La Loi 25 pour les OBNL : obligations et exemptions

« Nous, on est un OBNL, la Loi 25 ne s'applique pas. » Cette phrase circule dans les conseils d'administration depuis 2022, et elle rassure tout le monde : pas de responsable à désigner, pas de politique à publier, pas de registre à tenir. Le problème, c'est qu'elle est fausse dans la majorité des cas. Si vous connaissez déjà les obligations de la Loi 25 pour les PME, sachez que la plupart s'appliquent aussi à votre organisme, avec une aggravation : les données d'un OBNL sont souvent plus sensibles que celles d'un commerce.

Le mythe repose sur un mot. La loi qui encadre le secteur privé vise ceux qui exploitent une « entreprise ». Un organisme communautaire lit ce mot, conclut qu'il ne se reconnaît pas dedans, et ferme le dossier. Or « entreprise », ici, est un terme juridique dont la définition ne dit pas ce que tout le monde croit.

Cet article explique le vrai test d'assujettissement, la position de la Commission d'accès à l'information (CAI), pourquoi vos listes de donateurs et vos dossiers de bénéficiaires sont un cas aggravé, et ce qu'un organisme de trois personnes devrait faire.

La réponse courte, pour les pressés

Non, les organismes à but non lucratif ne sont pas exemptés de la Loi 25. La Loi sur la protection des renseignements personnels dans le secteur privé s'applique à quiconque exploite une entreprise au sens de l'article 1525 du Code civil du Québec, c'est-à-dire une activité économique organisée, « qu'elle soit ou non à caractère commercial ». La Commission d'accès à l'information confirme que la loi peut viser les OBNL et qu'une analyse au cas par cas est nécessaire. Un organisme qui perçoit des cotisations, vend des services, organise des collectes de fonds structurées ou gère des programmes exerce très probablement une activité visée. Les obligations sont alors les mêmes que pour une entreprise : responsable de la protection des renseignements personnels, politique publiée, registre des incidents, consentement exprès pour les renseignements sensibles. Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, le montant le plus élevé prévalant.

Le mot « entreprise » ne veut pas dire ce que vous pensez

L'article 1 de la loi renvoie à l'article 1525 du Code civil du Québec, qui définit l'exploitation d'une entreprise comme « l'exercice, par une ou plusieurs personnes, d'une activité économique organisée, qu'elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services ».

Relisez la proposition du milieu : « qu'elle soit ou non à caractère commercial ». C'est elle qui porte tout le poids : le législateur a explicitement prévu qu'une activité économique organisée n'a pas besoin de chercher le profit pour être une entreprise. Un organisme qui offre des services, perçoit des cotisations, emploie du personnel et tient des campagnes de financement exerce une activité économique organisée. Le fait que les surplus retournent à la mission au lieu d'aller à des actionnaires ne change rien au test.

La conséquence est directe : le statut d'OBNL, une question de structure juridique et de fiscalité, ne répond pas à la question de la Loi 25, une question d'activité. Deux organismes avec les mêmes lettres patentes peuvent recevoir deux réponses différentes.

Ce que disent la CAI et les tribunaux

La position de la CAI est publiée sur sa page consacrée au champ d'application de la loi : la loi « vise les personnes qui exploitent une entreprise au Québec, mais peut aussi viser d'autres organisations telles que des organismes à but non lucratif », et « une analyse au cas par cas doit toutefois être effectuée ». La CAI ajoute que l'aide d'un juriste peut être requise. Autrement dit : pas d'exemption de principe, pas d'assujettissement de principe non plus. On regarde ce que l'organisme fait réellement.

Les tribunaux ont tracé les deux bouts du spectre. En 2000, la Cour du Québec a jugé qu'une congrégation des Témoins de Jéhovah ne constituait pas une entreprise : recevoir des dons et administrer les biens acquis avec ces dons ne suffisait pas, parce que l'activité principale demeurait « éminemment religieuse ». À l'inverse, en 2021, la Cour supérieure a conclu que des associations étudiantes, pourtant des OBNL classiques, exerçaient une activité économique organisée en offrant à leurs membres une couverture d'assurance santé, décision confirmée pour l'essentiel en appel en 2023. Le critère est la présence d'une offre structurée de biens ou de services, avec un public qui la reçoit et une organisation qui la soutient. Le statut, lui, ne pèse rien.

Pour la grande majorité des OBNL actifs, être honnête avec ce test mène à une conclusion inconfortable : un organisme d'aide alimentaire, un organisme culturel qui vend des billets, une association professionnelle avec des cotisations offrent tous une prestation de services organisée. L'exemption réelle vise surtout les regroupements dont l'activité n'a à peu près rien d'économique : le cercle purement religieux, militant ou amical qui ne vend rien, n'offre pas de programme structuré et ne gère pas de clientèle.

