Depuis septembre 2024, la Loi 25 est pleinement en vigueur au Québec. C'est la loi sur la vie privée la plus stricte en Amérique du Nord — plus proche du RGPD européen que de la PIPEDA fédérale.
Le problème : presque personne ne sait quels droits elle donne concrètement.
Dernière mise à jour : mars 2026
La PIPEDA, c'est la loi fédérale sur la vie privée. Elle date de l'an 2000 et n'a jamais été sérieusement mise à jour. Le projet de loi C-27 qui devait la remplacer est mort en janvier 2025 quand le Parlement a été dissous.
La Loi 25, elle, est moderne. Voici ce qu'elle change pour vous.
| Droit | PIPEDA (fédéral) | Loi 25 (Québec) ✅ |
|---|---|---|
| Effacement de vos données | Pas explicite ❌ | Oui — droit à la désindexation ✓ |
| Consentement pour les cookies | Implicite souvent accepté | Consentement explicite obligatoire ✓ |
| Portabilité des données | Non ❌ | Oui — format structuré ✓ |
| Amendes maximales | 100 000 $ ⚠️ | 25 000 000 $ ou 4% du CA ✓ |
| Notification de fuite | 72 heures (OPC) | Rapide + CAI + individus ✓ |
| Évaluation d'impact vie privée | Pas obligatoire | Obligatoire pour les projets à risque ✓ |
| Responsable vie privée | Pas obligatoire | Obligatoire — coordonnées publiques ✓ |
Toute entreprise qui fait affaire au Québec doit vous dire quelles données personnelles elle détient à votre sujet. Ça inclut votre marina, votre courtier d'assurance, votre concessionnaire de bateaux — pas juste les géants tech.
Vous faites une demande écrite. L'entreprise a 30 jours pour répondre. C'est gratuit.
Si une entreprise a des informations inexactes sur vous, vous pouvez exiger la correction. Utile quand un registre de marina ou un dossier d'assurance contient des erreurs qui pourraient affecter votre couverture ou vos tarifs.
C'est le « droit à l'oubli » version québécoise. Vous pouvez demander qu'un lien vers vos renseignements personnels soit retiré des résultats de recherche. Le reste du Canada n'a pas ce droit.
Ça ne veut pas dire que l'information disparaît d'internet — mais elle ne sort plus quand quelqu'un vous Google.
Vous pouvez demander une copie de vos données dans un format structuré et couramment utilisé (CSV, JSON, etc.). Pratique si vous changez de fournisseur de service ou si vous voulez simplement savoir ce qu'une entreprise a accumulé au fil des ans.
Vous avez cliqué « accepter » sans lire? Sous la Loi 25, vous pouvez retirer votre consentement à tout moment. L'entreprise doit cesser d'utiliser vos données pour le but concerné.
Avant la Loi 25, la plupart des sites québécois ne demandaient même pas votre accord pour les cookies. La bannière « En continuant à naviguer, vous acceptez… » suffisait.
C'est fini. Le consentement doit être :
Pas de dark patterns. Refuser doit être aussi facile qu'accepter. Les boutons « Tout accepter » en gros et « Gérer les préférences » en petit? Techniquement non conforme.
L'entreprise doit vous dire clairement pourquoi elle collecte vos données, à qui elle les partage, et combien de temps elle les garde. En langage simple.
Un consentement par finalité. Accepter les cookies analytiques ne veut pas dire accepter les cookies publicitaires. Chaque usage doit être séparé.
La PIPEDA fédérale peut imposer des amendes de 100 000 $. C'est une blague pour une entreprise de taille moyenne.
La Loi 25 prévoit des amendes allant jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial — le plus élevé des deux. C'est le même barème que le RGPD européen.
En pratique, la CAI n'a pas encore imposé d'amende à ce niveau. Mais les premières enquêtes sont en cours, et le simple fait que ces montants existent change le calcul pour les entreprises québécoises. Protéger vos données coûte maintenant moins cher que de ne pas le faire.
Soyons honnêtes sur les limites.
Oui. Contrairement à ce que beaucoup pensent, la Loi 25 s'applique à toute entreprise qui collecte des renseignements personnels au Québec, peu importe sa taille. Votre marina locale, votre courtier d'assurance, votre mécanicien nautique — tous sont couverts.
La Loi 25 s'inspire fortement du RGPD mais reste distincte. Les deux prévoient le consentement explicite, le droit à l'effacement et des amendes sévères. La principale différence : le RGPD a une portée extraterritoriale plus large et une jurisprudence de 8 ans. La Loi 25 est plus jeune et la CAI moins agressive que les autorités européennes — pour l'instant.
Oui, si le vendeur est basé au Québec et collecte vos renseignements au Québec. C'est le lieu de l'entreprise qui compte, pas votre province de résidence. Si vous achetez un bateau usagé d'un vendeur de Montréal, vos données sont protégées par la Loi 25.
Quelques indices : une bannière de cookies avec un vrai bouton « Refuser » (pas juste « Tout accepter »), une politique de confidentialité à jour qui nomme un responsable de la vie privée avec ses coordonnées, et la possibilité de retirer votre consentement. Si rien de ça n'est visible, l'entreprise est probablement non conforme.