Le responsable de la protection des renseignements personnels dans une PME

De toutes les obligations de la Loi 25, c'est la plus ancienne et la plus facile à vérifier. Depuis le 22 septembre 2022, toute entreprise active au Québec doit avoir un responsable de la protection des renseignements personnels et publier son titre et ses coordonnées. Pas depuis 2023 ni 2024 : 2022. C'était la toute première vague de la réforme, entrée en vigueur un an avant le gros des obligations que nous avons résumées ici. Presque quatre ans plus tard, une grande partie des PME québécoises ne l'a toujours pas fait.

Le paradoxe, c'est que cette obligation est aussi la moins coûteuse de toute la loi. Pas de logiciel à acheter, pas de consultant obligatoire, pas de rapport à produire. Une décision, une phrase sur votre site web. Cet article explique ce que dit exactement la loi, comment le rôle fonctionne, à quoi ressemble le travail réel à l'échelle d'une entreprise de 5 à 50 personnes, et par quoi le nouveau responsable devrait commencer.

La réponse courte, pour les pressés

Depuis le 22 septembre 2022, toute entreprise active au Québec doit avoir un responsable de la protection des renseignements personnels, sans exception de taille. Par défaut, la loi attribue cette fonction à la personne ayant la plus haute autorité dans l'entreprise, donc au dirigeant ; celui-ci peut la déléguer par écrit, en tout ou en partie, à toute personne. Le titre et les coordonnées du responsable doivent être publiés sur le site web de l'entreprise ou, à défaut de site, rendus accessibles par un autre moyen approprié. Aucune déclaration à la Commission d'accès à l'information n'est requise. Le rôle consiste à approuver les politiques de protection des renseignements, répondre aux demandes d'accès et de rectification dans un délai de 30 jours, participer aux évaluations des facteurs relatifs à la vie privée et être consulté lors des incidents de confidentialité. Dans une PME, cela représente quelques heures par trimestre, pas une embauche.

La fonction existe déjà chez vous, que vous le vouliez ou non

L'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé tient en trois phrases, et la première pose le principe : « Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient. » La deuxième désigne quelqu'un pour l'incarner : au sein de l'entreprise, la personne ayant la plus haute autorité veille au respect de la loi et exerce la fonction de responsable de la protection des renseignements personnels.

Lisez bien le mécanisme, parce qu'il est astucieux. Le législateur n'a pas écrit « l'entreprise doit nommer un responsable », ce qui aurait ouvert la porte à l'excuse éternelle : personne n'a encore été nommé. Il a écrit que la fonction s'exerce par défaut. Le jour où la disposition est entrée en vigueur, chaque dirigeant d'entreprise du Québec est devenu responsable de la protection des renseignements personnels, qu'il le sache ou non. Il n'existe pas de poste vacant ; il n'existe que des dirigeants qui ignorent occuper le poste.

Et l'obligation ne connaît aucun seuil de taille. Le travailleur autonome avec un formulaire de contact, le cabinet de trois personnes, la manufacture de quarante employés : même règle. Ce qui varie, c'est l'ampleur du travail, pas l'existence de la fonction.

Le test de dix secondes : votre site web

La troisième phrase de l'article 3.1 est celle qui se vérifie de l'extérieur : le titre et les coordonnées du responsable « sont publiés sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre moyen approprié ».

Faites le test maintenant : ouvrez votre propre site et cherchez qui est votre responsable de la protection des renseignements personnels. Si la réponse ne s'y trouve pas, vous êtes en défaut sur une obligation vieille de quatre ans, et vous êtes loin d'être seul. En février 2024, Le Devoir rapportait, données d'un fournisseur de gestion du consentement à l'appui, qu'à peine 3 % des entreprises québécoises s'étaient adaptées à la loi et que 60 % des PME ne prévoyaient pas s'y mettre. Les chiffres viennent d'un vendeur de solutions de conformité, prenez-les avec la réserve d'usage ; la tendance, elle, se constate en dix minutes de navigation sur les sites de PME de votre région.

Pourquoi cette publication compte-t-elle autant ? Parce que c'est la partie visible de votre conformité. Un client mécontent, un candidat écarté, un ex-employé qui songe à porter plainte à la Commission d'accès à l'information : la première chose que cette personne, ou l'enquêteur qui la suivra, va chercher, c'est le responsable affiché sur votre site. Son absence ne prouve pas grand-chose en droit, mais elle donne le ton du dossier : une entreprise qui n'a pas fait le geste le plus simple de la loi n'a probablement pas fait les autres.

Concrètement, il suffit d'un bloc dans votre politique de confidentialité, repris ou lié en pied de page : le titre de la personne (pas nécessairement son nom, mais le titre et un moyen de la joindre), et une adresse courriel qui fonctionne. C'est tout ce que la loi exige.