Le paradoxe des OBNL : petite structure, données lourdes

Voici ce qui devrait retenir l'attention d'un CA plus que le débat d'assujettissement. Une boutique en ligne détient des noms, des adresses et des historiques d'achat. Un organisme communautaire détient souvent bien pire : la situation financière de ses donateurs, l'état de santé ou la situation sociale de ses bénéficiaires, les antécédents judiciaires vérifiés de ses bénévoles qui travaillent auprès de personnes vulnérables.

La loi a une catégorie pour ces données : le renseignement personnel « sensible », celui qui, « de par sa nature notamment médicale, biométrique ou autrement intime », suscite un haut degré d'attente raisonnable en matière de vie privée. Le régime est plus strict : le consentement doit être manifesté de façon expresse, tant pour utiliser le renseignement à une autre fin que pour le communiquer à un tiers. Pas de consentement implicite, pas de case précochée. Nos articles sur les formulaires de consentement conformes et sur la politique de confidentialité exigée par la Loi 25 montrent à quoi cela ressemble en pratique.

Il y a un détail que presque aucun OBNL ne connaît, alors qu'il les vise directement. L'article 12 de la loi énumère les fins « compatibles » pour lesquelles un renseignement peut être réutilisé sans nouveau consentement, puis précise que la prospection commerciale ou philanthropique ne peut jamais être considérée comme une fin compatible. La sollicitation de dons est nommée dans la loi, au même rang que le télémarketing. Réutiliser la liste des participants d'un événement pour une campagne de financement, ou échanger des listes de donateurs avec un organisme ami, exige un consentement propre à cette fin.

Ce qu'un OBNL de trois personnes devrait faire

La loi ne demande pas à un organisme communautaire de se doter d'un service juridique. Ses obligations sont proportionnées : les politiques doivent être adaptées à la nature et à l'importance des activités. Voici la version réaliste, celle qu'une direction générale peut mener avec quelques heures et de la constance.

D'abord, le responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité, donc votre direction générale ou votre présidence. La fonction peut être déléguée par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur votre site web. C'est l'obligation la plus visible et la moins coûteuse : une décision de CA, un paragraphe sur le site.

Ensuite, l'inventaire. Avant toute politique, répondez à trois questions : quels renseignements détenez-vous (donateurs, membres, bénévoles, bénéficiaires), où vivent-ils (tableur partagé, infolettre, base de données, classeur papier), et qui y a accès. Dans un organisme porté par des bénévoles qui se succèdent, la réponse honnête est souvent « trop de gens, depuis trop longtemps ». C'est précisément ce que l'exercice doit révéler.

Puis, les documents : une politique de confidentialité publiée en termes simples et clairs, des formulaires de consentement exprès partout où vous touchez à des renseignements sensibles, et un registre des incidents de confidentialité, obligatoire même s'il reste vide, que la CAI peut demander en copie. En cas d'incident présentant un risque de préjudice sérieux, vous devez aviser la CAI et les personnes concernées avec diligence.

Enfin, la gouvernance dans le temps. Le vrai risque d'un OBNL, c'est le roulement : les accès qui survivent aux mandats, le tableur de donateurs copié sur le portable d'un bénévole parti depuis deux ans. Une revue annuelle des accès, inscrite au calendrier du CA, couvre l'essentiel de ce risque.

Les sanctions, et le risque qui compte vraiment

Les chiffres sont dissuasifs sur papier : sanctions administratives pécuniaires jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et amendes pénales jusqu'à 25 millions ou 4 %. Un OBNL n'a pas de chiffre d'affaires mondial digne de ce nom, et la CAI passe par des avis de non-conformité avant de sanctionner. Personne ne fermera votre banque alimentaire pour une politique manquante.

Le risque réel est ailleurs. Un organisme vit de la confiance de trois publics : donateurs, bénéficiaires, bailleurs de fonds. Un incident mal géré, une liste de donateurs qui circule, un dossier de bénéficiaire exposé, atteint les trois d'un coup. Et de plus en plus de bailleurs de fonds et d'assureurs demandent des preuves de conformité avant de signer. La conformité Loi 25 devient une condition d'accès au financement avant d'être une question d'amende.

La partie la plus visible de cette conformité passe par votre site web : politique publiée, coordonnées du responsable affichées, formulaires qui recueillent le consentement correctement. C'est exactement le genre de chantier que nous menons dans nos abonnements web, et si votre organisme veut simplement savoir où il en est, écrivez-nous : la première conversation ne coûte rien.

Ce texte vulgarise un cadre juridique pour aider un organisme à poser les bonnes questions ; il ne constitue pas un avis juridique. L'assujettissement d'un OBNL à la Loi sur la protection des renseignements personnels dans le secteur privé s'évalue au cas par cas, comme le rappelle la CAI elle-même. Pour une situation particulière, consultez un juriste.