Un incident de confidentialité mal géré peut coûter bien plus qu'une amende — il érode la confiance des clients. La Loi 25 impose des obligations concrètes que tout cabinet québécois doit documenter, quelle que soit sa taille.
La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25) s'applique à tout organisme qui collecte, détient ou utilise des renseignements personnels au Québec — y compris les cabinets d'avocats.
Obligations par phase
Depuis septembre 2022
- Désignation d'un responsable de la protection des renseignements personnels.
- Registre des incidents de confidentialité et processus de notification à la CAI.
- Encadrement contractuel des fournisseurs ayant accès aux données.
Depuis septembre 2023
- Politiques de gouvernance sur les renseignements personnels.
- Politique de confidentialité accessible aux personnes concernées.
- Évaluations des facteurs relatifs à la vie privée (EFVP) pour certains projets.
Depuis septembre 2024
- Droit à la portabilité des renseignements personnels.
- Transparence accrue sur les technologies de suivi et décisions automatisées.
Chaque échéance ajoute une couche — ignorer une phase ne suspend pas les autres.
Risques pour un cabinet
Les sanctions peuvent atteindre 25 M$ ou 4 % du chiffre d'affaires mondial dans les cas les plus graves. Au-delà des amendes, un incident de confidentialité porte atteinte à la réputation du cabinet et érode la confiance des clients.
La conformité n'est pas qu'une question réglementaire — c'est une question de confiance client.
Mise en pratique
- Centraliser les données plutôt que les disperser dans des courriels et fichiers Excel.
- Limiter les accès par rôle (avocat, adjoint, stagiaire).
- Tenir un journal d'audit des accès et modifications.
- Chiffrer les données au repos et en transit.
- Documenter les EFVP avant tout nouveau logiciel infonuagique.
« Chaque sous-traitant qui traite des renseignements personnels doit faire l'objet d'une évaluation avant la mise en service. »
Ces mesures ne garantissent pas l'absence d'incident — elles prouvent que le cabinet a agi avec diligence.