Publications · 28 août 2026

Rédiger une politique Loi 25 claire pour les cabinets du Québec

Démarche et liste de contrôle pour rédiger, en langage clair, une politique de confidentialité conforme à la Loi 25, adaptée aux cabinets fiscaux et comptables du Québec.

Rédiger une politique Loi 25 claire pour les cabinets du Québec

Si votre organisation recueille des renseignements personnels par un moyen technologique et opère au Québec, vous devez publier une politique de confidentialité rédigée en termes simples et clairs, désigner un responsable de la protection des renseignements personnels — dont le titre et les coordonnées sont publiés sur votre site — et y décrire notamment les moyens de collecte, les fins poursuivies et les droits des personnes concernées. Les sections qui suivent détaillent chaque élément à intégrer et la démarche pour les rédiger correctement.

En bref :

  • Toute organisation recueillant des renseignements personnels par un moyen technologique au Québec doit publier une politique claire, nommer un responsable et respecter des mesures strictes de sécurité.
  • La politique décrit les moyens de collecte, les catégories de renseignements, les finalités, les communications à des tiers (y compris hors Québec) et les droits des personnes, en langage accessible ; y décrire aussi la conservation, les coordonnées du responsable et les mesures de sécurité est recommandé.
  • La fonction de responsable peut être déléguée par écrit, en tout ou en partie, à toute personne — le dirigeant demeure imputable — et la gestion des incidents doit être documentée, avec avis à la CAI et aux personnes concernées en cas de risque de préjudice sérieux.
  • Les paramètres par défaut d’un produit ou service technologique offert au public doivent assurer le plus haut niveau de confidentialité — les témoins de connexion sont exclus de cette obligation — et l’ÉFVP est obligatoire avant toute communication de renseignements hors Québec.
  • La CAI recommande de faire relire la politique, puis de la tester auprès de son public cible pour en vérifier la compréhension.

Table des matières

Quelles obligations légales impose la Loi 25 en matière de politique de confidentialité ?

L’obligation touche toute organisation qui recueille des renseignements personnels par un moyen technologique — site web, application ou portail client. Depuis le 22 septembre 2023, ces organisations doivent publier une politique de confidentialité et garantir que les paramètres par défaut offrent le plus haut niveau de confidentialité pour tout produit ou service technologique destiné au public. Cette obligation découle directement de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), le texte de référence pour vérifier chaque article cité.

Trois obligations connexes accompagnent la publication de la politique :

  • Désigner un responsable de la protection des renseignements personnels (RPRP) et rendre ses coordonnées publiques.
  • Réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) : systématiquement avant toute communication de renseignements personnels hors Québec, et pour tout projet d’acquisition, de développement ou de refonte d’un système d’information impliquant des renseignements personnels.
  • Tenir un registre des incidents de confidentialité et aviser la Commission d’accès à l’information (CAI) ainsi que les personnes concernées lorsqu’un incident présente un risque de préjudice sérieux.

Pour un cabinet fiscal ou comptable, ces obligations s’appliquent dès qu’un portail client, un formulaire en ligne ou un outil d’intelligence artificielle traite des renseignements de clients.

Quels sont les éléments essentiels d’une politique de confidentialité ?

La loi exige une politique rédigée en termes simples et clairs. Pour le contenu, le guide de la CAI distingue ce qui doit s’y trouver — moyens de collecte, renseignements recueillis et fins poursuivies, moyens offerts de refuser la collecte, catégories de personnes ayant accès aux renseignements, communications à des tiers (y compris hors Québec), droits d’accès, de rectification et de plainte — de ce qu’il recommande d’y ajouter, comme les coordonnées du responsable, la durée de conservation et une description des mesures de sécurité. Voici l’ordre logique à suivre pour bâtir votre document :

  1. Identification : nom de l’organisation, coordonnées du responsable de la protection des renseignements personnels, date d’entrée en vigueur et date de la dernière mise à jour.
  2. Catégories de renseignements et moyens de collecte : précisez si les données proviennent d’un formulaire web, d’un portail client ou d’un témoin de connexion.
  3. Fins de la collecte : chaque finalité doit correspondre à un usage réel, jamais générique.
  4. Communication à des tiers et transferts : identifiez les fournisseurs (hébergement, infonuagique) et signalez tout transfert hors Québec.
  5. Conservation et destruction (recommandé) : indiquez les délais de conservation et la méthode de destruction sécuritaire.
  6. Droits des personnes concernées : accès, rectification, retrait du consentement — et, depuis le 22 septembre 2024, portabilité des renseignements personnels informatisés — avec une procédure claire pour les exercer.
  7. Mécanismes de refus et mesures de sécurité : indiquez comment une personne peut refuser la collecte (contenu exigé par le guide) et, en complément recommandé, décrivez les protections techniques.

Dans le cas d’un cabinet fiscal qui utilise un portail client ou un outil d’IA, la politique doit clairement identifier les catégories de tiers ayant accès aux données et préciser les fins de cette communication.

Qui doit assumer le rôle de responsable de la protection des renseignements ?

La responsabilité incombe par défaut à la plus haute autorité de l’organisation ; l’article 3.1 de la loi lui permet de déléguer cette fonction par écrit, en tout ou en partie, à toute personne — interne ou externe. Le titre et les coordonnées du responsable doivent être publiés sur le site de l’organisation, et le dirigeant demeure imputable du respect de la loi même lorsqu’il délègue. Un cabinet qui manque de ressources internes peut donc confier ce rôle à un consultant externe : la loi n’exige qu’une délégation écrite ; en pratique, assurez-vous aussi que la personne dispose du temps et des compétences nécessaires pour l’assumer.

