Loi 25 au Québec : ce qu’elle change pour les mots de passe d’une PME

Depuis la réforme connue sous le nom de Loi 25, beaucoup de propriétaires de PME québécoises se demandent si la loi impose une longueur de mot de passe, l’authentification multifacteur (MFA) ou un changement tous les 90 jours. La réponse courte : non. La loi ne fixe pas de règle technique de ce genre. Elle vous oblige plutôt à protéger les renseignements personnels que vous détenez avec des mesures raisonnables, à nommer un responsable, à documenter vos pratiques et à gérer les incidents de confidentialité.

Dans une petite entreprise, une grande partie de ces renseignements se trouve derrière quelques comptes : messagerie, comptabilité, paie, stockage en ligne. Les sécuriser est un moyen très concret de respecter vos obligations.

Ce guide offre de l’information générale, pas un avis juridique. Pour une situation précise, consultez les sources officielles citées plus bas ou un professionnel du droit.

1. Ce qu’est la Loi 25 et quand elle s’est appliquée

La « Loi 25 » désigne la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (L.Q. 2021, chapitre 25). Pour les entreprises, elle a surtout modifié la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1), que la Commission d’accès à l’information (CAI) surveille.

Ses dispositions sont entrées en vigueur par étapes :

• 22 septembre 2022 : désignation d’un responsable de la protection des renseignements personnels, registre des incidents de confidentialité et avis à la CAI et aux personnes concernées en cas de risque de préjudice sérieux.
• 22 septembre 2023 : la majorité des autres dispositions, dont l’obligation d’établir et de publier des politiques et pratiques de gouvernance.
• 22 septembre 2024 : le droit à la portabilité, qui permet à une personne d’obtenir ses renseignements informatisés dans un format technologique structuré et couramment utilisé.

Toutes ces obligations s’appliquent aujourd’hui.

2. Des mesures raisonnables, pas une recette imposée

L’article 10 de la loi demande à toute personne qui exploite une entreprise de prendre des mesures de sécurité propres à assurer la protection des renseignements personnels. Ces mesures doivent être raisonnables compte tenu, notamment, de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

Le niveau attendu dépend donc de ce que vous détenez : une boutique qui conserve des courriels de clients n’a pas le profil d’un cabinet comptable qui garde des numéros d’assurance sociale et des déclarations de revenus. La loi ne dresse pas de liste de contrôles techniques. À vous de choisir des mesures défendables et d’expliquer pourquoi elles sont adaptées. Des mots de passe uniques, la MFA sur les comptes sensibles et le retrait rapide des accès inutiles sont parmi les plus simples à justifier.

3. Les obligations qui touchent vos comptes

Un responsable de la protection des renseignements personnels

Selon l’article 3.1, la personne ayant la plus haute autorité dans l’entreprise exerce par défaut la fonction de responsable de la protection des renseignements personnels. Dans une PME, c’est souvent le propriétaire ou le président. Cette fonction peut être déléguée par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l’entreprise ou, à défaut de site, rendus accessibles par un autre moyen approprié.

Pour la sécurité des comptes, cette personne est le point de décision naturel : elle approuve les règles d’accès, les exceptions et la réponse aux incidents.

Des politiques et pratiques de gouvernance

L’article 3.2 exige des politiques et pratiques encadrant la gouvernance des renseignements personnels. Elles doivent notamment prévoir la conservation et la destruction des renseignements, définir les rôles et responsabilités du personnel tout au long de leur cycle de vie et établir un processus de traitement des plaintes. Elles doivent être proportionnées à la nature et à l’envergure de vos activités, approuvées par le responsable et décrites en termes simples et clairs sur votre site Web.

Une politique de mots de passe et d’accès n’est pas exigée par son nom, mais elle s’intègre bien dans ce cadre : elle dit qui peut accéder à quoi, comment les comptes sont protégés et que faire au départ d’un employé.

