Former vos employés à la Loi 25 sans acheter une formation à 3 000 $

Il y a un marché de la formation Loi 25, et il vend surtout du soulagement. Vous avez lu que la loi exige que votre personnel soit formé, un fournisseur propose une session par employé, et la soumission arrive à quatre chiffres pour vingt personnes. Avant de signer, relisez ce que la loi demande. Nous avons fait ailleurs le tour des obligations de la Loi 25 ; cet article porte uniquement sur le personnel.

Deux choses sont vraies en même temps, et c'est ce qui rend le sujet confus. Le mot « formation » n'apparaît nulle part dans l'article qui impose vos politiques de gouvernance. Et la Commission d'accès à l'information, dans son guide de janvier 2026, écrit « former et sensibiliser le personnel » en gras, dans une liste où le gras signale les obligations prévues par la loi. Les deux se réconcilient sans mal, et la réconciliation dicte quelque chose qu'une PME livre un mardi après-midi.

La réponse courte, pour les pressés

La Loi 25 n'oblige nulle part une entreprise québécoise à acheter une formation. L'article 3.2 de la Loi sur le privé exige plutôt des politiques de gouvernance qui prévoient « les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie » des renseignements, approuvées par le responsable de la protection des renseignements personnels et publiées sur votre site. Le mot « formation » n'y figure pas : le législateur l'a écrit pour les organismes publics, à l'article 63.3 de la Loi sur l'accès, et pas pour les entreprises. Mais dans son guide de prévention des incidents publié en janvier 2026, la Commission d'accès à l'information inscrit « former et sensibiliser le personnel » en gras, donc parmi les obligations découlant de l'article 10 sur les mesures de sécurité. Ce qu'une PME doit livrer est modeste : une politique d'une page, une séance courte, une trace écrite de qui y a assisté.

Ce que la loi demande, et le mot qui n'y est pas

L'article 3.2 tient en un paragraphe. Toute entreprise doit établir et mettre en œuvre des politiques encadrant sa gouvernance à l'égard des renseignements personnels. Elles doivent notamment prévoir l'encadrement de la conservation et de la destruction, « les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements » et un processus de traitement des plaintes. Elles doivent être proportionnées à vos activités, approuvées par votre responsable, et résumées sur votre site.

Lisez la formulation : rôles et responsabilités, pas heures de cours. Le législateur savait très bien écrire l'autre version, puisqu'il l'a écrite ailleurs. L'article 63.3 de la Loi sur l'accès, qui vise les organismes publics, reprend mot pour mot les rôles et responsabilités du personnel, puis ajoute une phrase que le secteur privé n'a pas : ces règles « incluent une description des activités de formation et de sensibilisation que l'organisme offre à son personnel ». Un ministère doit décrire publiquement son programme de formation. Votre entreprise, non.

La Commission, elle, met la formation en gras

N'en déduisez pas que vos employés n'ont rien à savoir. La Commission a publié en janvier 2026 deux documents gratuits pour les entreprises : le guide « Prévenir les incidents de confidentialité » et sa liste de contrôle. Le guide propose sept étapes pour mettre en œuvre l'article 10, celui des mesures de sécurité raisonnables, et précise à l'étape 4 que « les éléments en gras sont des obligations prévues dans la loi ».

Parmi les mesures tactiques, une seule est en gras : « Former et sensibiliser le personnel ». Le régulateur range donc la sensibilisation parmi les mesures qu'impose déjà l'article 10. La portée qu'il a en tête suit entre parenthèses : mots de passe forts, risques liés aux maliciels et à l'ingénierie sociale, principes du bureau propre. Pas un séminaire de droit.

La distinction change votre exposition. L'article 90.1 énumère les manquements passibles d'une sanction administrative pécuniaire : le défaut de mesures de sécurité conformes à l'article 10 y figure, l'article 3.2 non. On ne vous sanctionnera pas faute de programme de formation ; on peut vous sanctionner pour ce qu'une équipe non sensibilisée finit par faire. Nous avons détaillé ce régime dans l'article sur les sanctions de la Loi 25.

Ce qui casse est humain, et ordinaire

Le rapport annuel 2024-2025 de la Commission donne la mesure : elle a reçu 514 avis d'incidents de confidentialité, dont 80 % du secteur privé. La répartition par cause, qui compte les incidents à causes multiples et ne s'additionne donc pas proprement, place la cyberattaque en tête avec 160 avis, l'erreur humaine juste derrière avec 110, le rançongiciel à 106 et la communication accidentelle à 100. La direction est claire, et elle ne pointe pas vers votre pare-feu.

Le guide va plus loin. Sa liste d'exemples d'incidents contient l'envoi d'une communication à la mauvaise personne, et la divulgation de renseignements « par des commérages à l'intérieur ou à l'extérieur des lieux de travail (p. ex. dans l'autobus) ». Voilà le vrai programme de votre séance. Personne n'a besoin de connaître l'article 90.12 par cœur. Quelqu'un doit savoir que raconter le dossier d'un client dans le 55 en direction du nord est un incident de confidentialité au sens de la loi.

Le même guide classe parmi les causes de risque le « manque de connaissances ou de formation du personnel », mais aussi la « méconnaissance » d'une politique existante. Une politique que personne n'a lue est traitée comme une politique absente.

