Faites la liste des entreprises qui voient les renseignements personnels de vos clients ou de vos employés. Le service de paie. Le CRM. Le logiciel comptable. La plateforme d'infolettre. L'agence qui héberge votre site et reçoit vos formulaires de contact. Une PME en compte facilement une douzaine, et la plupart ont été choisies un après-midi, carte de crédit en main.
Dans un mandat de sécurité et conformité, c'est l'une des premières questions que nous posons, et elle reste souvent sans réponse : avec lesquels de ces fournisseurs avez-vous un contrat qui parle de renseignements personnels? La Loi 25 ne vous interdit pas de leur confier ces renseignements. Elle vous demande de le faire par écrit, et elle dit ce que l'écrit doit contenir.
La réponse courte, pour les pressés
L'article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé permet à une entreprise de transmettre des renseignements personnels à un fournisseur sans demander le consentement des personnes concernées, si c'est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service. En échange, le mandat ou le contrat doit être écrit et indiquer les mesures que le fournisseur prend pour protéger la confidentialité des renseignements, pour ne les utiliser que dans le cadre du mandat et pour ne pas les conserver après son expiration. Le fournisseur doit aviser sans délai votre responsable de la protection des renseignements personnels de toute violation ou tentative de violation, et le laisser vérifier. Les membres d'un ordre professionnel, comme votre CPA, sont dispensés d'une partie de ces obligations, pas de l'écrit. Si le fournisseur est hors du Québec, l'article 17 ajoute une évaluation des facteurs relatifs à la vie privée et une entente écrite.
Ce que dit l'article 18.3, morceau par morceau
Le premier alinéa ouvre la porte : une entreprise peut, sans consentement, communiquer un renseignement personnel à toute personne ou à tout organisme « si cette communication est nécessaire à l'exercice d'un mandat ou à l'exécution d'un contrat de service ou d'entreprise » qu'elle lui confie. Le mot qui travaille, c'est « nécessaire », et la Commission d'accès à l'information rappelle que les exceptions au consentement « doivent être interprétées de manière restrictive ». L'agence qui envoie votre infolettre a besoin des adresses courriel, pas des dates de naissance ni de l'historique d'achat complet.
Le deuxième alinéa fixe le prix de cette porte ouverte. Le mandat ou le contrat doit être confié par écrit. Il doit préciser les mesures que le fournisseur prendra sur trois points : protéger le caractère confidentiel des renseignements, ne les utiliser que pour le mandat, et ne pas les conserver après son expiration. Enfin, le fournisseur doit « aviser sans délai » votre responsable de la protection des renseignements personnels de toute violation ou tentative de violation des obligations de confidentialité, et lui permettre « d'effectuer toute vérification relative à cette confidentialité ».
Un incident chez votre fournisseur reste un incident touchant des renseignements que vous détenez : c'est vous qui devez l'inscrire au registre des incidents et, si le risque de préjudice est sérieux, aviser la Commission et les personnes touchées (article 3.5). L'article 3.1 vous rend responsable des renseignements que vous détenez, et la Commission ajoute que l'entreprise en « demeure toujours responsable ». Le contrat vous sert d'abord à être prévenu à temps pour suivre votre plan d'intervention.
Votre comptable n'est pas votre CRM
Le troisième alinéa de l'article 18.3 crée une distinction que peu de résumés de la Loi 25 mentionnent. Le paragraphe 2° du deuxième alinéa, celui des mesures à inscrire au contrat et de l'avis d'incident, ne s'applique pas quand le fournisseur est un organisme public ou « un membre d'un ordre professionnel ».
La raison se devine dans le Code des professions. Son article 60.4 impose déjà au professionnel de « respecter le secret de tout renseignement de nature confidentielle qui vient à sa connaissance dans l'exercice de sa profession ».
Deux précisions, selon notre lecture. D'abord, la dispense vise le paragraphe 2°, pas l'écrit du paragraphe 1° : votre CPA doit quand même avoir un mandat écrit, et sa lettre de mission joue normalement ce rôle. Rien n'empêche d'y préciser qui aviser en cas d'incident. Ensuite, la dispense suit le professionnel, pas le service. Un service de tenue de livres dont le personnel n'est membre d'aucun ordre est un fournisseur comme les autres. Pour l'avocat, l'article 18 permet de toute façon de lui communiquer un renseignement sans consentement.
Le logiciel comptable infonuagique auquel vous êtes abonné, lui, n'est membre de rien. Le CRM, la paie et l'agence web non plus : c'est pour eux que les mentions de l'article 18.3 comptent.
L'inventaire que personne n'a
La première étape est une liste : chaque fournisseur qui reçoit, stocke ou peut consulter des renseignements sur vos clients ou vos employés. Pour chacun, quatre colonnes suffisent : quels renseignements, pour quel service, où ils sont hébergés, et où se trouve le document contractuel.
Ceux qu'on oublie le plus facilement : l'outil de prise de rendez-vous, le formulaire en ligne gratuit, la plateforme de signature électronique, l'extension de clavardage du site, le preneur de notes IA qu'un employé a branché sur son agenda, et le technicien qui a un accès à distance au serveur sans jamais avoir rien signé.
