Loi 25 vs RGPD : ce qui change quand vous vendez en Europe

Vous avez fait le travail de la Loi 25. Registre, politique de confidentialité, responsable désigné, gestion des incidents. Puis un premier client européen s'inscrit sur votre boutique, ou un partenaire à Paris vous demande votre « conformité RGPD », et la question tombe : faut-il tout recommencer ? La réponse rassurante d'abord : non. La Loi 25 s'est largement inspirée du Règlement général sur la protection des données, alors vos obligations de base sous la Loi 25 couvrent la majorité de ce que l'Europe exige.

Mais « la majorité » n'est pas « la totalité ». Il reste trois écarts précis, et ce sont exactement ceux qui surprennent une PME québécoise le jour où elle vend en Europe.

Cet article compare les deux régimes du point de vue pratique du dirigeant : ce que votre conformité québécoise vous donne déjà gratuitement, les trois différences qui demandent un geste supplémentaire, et la question des transferts, qui joue dans les deux sens.

La réponse courte, pour les pressés

La Loi 25 et le RGPD partagent la majorité de leur logique : transparence, droits des personnes, sécurité, gestion des incidents. Une PME québécoise déjà conforme à la Loi 25 a donc fait le gros du travail. Trois écarts la rattrapent quand elle vend en Europe. D'abord, le RGPD reconnaît six bases légales de traitement (dont le contrat et l'intérêt légitime), alors que la Loi 25 reste centrée sur le consentement : vous n'avez pas toujours besoin du consentement européen que vous croyez devoir demander. Ensuite, l'article 27 du RGPD oblige la plupart des entreprises hors UE qui ciblent des résidents européens à désigner un représentant établi dans l'Union. Enfin, en cas d'incident, le RGPD impose un avis à l'autorité de contrôle sous 72 heures, là où la Loi 25 exige d'aviser « avec diligence », sans délai chiffré. Le sens des transferts compte aussi : la décision d'adéquation UE-Canada, reconduite en 2024, vise le secteur privé fédéral (LPRPDE), pas directement la Loi 25.

L'essentiel se recoupe, et c'est une bonne nouvelle

Commençons par ce qui ne change pas, parce que c'est la plus grande part. Les deux régimes reposent sur les mêmes principes : on ne collecte que ce qui est nécessaire, on dit clairement pourquoi, on garde les données le temps utile puis on les détruit, on les sécurise, et la personne concernée dispose de droits (accès, rectification, retrait). Les deux imposent une politique de confidentialité lisible, un responsable identifiable, et une réaction structurée en cas d'incident.

La conséquence est concrète pour votre budget. Si vous avez monté votre programme Loi 25 sérieusement, vous ne repartez pas de zéro pour l'Europe : vous ajustez. Votre inventaire des renseignements personnels, votre registre, vos formulaires de collecte, vos ententes avec les sous-traitants : tout cela se réutilise. Le RGPD a quelques exigences documentaires supplémentaires (le registre des activités de traitement de l'article 30 est plus détaillé que ce que la CAI attend d'une petite entreprise), mais la matière première est la même.

C'est le bon état d'esprit : la Loi 25 n'est pas une taxe québécoise que vous payez en plus du RGPD. C'est 80 % du RGPD, déjà fait, dans la langue de vos clients d'ici.

Premier écart : six bases légales contre une logique de consentement

Voici la différence de philosophie la plus utile à comprendre, parce qu'elle vous fait souvent travailler moins, pas plus.

La Loi 25 est centrée sur le consentement : la règle par défaut est que vous obtenez l'accord de la personne pour collecter et utiliser ses renseignements, avec des exceptions. Le RGPD, lui, reconnaît explicitement six bases légales de traitement à son article 6, et le consentement n'en est qu'une. Les autres : l'exécution d'un contrat, une obligation légale, l'intérêt vital, une mission d'intérêt public, et l'intérêt légitime.

Pourquoi ça compte pour vous ? Parce que beaucoup de PME croient devoir demander le consentement pour tout, et alourdissent leur site de cases à cocher inutiles. Si vous traitez l'adresse d'un client européen pour lui livrer sa commande, la base n'est pas le consentement : c'est l'exécution du contrat. Demander un consentement là où le contrat suffit est superflu, et même risqué : un consentement peut être retiré, et vous vous retrouvez alors à devoir justifier une base que vous n'aviez pas besoin d'invoquer. La bonne pratique européenne est d'identifier, pour chaque traitement, la base la plus solide. Souvent, ce n'est pas le consentement.

L'intérêt légitime, la sixième base, est celle que les PME sous-exploitent. Elle permet certains traitements (prévention de la fraude, sécurité, prospection mesurée envers une clientèle existante) sans consentement préalable, à condition de documenter que votre intérêt ne prime pas sur les droits de la personne. C'est un outil, pas une échappatoire, mais il n'a pas d'équivalent direct dans la logique de la Loi 25.

Deuxième écart : le représentant dans l'UE que personne ne mentionne

Celui-ci prend les exportateurs par surprise, parce qu'il n'a aucun équivalent québécois.

L'article 27 du RGPD oblige la plupart des entreprises établies hors de l'Union qui offrent des biens ou des services à des résidents européens, ou qui suivent leur comportement, à désigner un représentant établi dans un pays de l'UE. Ce représentant est un point de contact pour les autorités et pour les personnes concernées. Détail qui pique : l'obligation ne dépend pas de votre taille. Une PME de trois personnes à Trois-Rivières qui vend en ligne à des clients français est visée au même titre qu'une multinationale.

