Conformité Loi 25 avec Microsoft 365

Les trois vagues d'entrée en vigueur

La Loi 25 (officiellement "Loi modernisant des dispositions législatives en matière de protection des renseignements personnels", anciennement projet de loi 64) est entrée en vigueur en trois vagues : septembre 2022, septembre 2023, septembre 2024.

Vague 1 (sept. 2022) : désignation du responsable de la protection des renseignements personnels (RPRP), procédure de notification des incidents, encadrement de la biométrie. Vague 2 (sept. 2023, la plus dense) : politiques de confidentialité publiques, finalités précises, droit d'accès et de rectification, transferts hors-Québec (art. 17), décisions automatisées (art. 12.1, particulièrement pertinent avec Copilot), sanctions administratives jusqu'à 10 M$ ou 2 % du CA mondial, recours civils privés (art. 93.1). Vague 3 (sept. 2024) : droit à la portabilité des données.

En 2026, toute organisation québécoise privée ou publique qui collecte ou traite des renseignements personnels doit être conforme. Pourtant, selon les estimations de l'industrie, plus de 60 % des PME québécoises ne le sont toujours pas - par méconnaissance plus que par mauvaise foi.

Qui est concerné

La Loi 25 s'applique à : tout organisme public québécois, toute entreprise privée exerçant au Québec, toute organisation traitant des renseignements personnels de résidents québécois (même si le siège est hors-province), et toute OBNL.

La taille n'a pas d'importance : une PME de 5 employés est concernée au même titre qu'une multinationale, dès lors qu'elle traite des renseignements personnels (clients, employés, fournisseurs, prospects).

Les sanctions réellement appliquées

Les sanctions Loi 25 se déclinent en trois niveaux cumulables, et la CAI a commencé à les appliquer activement en 2024-2025 :

• Sanctions administratives jusqu'à 10 millions $ ou 2 % du chiffre d'affaires mondial, imposées par la CAI sans procès.
• Sanctions pénales jusqu'à 25 millions $ ou 4 % du chiffre d'affaires mondial, imposées par le tribunal.
• Recours civils privés (art. 93.1) en vigueur depuis septembre 2023 : toute personne lésée peut poursuivre directement votre organisation devant les tribunaux civils, avec dommages punitifs minimum de 1 000 $.
• Et l'impact indirect : prime cyber-assurance qui explose, perte de contrats clients exigeant la conformité, atteinte à la réputation.

1 - Désigner un RPRP

Toute organisation doit désigner un Responsable de la Protection des Renseignements Personnels. Par défaut, c'est le plus haut dirigeant (PDG, DG) - il peut déléguer formellement, mais reste imputable.

Le nom et les coordonnées du RPRP doivent être publiés (généralement sur le site web, à côté de la politique de confidentialité). C'est l'obligation la plus simple à respecter - et celle qui est la plus souvent oubliée.

2 - Politique de confidentialité publique

Une politique de confidentialité conforme doit être publiée et accessible. Elle doit décrire : les types de renseignements collectés, les finalités précises, les tiers à qui les renseignements sont communiqués, les transferts hors-Québec, les droits des personnes, les coordonnées du RPRP.

Erreur fréquente : importer une politique américaine traduite. La Loi 25 a des exigences spécifiques (transferts hors-Québec article 17, finalités explicites) qui ne sont pas dans les modèles génériques.

3 - Évaluation des Facteurs relatifs à la Vie Privée (EFVP)

Pour tout nouveau projet impliquant des renseignements personnels - nouvelle application, nouveau CRM, nouvelle pratique RH, déploiement Copilot - une EFVP doit être réalisée préalablement.

L'EFVP documente : nature du projet, types de renseignements traités, finalités, durée de conservation, mesures de sécurité, transferts éventuels, risques résiduels. Elle est conservée et présentée à la CAI sur demande.

4 - Registre des incidents

Tenez un registre interne de tout incident de confidentialité, même si l'incident ne semble pas devoir être déclaré à la CAI. Un incident significatif (susceptible de causer un préjudice sérieux) doit être notifié à la CAI ET aux personnes concernées sans délai.

Modèle de registre inclus : date, type d'incident, données touchées, personnes concernées, mesures prises, décision sur la notification.

5 - Procédure de demande d'accès et de rectification

Toute personne a le droit de demander à voir les renseignements que vous détenez sur elle, et de demander leur rectification. Vous avez 30 jours pour répondre. La procédure doit être documentée, et l'utilisateur informé du recours possible à la CAI en cas de refus.

6 - Droit à la portabilité (depuis sept. 2024)

Toute personne peut demander que les renseignements la concernant lui soient communiqués, ou transférés à un tiers, dans un format technologique structuré et couramment utilisé. Vous avez 30 jours.

Pour une organisation Microsoft 365, le DSR (Data Subject Request) Tool de Microsoft Purview automatise une grande partie de cette extraction.

7 - Cartographie des transferts hors-Québec (article 17)

Tout transfert de renseignements personnels hors-Québec doit faire l'objet d'une évaluation préalable : adéquation de la juridiction de destination, mesures contractuelles avec le destinataire, mesures techniques (chiffrement, contrôles d'accès).

Microsoft 365 hébergé sur Canada Central ou Canada Est : pas un transfert hors-Québec au sens strict (Canada). Microsoft 365 hébergé US : transfert qui doit être évalué et documenté.

8 - Consentement explicite et finalités précises

Le consentement doit être libre, éclairé, donné à des fins spécifiques. La case pré-cochée n'est plus admise. Le "consentement groupé" pour 12 finalités à la fois non plus.

Pour chaque finalité, demander un consentement spécifique - par exemple, pour le marketing, distinct du consentement pour la fourniture du service.

9 - Article 12.1 - Décisions automatisées et IA

Si vous utilisez un système (incluant Copilot ou tout outil d'IA) pour rendre une décision fondée "exclusivement sur un traitement automatisé" de renseignements personnels, vous devez : informer la personne, lui permettre de connaître les facteurs et les raisons, lui permettre de demander la révision par un humain.

Cas pratiques : tri automatisé de candidatures, scoring de leads, personnalisation de prix, décisions de crédit. Si Copilot est dans la boucle, documenter et informer.

10 - Plan de notification CAI et personnes concernées

En cas d'incident susceptible de causer un préjudice sérieux, vous devez notifier la CAI ET les personnes concernées sans délai. Le "sans délai" est interprété strictement : 24 à 72 heures dans les bonnes pratiques.

Préparer un template de notification (à la CAI et aux personnes) en amont, pas en pleine crise.

11 - Formation et sensibilisation

Les employés doivent recevoir une formation sur la protection des renseignements personnels - au minimum annuelle, idéalement à l'embauche puis annuelle. Trace écrite à conserver (qui a suivi, quand, contenu).

Une formation de 30 à 45 minutes avec quiz suffit pour la majorité des employés. Formation renforcée pour les rôles à risque (RH, finance, ventes, marketing, TI).