Garder la fonction ou la déléguer par écrit

Par défaut, donc, c'est vous. La loi permet de déléguer la fonction « par écrit, en tout ou en partie, à toute personne ». Le texte n'impose aucune restriction : un membre de la direction, une adjointe administrative, un consultant externe. La Commission d'accès à l'information précise toutefois l'esprit de la chose : la personne déléguée devrait être compétente en la matière et disposer d'un pouvoir décisionnel réel, et la personne ayant la plus haute autorité demeure imputable de la mise en œuvre de la loi. Déléguer la fonction, oui ; déléguer la responsabilité, non. La CAI ajoute que le dirigeant doit fournir au responsable les ressources humaines, techniques et financières nécessaires.

À l'échelle d'une PME, le choix est simple. Dans une entreprise de moins de dix personnes, le propriétaire garde généralement la fonction : la déléguer créerait plus de friction que de valeur. Entre dix et cinquante, on la confie souvent à la personne qui gère déjà l'administration ou les opérations, celle qui sait où vivent les données. La délégation elle-même tient sur une page : qui, quoi, depuis quand, signée par le dirigeant. Pas besoin d'un contrat de vingt pages, besoin d'un écrit.

Méfiez-vous en revanche du réflexe d'externaliser la fonction à un service de « conformité clé en main » facturé au mois. Rien ne l'interdit, mais le responsable doit connaître vos processus réels pour être utile, et un fournisseur qui gère quatre cents PME à distance ne les connaît pas. Vous payez alors un nom sur votre site, pas une fonction exercée.

Le travail réel, en heures par trimestre

Que fait ce responsable, une fois nommé ? La loi et les indications de la CAI dessinent un poste précis. Il approuve les politiques et pratiques de gouvernance des renseignements personnels, à commencer par la politique de confidentialité affichée sur votre site. Il reçoit et traite les demandes d'accès et de rectification, avec un délai de réponse de 30 jours. Il participe aux évaluations des facteurs relatifs à la vie privée quand l'entreprise acquiert un nouveau système ou envoie des données hors Québec. Il est consulté lors d'un incident de confidentialité pour évaluer le risque de préjudice. Et c'est lui que vos fournisseurs doivent aviser sans délai en cas de manquement à la confidentialité.

Sur papier, la liste impressionne. Dans la réalité d'une entreprise de quinze personnes, le volume est faible : les demandes d'accès se comptent par année, pas par semaine, et les incidents, si vous en avez, sont rares. Le travail réel du responsable, c'est d'être joignable, de connaître la procédure avant d'en avoir besoin, et de poser une question réflexe chaque fois que l'entreprise adopte un outil ou lance un formulaire : quels renseignements personnels, pour quoi faire, stockés où ? Quelques heures par trimestre en régime de croisière. Ce n'est pas une embauche, ni même une demi-journée par semaine ; c'est une responsabilité attachée à une personne qui fait déjà autre chose.

Les 90 premiers jours du responsable

Si vous venez de découvrir que la fonction vous appartient, voici la séquence réaliste, sans s'enliser. Le premier mois sert à voir clair : faire l'inventaire des endroits où vivent des renseignements personnels chez vous. Le CRM, les boîtes courriel, les formulaires du site, le système de paie, la pile de CV reçus. Une liste d'une page suffit ; l'exercice révèle presque toujours des données que plus rien ne justifie de garder.

Le deuxième mois rend la conformité visible : publier votre titre et vos coordonnées sur le site, mettre en ligne une politique de confidentialité en langage clair, et vérifier que vos formulaires recueillent un consentement valable plutôt qu'une case pré-cochée héritée d'un gabarit américain.

Le troisième mois prépare le jour où quelque chose déraille : créer le registre des incidents de confidentialité, même vide, et convenir de qui fait quoi si un courriel part au mauvais destinataire ou si un portable disparaît. Ensuite, le rôle se réduit à un réflexe d'entretien : chaque nouvel outil, chaque nouveau formulaire, chaque nouveau fournisseur passe par la question du responsable avant d'entrer dans l'entreprise.

Par où commencer

Le geste minimal se fait cette semaine : décidez qui porte la fonction, écrivez la délégation si ce n'est pas vous, et publiez le titre et les coordonnées sur votre site. Une heure de travail pour sortir du groupe des entreprises qui n'ont rien fait.

Et si votre site n'a ni bloc responsable ni politique digne de ce nom, c'est exactement le genre de chose que nous intégrons d'office quand nous construisons ou reprenons un site web en abonnement : la conformité visible fait partie du produit, pas des extras.

→ Parlez-nous de votre projet

Ce texte vulgarise une obligation légale pour aider une PME à passer à l'action, pas un avis juridique. Les obligations exactes dépendent de votre situation : pour les cas particuliers (données sensibles, biométrie, structures corporatives complexes), consultez un avocat spécialisé. Le texte de la loi et les indications de la Commission d'accès à l'information font foi.