Renseignements personnels : ce que la loi 25 change pour ton entreprise au Québec

Regarde ton cellulaire. Il contient probablement des photos de l’intérieur de la maison de tes clients, leurs adresses, leurs numéros, parfois le code de leur porte de garage. Ajoute le classeur accordéon dans l’atelier, les soumissions dans ta boîte de courriels et les informations bancaires de tes employés. Sans jamais y avoir pensé, tu gères une quantité sérieuse de renseignements personnels.

Depuis la loi 25, ce n’est plus une question de bonne volonté. Le Québec impose des obligations de protection à toute entreprise qui exerce ses activités sur son territoire, sans seuil d’employés ni de chiffre d’affaires. Autrement dit, un travailleur autonome avec douze clients est visé au même titre qu’une firme de deux cents personnes. La différence tient seulement à l’ampleur de ce qu’on attend de lui.

La loi 25 ne fait pas de distinction de taille

Beaucoup d’entrepreneurs ont classé ce sujet dans la case « affaire de grosses compagnies ». C’est l’erreur de lecture la plus répandue. La loi vise l’entreprise, pas sa taille. Elle a été déployée par étapes depuis 2022, et ses obligations principales sont maintenant toutes en vigueur.

La Commission d’accès à l’information du Québec surveille l’application du régime. Les plafonds de sanctions annoncés font peur — ils se comptent en millions et en pourcentage du chiffre d’affaires mondial. Il s’agit toutefois de maximums prévus pour les manquements les plus graves, pas d’un tarif appliqué à la première négligence d’un entrepreneur de quatre employés. Le risque réel, pour une petite entreprise, ressemble plutôt à ceci : une plainte de client, une enquête, une obligation de corriger, et une histoire qui circule dans le voisinage.

Une chose distingue cette obligation de toutes les autres du métier : elle ne vient pas du bâtiment. Elle ne dépend ni de ta licence, ni de ton corps de métier, ni du type de chantier — elle s’applique parce que tu exploites une entreprise, point. Notre guide sur les cinq organismes à satisfaire pour devenir entrepreneur au Québec couvre les autorités propres à la construction; celle-ci s’ajoute au-dessus, comme pour n’importe quel commerce.

Les renseignements personnels que tu détiens déjà

Avant de parler d’obligations, fais l’inventaire. La plupart des entrepreneurs sous-estiment largement ce qu’ils accumulent.

Source	Ce que tu détiens sans y penser
Clients résidentiels	Nom, adresse, téléphone, courriel, photos d’intérieur, codes d’accès, horaires de présence à la maison
Facturation	Historique de paiement, chèques, coordonnées de facturation, parfois des renseignements de crédit
Employés	Numéro d’assurance sociale, compte bancaire, adresse, dossier de formation, informations médicales liées à un accident
Sous-traitants	Coordonnées personnelles, numéros de licence, attestations, ententes de paiement
Soumissions refusées	Dossiers complets de gens qui ne sont jamais devenus clients, souvent conservés indéfiniment

La dernière ligne mérite qu’on s’y arrête. Les soumissions non retenues représentent souvent le plus gros volume de renseignements personnels d’une petite entreprise, et personne ne les nettoie jamais. Or, conserver des données dont tu n’as plus besoin crée un risque sans aucune contrepartie.

Quatre obligations qui touchent une petite entreprise

Le régime est vaste, mais l’essentiel se ramène à quatre choses pour un entrepreneur de la construction ou des services.

D’abord, désigner un responsable. Chaque entreprise doit avoir une personne responsable de la protection des renseignements personnels. À défaut de désignation formelle, c’est la personne ayant la plus haute autorité qui porte le rôle — donc toi. Ses coordonnées doivent être accessibles.

Ensuite, être transparent à la collecte. Quand tu recueilles de l’information, la personne doit savoir pourquoi et à quoi ça servira. Une ligne claire au bas de ta soumission suffit dans la plupart des cas.

Puis, gérer les incidents. En cas d’incident de confidentialité présentant un risque de préjudice sérieux — un cellulaire perdu, une boîte courriel piratée, un classeur volé dans un camion — tu dois aviser la Commission et les personnes concernées. Un registre des incidents doit aussi être tenu.

Enfin, limiter la conservation. Ce que tu n’as plus besoin de garder doit être détruit ou anonymisé, en tenant compte des délais légaux et fiscaux qui t’obligent par ailleurs à conserver certaines pièces.

Cette dernière obligation est celle qui récompense le mieux une bonne organisation. Un entrepreneur dont les dossiers clients vivent dans un seul système sait exactement ce qu’il détient, sur qui, et depuis quand; celui dont l’information est éparpillée entre trois cellulaires, deux boîtes courriel et un classeur ne peut même pas répondre à la question. C’est précisément ce que SendWork centralise en gardant l’historique de chaque client au même endroit que ses soumissions et ses factures.

Mettre tes renseignements personnels en ordre sans devenir juriste

La bonne nouvelle : pour une entreprise de quelques personnes, la mise en conformité tient en une après-midi de travail et quelques habitudes. Valide toutefois ta situation particulière auprès de la Commission ou d’un conseiller juridique si tu manipules des données sensibles ou si tu utilises des outils qui hébergent l’information à l’extérieur du Québec.

• Nommer le responsable par écrit — même si c’est toi, la désignation et les coordonnées doivent exister.
• Faire l’inventaire de ce que tu détiens, où c’est stocké, et qui y a accès.
• Ajouter une mention à tes soumissions expliquant pourquoi tu recueilles ces informations et à quoi elles servent.
• Verrouiller les appareils qui contiennent des photos de chantier et des coordonnées de clients, puis limiter qui y a accès.
• Créer un registre des incidents, même vide — un simple fichier daté fait l’affaire au départ.
• Détruire les dossiers périmés une fois par année, en respectant tes obligations de conservation fiscales.

Notre lecture, après avoir regardé comment ces obligations atterrissent sur le terrain : le vrai levier n’est pas juridique, il est organisationnel. Un entrepreneur incapable de dire où vivent les coordonnées de ses clients ne peut ni les protéger, ni prouver qu’il les protège, ni les détruire quand il le faudrait. Ceux qui traversent ce dossier sans stress ne sont pas les plus versés en droit. Ce sont ceux dont l’information était déjà rassemblée à un seul endroit avant que la loi le demande.

Le geste à poser cette semaine est modeste mais réel. Ouvre ton cellulaire, regarde combien de photos de maisons de clients tu traînes depuis deux ans, et demande-toi lesquelles servent encore à quelque chose. La réponse te donnera une bonne idée du travail qui reste à faire.

Pour les obligations détaillées, les modèles et la déclaration d’incident, la référence reste la Commission d’accès à l’information du Québec. Voir aussi nos guides sur la protection du consommateur et le registre des entreprises, puis la rubrique Réglementation et licences — Canada francophone.