Depuis le 22 septembre 2024, l’ensemble des dispositions de la Loi 25 sont en vigueur au Québec. Beaucoup d’organisations ont abordé cette réforme comme un dossier juridique ou informatique : nommer un responsable, publier une politique, cocher les cases. Pourtant, au quotidien, la conformité se joue ailleurs — dans votre capacité à savoir quels renseignements personnels vous détenez, où ils se trouvent, qui y accède et quand ils doivent disparaître. Autrement dit, la Loi 25 est, dans les faits, un enjeu de gouvernance de l’information.
La conformité commence par une question simple : savez-vous ce que vous détenez ?
On ne protège pas ce qu’on ne voit pas. La Loi 25 encadre tout le cycle de vie du renseignement personnel — de la collecte à l’utilisation, à la communication, à la conservation, jusqu’à la destruction. Or, ce cycle de vie est précisément celui que la gestion documentaire structure depuis toujours.
Une organisation qui ignore où sont ses renseignements personnels — éparpillés dans des courriels, des disques partagés, des formulaires papier, des systèmes hérités — ne peut ni les protéger, ni répondre aux demandes d’accès, ni démontrer sa conformité. La première mesure utile n’est donc pas juridique : c’est un inventaire et une cartographie de l’information, soutenus par un plan de classification qui rend les renseignements sensibles repérables.
Traduire les obligations en gestes documentaires
La plupart des exigences de la Loi 25 se traduisent directement en pratiques de gouvernance documentaire.
Conserver le juste nécessaire — et détruire le reste. La Loi exige que les renseignements personnels soient détruits ou anonymisés une fois la finalité atteinte. Concrètement, cela suppose un calendrier de conservation à jour et des règles de destruction appliquées et documentées. Le « on garde tout, au cas où » n’est plus seulement du désordre : c’est désormais un risque de non-conformité.
Contrôler les accès. N’autoriser l’accès qu’aux personnes qui en ont besoin exige des règles d’accès claires et une traçabilité — qui a consulté quoi, et quand. Ce sont des mécanismes de gouvernance, pas seulement des paramètres techniques.
Documenter et pouvoir le prouver. Politique de gouvernance des renseignements personnels, registre des incidents de confidentialité, évaluation des facteurs relatifs à la vie privée (ÉFVP) avant un transfert hors Québec ou la refonte d’un système : la Loi 25 récompense l’organisation capable de montrer ses règles, leur application et leurs preuves. L’auditabilité est au cœur du dispositif.
Répondre aux droits des personnes. Droit d’accès, de rectification et, depuis septembre 2024, droit à la portabilité dans un format technologique structuré et couramment utilisé : impossible d’y répondre dans les délais si l’information n’est ni retrouvable ni bien structurée.
Le piège du « tout garder »
C’est sans doute le changement de posture le plus important. Pendant des années, conserver par défaut paraissait prudent. Sous la Loi 25, chaque renseignement personnel gardé au-delà de sa finalité devient une exposition : un risque d’incident, une donnée de plus à protéger, une cible potentielle. Une gouvernance solide ne consiste pas à tout garder, mais à conserver ce qui a une valeur — légale, d’affaires, opérationnelle — et à éliminer le reste de façon contrôlée. Moins de bruit, moins de risque, plus de fiabilité.
L’IA ajoute une couche d’urgence
L’adoption rapide des outils d’intelligence artificielle accentue l’enjeu. Alimenter un outil d’IA avec des renseignements personnels mal gouvernés, c’est multiplier les points d’exposition — et brouiller la traçabilité que la Loi 25 exige précisément. Là encore, la gouvernance de l’information est le préalable : une IA n’est fiable et conforme que si les données qu’elle consomme le sont.
Une conformité qui dure repose sur des fondations
La non-conformité peut coûter cher : les sanctions atteignent jusqu’à 25 M$ ou 4 % du chiffre d’affaires mondial. Mais l’enjeu réel n’est pas la crainte de l’amende — c’est de bâtir une organisation où la protection des renseignements personnels est intégrée aux pratiques courantes, et non ajoutée après coup. Cela ne se règle pas une fois pour toutes avec une politique publiée sur un site web : cela repose sur des fondations documentaires vivantes — classification, conservation, accès, traçabilité — qu’on entretient. C’est précisément là que se situe notre accompagnement. Si vous vous demandez où en est votre organisation, un diagnostic de la gestion de l’information offre un portrait objectif de vos pratiques et de vos écarts — le point de départ d’une conformité durable.
Source : Commission d’accès à l’information du Québec (cai.gouv.qc.ca).