L'article 3.2 exige des politiques de gouvernance qui répartissent les rôles et les responsabilités sur tout le cycle de vie des renseignements : l'inventaire des fournisseurs en est la colonne vertébrale. Et c'est à votre responsable de la protection des renseignements personnels que la loi demande aux fournisseurs de rapporter les incidents. Encore faut-il qu'ils sachent qui c'est.
Les conditions que vous n'avez pas négociées
Personne ne négocie un contrat avec son CRM. On clique sur « J'accepte ». Les mentions de l'article 18.3 se trouvent souvent dans un document accepté sans le lire : l'entente de traitement des données, souvent appelée DPA (pour Data Processing Agreement). Cherchez ce titre sur la page juridique du fournisseur.
Prenons celle de HubSpot, un CRM répandu, dans sa version modifiée le 16 septembre 2026. Sa définition des lois applicables nomme celles du Canada. L'usage limité au mandat : HubSpot s'engage à ne traiter les données personnelles du client qu'aux fins décrites dans l'entente ou selon les instructions du client. La confidentialité : le personnel autorisé est soumis à des obligations de confidentialité. La conservation : les données sont supprimées ou retournées à la fin de l'abonnement, sauf obligation légale et sauf les copies de sauvegarde, isolées puis supprimées selon ses pratiques. Les violations : avis « without undue delay », au plus tard 72 heures après en avoir pris connaissance. La vérification : rapport SOC 2 sur demande, et réponses écrites aux questions raisonnables, au plus une fois par année civile sauf motif de soupçonner un manquement.
Chaque exigence a son pendant. Trois réserves, toutefois. L'avis de violation va au client, c'est-à-dire à l'adresse du compte : assurez-vous que celle-ci mène à votre responsable, pas à un employé parti depuis deux ans. La vérification passe par des rapports, pas par une visite, ce qui reste selon nous raisonnable pour un fournisseur qui sert des milliers d'entreprises. Et le fournisseur se réserve le droit de modifier l'entente : notez la date de la version lue.
Si votre fournisseur ne publie aucun document de ce genre, et que ses conditions ne disent rien de l'usage, de la conservation ni des incidents, l'article 18.3 n'est pas rempli. Demandez-lui un avenant. Un refus est une information utile sur le fournisseur.
Quand le fournisseur est hors du Québec
Si les renseignements sortent du Québec, l'article 17 vous impose d'abord une évaluation des facteurs relatifs à la vie privée. Elle pèse la sensibilité du renseignement, la finalité, les mesures de protection, « y compris celles qui sont contractuelles », et le régime juridique de l'État où il serait communiqué. Si elle démontre une protection adéquate, la communication peut se faire, sous entente écrite. Confier la simple conservation des renseignements à un organisme hors du Québec déclenche les mêmes obligations, ce qui décrit à peu près tout logiciel infonuagique hébergé aux États-Unis.
La Commission précise que la règle vise une entité située hors du Québec, « tant interprovinciale qu'internationale » : un service de paie hébergé à Calgary est visé lui aussi. Et l'article 3.3 exige déjà une évaluation avant d'acquérir un système d'information qui touche des renseignements personnels; selon nous, s'abonner à un nouveau logiciel revient à en acquérir un.
La DPA du fournisseur nourrit cette évaluation, elle ne la remplace pas. La démarche complète est dans notre guide de l'ÉFVP et dans notre article sur les données hébergées hors du Québec. Notre générateur d'ÉFVP rédige l'évaluation à partir de ce que vous lui répondez.
Votre agence web est un mandataire, la nôtre comprise
Une agence qui héberge votre site, reçoit les formulaires de contact, gère les inscriptions à l'infolettre ou a accès à votre boutique en ligne exécute un contrat de service qui implique vos renseignements personnels. C'est un fournisseur au sens de l'article 18.3, exactement comme le CRM. Peich aussi.
Posez à votre agence les mêmes questions qu'aux autres : où sont hébergés les formulaires et les sauvegardes, qui y a accès, à qui elle confie elle-même une partie du travail, ce qu'elle fait des données quand le contrat prend fin, et à qui elle signale un incident. La même grille s'applique à un fournisseur d'agents IA : voir notre article sur le choix d'un fournisseur.
Le jour où vous changez de fournisseur
L'article 18.3 exige que le contrat empêche le fournisseur de conserver les renseignements après l'expiration du mandat. L'article 23, lui, vous oblige à détruire ou à anonymiser un renseignement une fois atteintes les fins pour lesquelles il a été recueilli ou utilisé, à moins qu'une loi n'impose une durée de conservation. Les deux se rencontrent au moment de quitter un fournisseur.
Récupérez d'abord vos données dans un format utilisable, avant la fermeture du compte. Obtenez ensuite la suppression, ou au moins sachez ce que le fournisseur garde et pour combien de temps. Les durées qui s'appliquent à vos propres documents sont dans notre article sur la conservation.
Par où commencer
Cette semaine : dressez la liste de vos fournisseurs, retrouvez pour chacun la DPA ou le contrat et notez sa date, vérifiez que l'adresse qui recevra un avis d'incident est la bonne, et repérez ceux qui hébergent vos données hors du Québec. Les trous apparaîtront vite. Si vous voulez qu'on regarde la liste avec vous, nous pouvons commencer par les fournisseurs de votre site.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé, du Code des professions et les contrats de vos fournisseurs à la date de votre lecture font foi : pour une situation particulière, consultez un juriste.
Écrit parXavier Peich