Un registre des incidents de confidentialité

Un incident de confidentialité, au sens de l’article 3.6, est un accès, une utilisation ou une communication non autorisés par la loi d’un renseignement personnel, ou sa perte ou toute autre atteinte à sa protection. L’article 3.8 oblige l’entreprise à tenir un registre de ces incidents, y compris ceux qui ne présentent pas de risque de préjudice sérieux. Le Règlement sur les incidents de confidentialité précise son contenu : description des renseignements visés, circonstances, dates, nombre de personnes concernées, évaluation du risque, avis transmis et mesures prises. Les inscriptions doivent être tenues à jour et conservées au moins cinq ans après la prise de connaissance de l’incident. La CAI peut en demander une copie.

L’avis à la CAI et aux personnes concernées

Selon l’article 3.5, dès que vous avez des motifs de croire qu’un incident s’est produit, vous devez prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter que des incidents semblables se reproduisent. Si l’incident présente un risque qu’un préjudice sérieux soit causé, vous devez aviser avec diligence la CAI ainsi que les personnes dont les renseignements sont concernés. Pour évaluer ce risque, l’article 3.7 demande de considérer notamment la sensibilité des renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables, en consultant votre responsable.

4. Checklist : relier la loi à des gestes concrets

Les mesures ci-dessous ne sont pas une liste officielle. Ce sont des pratiques courantes qui aident une PME à démontrer qu’elle a pris des mesures raisonnables pour ses comptes.

1. Faites l’inventaire des comptes qui donnent accès à des renseignements personnels : messagerie, comptabilité, paie, CRM, stockage partagé, banque. Notez pour chacun le responsable et le mode de connexion.
2. Un mot de passe unique par service, conservé dans un gestionnaire approuvé : la réutilisation transforme une fuite sur un site en accès à votre messagerie. Créez des secrets avec le générateur de mots de passe et repérez les doublons avec l’audit local de mots de passe.
3. Activez la MFA en priorité sur la messagerie, la comptabilité et la banque : la messagerie sert souvent à réinitialiser tous les autres comptes. Notre guide de la double authentification compare les méthodes.
4. Retirez les accès le jour du départ : désactivez le compte, révoquez les sessions et les appareils, changez les mots de passe partagés que la personne connaissait et transférez la propriété des fichiers.
5. Prévoyez une entrée au registre pour tout compte compromis : un compte compromis n’est pas automatiquement un incident de confidentialité, mais il le devient si des renseignements personnels ont pu être consultés, utilisés, communiqués ou perdus. Dans le doute, documentez votre analyse.
6. Mettez votre politique de mots de passe par écrit : partez du générateur de politique et de notre modèle de politique pour PME, puis faites approuver le document par le responsable.
7. Vérifiez l’exposition des mots de passe : le vérificateur de fuites indique si un mot de passe figure dans des fuites connues.

Pour passer en revue d’autres mesures de base, utilisez notre checklist de sécurité pour PME.

5. Si un compte est compromis

Prenons un exemple fictif : la boîte courriel de l’adjointe administrative d’un cabinet de huit personnes envoie des messages d’hameçonnage. La boîte contient des factures et des fiches de clients.

1. Reprenez le contrôle du compte depuis le vrai service : nouveau mot de passe, révocation des sessions, vérification des règles de transfert et des méthodes MFA.
2. Changez les autres mots de passe identiques ou semblables.
3. Déterminez quels renseignements personnels étaient accessibles et pendant quelle période.
4. Avec le responsable, évaluez le risque de préjudice sérieux selon la sensibilité, les conséquences possibles et la probabilité d’usage malveillant.
5. Inscrivez l’incident au registre. Si le risque est sérieux, avisez la CAI et les personnes concernées. La CAI met un formulaire en ligne à la disposition des entreprises.
6. Corrigez la cause, par exemple en activant la MFA sur toutes les boîtes, pour éviter un incident de même nature.

6. Sources officielles

• Le texte à jour de la Loi sur la protection des renseignements personnels dans le secteur privé sur LégisQuébec, notamment les articles 3.1 à 3.8 et 10.
• La page de la CAI sur la responsabilité des entreprises.
• La page de la CAI sur les incidents de confidentialité et mesures de sécurité, qui renvoie aussi au formulaire d’avis et à des guides de prévention.
• La section de la CAI destinée aux entreprises et organisations privées.

Ces textes peuvent évoluer : vérifiez la version en vigueur et demandez un avis juridique en cas de renseignements sensibles ou d’incident en cours.