôle : chacun voit seulement ce dont il a besoin Et une procédure de départ : comptes désactivés le jour même quand quelqu'un quitte. Mises à jour appliquées régulièrement Systèmes, navigateurs, logiciels métier. Les mises à jour automatiques sont vos amies. Destruction sécuritaire en fin de vie Déchiquetage pour le papier, effacement sécurisé pour les disques et appareils remplacés. Le bac de recyclage n'est pas une procédure de destruction.

💡 Recommandation ASGO

Faites un test simple : cherchez le nom de votre entreprise + « mot de passe » dans les conversations internes (courriel, Teams, Messenger). Chaque résultat est un mot de passe à changer et un usage à corriger — c'est souvent l'audit le plus rentable de l'année.

5. Outils, fournisseurs et hors Québec

— Votre conformité s'arrête là où commence celle de vos fournisseurs… sauf que la responsabilité, elle, reste chez vous.

Inventaire des outils qui touchent des renseignements personnels Y compris le « shadow IT » : l'outil d'IA, le convertisseur PDF en ligne ou le formulaire gratuit que l'équipe utilise sans le dire. Localisation des données connue pour chaque outil Québec, Canada, États-Unis, ailleurs ? Si vous ne savez pas répondre pour un outil, c'est votre prochaine question à son fournisseur. ÉFVP réalisée avant toute communication hors Québec L'évaluation des facteurs relatifs à la vie privée est obligatoire avant de confier des renseignements à un système hébergé hors province — documentez-la, même brièvement. ÉFVP intégrée aux nouveaux projets technologiques Tout projet d'acquisition ou de refonte d'un système qui traite des renseignements personnels doit passer par une ÉFVP dès la conception. Ententes écrites avec les fournisseurs qui traitent vos données Confidentialité, usage limité au mandat, avis en cas d'incident, sort des données en fin de contrat. Outils d'IA évalués avant adoption Hébergement, entraînement des modèles, sous-traitants, rétention : posez les questions par écrit avant de coller le premier document confidentiel.

💡 Recommandation ASGO

Pour l'item ci-dessus, notre grille « 8 questions à poser à tout fournisseur d'IA » est gratuite : demandez-la ici — les réponses écrites du fournisseur deviennent votre première pièce d'ÉFVP.

6. Droits des personnes et conservation

— Les demandes arrivent rarement… jusqu'au jour où elles arrivent.

Procédure de réponse aux demandes d'accès et de rectification Délai légal : 30 jours. Qui reçoit, qui valide l'identité, qui rassemble, qui répond. Portabilité : capacité d'exporter dans un format structuré Le droit à la portabilité est en vigueur : toute personne peut exiger ses renseignements informatisés dans un format technologique structuré et couramment utilisé. Calendrier de conservation défini et appliqué Chaque catégorie de renseignements a une durée de vie; à l'échéance : destruction ou anonymisation. « On garde tout pour toujours » n'est plus une option. Processus de cessation d'usage (désindexation) prêt Une personne peut exiger la cessation de la diffusion de ses renseignements ou leur désindexation dans certaines circonstances.

Vous voulez aller plus loin ?

Nous offrons une formation d'une heure — « L'IA et la Loi 25 dans une pratique professionnelle » — en cabinet ou en visio, avec attestation de participation. Pour aller plus loin, notre service-conseil prend le relais — et si vos piles de résolutions corporatives vous pèsent, c'est exactement ce que RésoPro automatise, avec des données hébergées au Québec.

Découvrir la formation Découvrir RésoPro

Cet outil de sensibilisation résume les principales exigences de la Loi 25 en vigueur (contenu revu en août 2026); il ne constitue pas un avis juridique. Pour une évaluation adaptée à votre situation, consultez un professionnel du droit.