Le calcul de la formation à 3 300 $

Chiffrons la soumission. Le Cégep Limoilou affiche une formation « Loi 25 : Protection des renseignements personnels » de trois heures, en ligne, à 165 $. Multipliez par vingt employés et vous êtes à 3 300 $.

Regardez maintenant la clientèle visée : « toute personne responsable de l'application des obligations de la Loi 25 dans son entreprise ». C'est conçu pour une personne, pas pour un plancher de production. À 165 $ pour votre responsable, c'est probablement un bon achat. À 3 300 $ pour toute l'équipe, vous payez dix-neuf fois un contenu que dix-neuf personnes n'utiliseront jamais. Les abonnements à 60 $ par employé par année coûtent moins cher, mais aucun ne sait que votre point faible est le dossier partagé du service à la clientèle.

La page qu'on lit vraiment

Votre politique de gouvernance publiée est un document juridique, et ce n'est pas ce que votre équipe va lire. Écrivez à côté une seule page, en français ordinaire, répondant à quatre questions : quelles données on considère comme personnelles chez nous, qui a le droit d'y toucher, quoi faire quand quelque chose déraille, et ce qui ne sort jamais de nos outils.

La quatrième ligne est celle qui a changé depuis trois ans. Vos employés utilisent déjà des outils d'IA grand public, souvent sans mauvaise intention et sans vous le dire, et c'est aujourd'hui le canal de fuite le plus banal dans une PME ; nous avons décrit le mécanisme dans l'article sur l'IA fantôme. Sur votre page, ça tient en une phrase qui nomme des exemples plutôt qu'une interdiction abstraite : aucune liste de clients, aucun dossier d'employé, aucun document contenant des noms et des coordonnées ne se colle dans un outil non approuvé. Une page se relit en deux minutes à l'embauche ; un manuel de quarante pages se signe sans être ouvert.

Les 45 minutes, et les trois réflexes

La séance tient en trois quarts d'heure et n'a pas besoin d'un formateur externe. Ouvrez avec cinq minutes sur ce qu'est un renseignement personnel chez vous, en montrant vos propres écrans plutôt qu'une définition : le CRM, le dossier partagé des ressources humaines, la boîte info@ où atterrissent des pièces d'identité que personne n'a demandées. Enchaînez avec quinze minutes sur les incidents ordinaires, en reprenant les exemples de la Commission et deux ou trois quasi-incidents survenus chez vous : le courriel parti au mauvais Martin, la clé USB oubliée, le collègue qui demande un accès « juste pour dépanner ».

Consacrez ensuite dix minutes à la seule procédure que tout le monde doit connaître, celle du signalement : à qui on parle, dans quel délai, et surtout le fait qu'un signalement n'entraîne pas de blâme. C'est le point qui décide de tout le reste, parce qu'un incident caché trois jours coûte bien plus cher qu'un incident annoncé dans l'heure. Terminez par dix minutes sur les outils, l'IA publique en tête, avec la liste de ce qui est approuvé et l'alternative que vous offrez, faute de quoi la consigne durera deux semaines.

Trois réflexes en sortent, et c'est tout ce qu'on demande à quelqu'un de retenir : reconnaître un renseignement personnel quand on en manipule un, prévenir une personne nommée quand quelque chose déraille, ne rien coller de personnel dans un outil non approuvé.

La trace, et qui porte le dossier

Gardez une feuille de présence : date, sujets couverts, noms des personnes présentes, version de la politique remise. Ça semble bureaucratique, et ça ne l'est pas : le cadre publié par la Commission pour calculer ses sanctions pèse explicitement les mesures prises et le degré de collaboration, et sa liste de contrôle coche l'énoncé « votre entreprise offre régulièrement à son personnel des séances de formation et de sensibilisation ». Le jour où vous devez démontrer votre diligence, une feuille datée vaut plus qu'une conviction sincère.

Refaites-la une fois par année et à chaque embauche. Et pour mesurer plutôt que supposer, la liste de contrôle suggère elle-même un exercice d'hameçonnage avant et après une campagne de sensibilisation.

Tout ça appartient à une personne que la loi désigne déjà : le responsable de la protection des renseignements personnels, qui doit approuver vos politiques. Dans une PME, c'est le dirigeant par défaut, ou la personne à qui il a délégué la fonction par écrit, un rôle que nous avons décrit dans l'article sur le responsable de la protection des renseignements personnels.

C'est le genre de travail qu'on fait en passant quand on refond un site et ses formulaires : aligner ce que vous collectez, ce que vous conservez et ce que vous affichez, et rédiger la page que l'équipe va lire. Notre position sur les services ne bouge pas là-dessus. La conformité qui tient vit dans les outils que les gens utilisent, pas dans un certificat encadré.

Si un fournisseur vous vend une formation Loi 25 obligatoire, demandez-lui l'article. Il n'y en a pas. Demandez plutôt le guide de janvier 2026, qui est gratuit, et faites la séance vous-même.

→ Discutons de ce que votre équipe devrait savoir, sans engagement

Ce texte vulgarise les obligations de la Loi 25 en matière de gouvernance et de personnel pour aider une PME à s'organiser ; ce n'est pas un avis juridique. Les articles cités proviennent de la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1) et de la Loi sur l'accès aux documents des organismes publics (A-2.1), et les recommandations proviennent des guides publiés par la Commission d'accès à l'information, mais leur application dépend des faits de chaque entreprise. Validez votre situation avec un conseiller juridique avant toute décision.