Il existe une exemption, mais elle est étroite. Elle vise le traitement « occasionnel », qui n'inclut pas de données sensibles à grande échelle et qui présente peu de risque. Le mot « occasionnel » ne veut pas dire « rare » : il vise un traitement réellement accessoire à votre activité. Dès que vous ciblez le marché européen de façon régulière (site traduit, prix en euros, marketing vers l'UE), vous sortez de l'exemption. Autrement dit, si vous vendez sérieusement en Europe, l'exemption ne vous couvre probablement pas.

La bonne nouvelle : désigner un représentant est un service qui s'achète. Des cabinets spécialisés offrent la fonction pour quelques centaines d'euros par an. Ce n'est pas une embauche. Mais c'est une ligne à cocher que la plupart des exportateurs québécois découvrent trop tard, souvent quand un client européen exige de voir le nom du représentant dans la politique de confidentialité.

Troisième écart : 72 heures contre « avec diligence »

Les deux régimes exigent de réagir vite à un incident de confidentialité, mais ils ne le disent pas de la même façon, et l'écart peut vous coûter cher.

Le RGPD est chiffré. Son article 33 impose de notifier l'autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, à moins que l'incident soit peu susceptible d'engendrer un risque pour les personnes. Soixante-douze heures, ce n'est pas long quand on découvre une fuite un vendredi soir.

La Loi 25, elle, ne fixe pas de nombre. Son article 3.5 exige d'aviser la Commission d'accès à l'information « avec diligence » lorsqu'un incident présente un risque qu'un préjudice sérieux soit causé, et d'aviser aussi les personnes concernées. « Avec diligence » est un standard souple : il veut dire vite, sans traîner, mais sans horloge fixe.

En pratique, si vous vendez en Europe, alignez-vous sur le régime le plus strict et traitez les 72 heures comme votre cible partout. Un plan d'intervention qui vise 72 heures satisfait le RGPD et dépasse l'exigence québécoise. Vouloir maintenir deux horloges différentes selon l'origine des données concernées est une complication que personne ne gère bien en pleine crise.

Et dans l'autre sens : les données qui viennent d'Europe vers vous

Jusqu'ici, on a regardé vos données qui partent vers l'Europe. Le flux inverse a sa propre règle, et une nuance québécoise que peu de gens connaissent.

Pour qu'une entreprise européenne vous envoie des renseignements personnels (un partenaire qui partage sa liste de contacts, un fournisseur qui vous confie des données), il lui faut une base de transfert. Le mécanisme le plus simple est la décision d'adéquation : la Commission européenne reconnaît qu'un pays offre une protection « essentiellement équivalente ». Le Canada bénéficie d'une telle décision, et la Commission l'a reconduite lors de sa révision du 15 janvier 2024. Concrètement, un partenaire européen peut vous transférer des données sans monter le lourd dossier de clauses contractuelles types.

La nuance : cette adéquation vise les organisations assujetties à la loi fédérale, la LPRPDE, pas directement la Loi 25 du Québec. La décision européenne couvre le secteur privé sous régime fédéral, et l'exclusion accordée aux lois provinciales « substantiellement similaires » ne joue que pour les traitements internes à la province. En pratique, dès que des données franchissent une frontière provinciale ou internationale, la LPRPDE s'applique, ce qui est précisément le cas d'un transfert depuis l'Europe. La plupart des PME québécoises qui reçoivent des données de l'UE sont donc couvertes. Mais si votre activité est purement intra-québécoise, ne présumez pas que la mention « Canada adéquat » vous vise directement : faites valider votre situation. C'est le même raisonnement de traçabilité des flux que nous détaillons dans notre article sur les données d'un agent IA hébergées hors Québec.

Par où commencer

Si vous vendez déjà en Europe ou vous apprêtez à le faire, la séquence tient en quatre gestes. D'abord, partez de votre conformité Loi 25 comme socle : elle couvre l'essentiel. Ensuite, pour chaque traitement, choisissez la base légale RGPD la plus solide plutôt que de tout ramener au consentement. Vérifiez si l'article 27 vous oblige à désigner un représentant dans l'UE : si vous ciblez sérieusement le marché, la réponse est probablement oui. Enfin, calez votre plan d'intervention en cas d'incident sur 72 heures, l'exigence la plus stricte.

C'est le genre de cadrage qu'on fait avec un client qui bâtit une boutique ou un site orienté marché européen : aligner le site, les formulaires et la politique de confidentialité sur les deux régimes d'un coup, plutôt que de rafistoler après une plainte.

→ Discutons de votre conformité, sans engagement

Ce texte vulgarise deux régimes de protection des renseignements personnels pour aider une PME à poser les bonnes questions ; ce n'est pas un avis juridique. La Loi 25 (Loi sur la protection des renseignements personnels dans le secteur privé, P-39.1) et le Règlement général sur la protection des données de l'Union européenne comportent des exceptions et des nuances propres à chaque situation. Validez la vôtre avec un conseiller juridique avant toute décision, surtout pour la désignation d'un représentant dans l'UE et le choix des bases légales de traitement.