Le RPRP assume généralement ces tâches :

  • Approuver et réviser la politique de confidentialité.
  • Superviser la gestion des incidents de confidentialité et tenir le registre correspondant.
  • Coordonner la formation du personnel sur les obligations de la Loi 25.
  • Répondre aux demandes d’accès et de rectification des personnes concernées.

Publier ce contact rend la gouvernance vérifiable : un client ou un employé sait exactement à qui s’adresser en cas de doute sur le traitement de ses données.

Comment aviser les personnes concernées d’une modification à la politique ?

La loi ne vise pas que les changements majeurs : l’article 8.2 exige de publier et de diffuser, par tout moyen propre à atteindre les personnes concernées, un avis pour toute modification de la politique — au même titre que la politique elle-même. Aucun règlement du secteur privé ne fixe le contenu de cet avis ni l’archivage des versions antérieures : les éléments qui suivent relèvent des bonnes pratiques.

L’avis devrait comporter au minimum :

  • La date de la modification et sa date d’entrée en vigueur.
  • Un résumé clair de l’objet général des changements, sans jargon juridique.
  • Un lien vers la version complète et mise à jour du document.
  • Un accès conservé aux versions antérieures, à des fins de traçabilité.

Un simple courriel aux clients ou une bannière sur le portail suffit souvent, à condition que le message reste daté et archivé.

Que faire pour les paramètres par défaut, les transferts et les incidents ?

La politique doit refléter des choix techniques concrets, pas seulement des principes. Depuis l’entrée en vigueur des dispositions de septembre 2023, les paramètres par défaut d’un produit ou service technologique offert au public doivent garantir le plus haut niveau de confidentialité, sans action de l’utilisateur. Les paramètres de confidentialité des témoins de connexion sont exclus de cette obligation. Cette exclusion vise tous les témoins — la loi québécoise ne reprend pas le critère européen de « stricte nécessité » — mais elle ne les soustrait pas aux obligations de transparence de la politique.

Trois zones méritent une attention particulière :

  • Transferts hors Québec : lorsque des données transitent vers un fournisseur situé ailleurs, une évaluation des facteurs relatifs à la vie privée (ÉFVP) est obligatoire avant la communication, et la politique doit mentionner ces transferts explicitement.
  • Cookies et traceurs : précisez les catégories utilisées, la finalité de chacune et le mécanisme pour les refuser.
  • Incidents de confidentialité : tenez un registre interne et avisez la CAI ainsi que les personnes concernées dès qu’un incident présente un risque de préjudice sérieux.

Conseil de pro : avant de choisir un fournisseur infonuagique pour héberger vos outils, demandez-lui où sont situés ses centres de données. L’ÉFVP du projet reste requise dans tous les cas ; la localisation détermine si elle doit en plus couvrir l’analyse exigée avant toute communication de renseignements hors Québec.

Comment rédiger et tester une politique en langage clair ?

Mains dessinant un organigramme de politique sur une tablette numérique

Une politique conforme sur le fond mais illisible échoue à son objectif. Le guide de la CAI recommande de faire relire le texte par des collègues, puis de le tester auprès du public cible — sondage, entrevues individuelles ou de groupe —, plutôt que de se fier uniquement à la révision juridique interne.

Quelques règles pratiques à appliquer :

  • Rédigez des phrases courtes, une idée par phrase, et évitez les renvois croisés entre articles.
  • Illustrez chaque catégorie de collecte par un exemple concret (« nom, courriel et numéro de dossier lors de la prise de rendez-vous »).
  • Faites relire le brouillon par deux ou trois employés non juristes et notez leurs questions.
  • Publiez le document sur une page dédiée du site, et envisagez un résumé simplifié affiché au premier lancement d’une application.

Ce test de compréhension coûte peu de temps et évite bien des malentendus au moment d’une demande d’accès.

Comment Acumis accompagne les cabinets dans la rédaction de leur politique

Rédiger une politique de confidentialité solide demande de croiser le texte légal, la pratique réelle du cabinet et les outils technologiques déjà en place, ce qui prend des heures quand c’est fait manuellement à chaque révision. Acumis conçoit des outils d’intelligence artificielle sur mesure pour les cabinets fiscaux et comptables du Québec, notamment pour la recherche jurisprudentielle et la rédaction d’avis, et cette même architecture peut être orientée vers l’analyse de vos pratiques de collecte de données pour appuyer le travail de rédaction — la rédaction et la validation de la politique demeurent la responsabilité du cabinet et de ses conseillers juridiques.

Acumis

Le niveau de souveraineté des données se choisit contractuellement avant tout traitement, entre trois modes : un mode standard opéré via un fournisseur d’infonuagique reconnu, un mode québécois hébergé dans un centre de données au Québec, ou un mode local entièrement déployé sur l’infrastructure du cabinet. La grille comparative Loi 25 détaille les trois options pour un cabinet qui doit documenter ce choix dans sa propre politique. Un cabinet de 24 professionnels a ainsi vu ses recherches passer de plusieurs heures à une quinzaine de minutes après un déploiement de 8 semaines — le mandat est documenté sur notre page Preuves —, chaque réponse restant révisée par un senior avant diffusion.

Un mandat démarre toujours par un appel de trente minutes sans engagement, suivi d’un périmètre, d’un calendrier et d’un devis. Découvrez les solutions de recherche et de rédaction assistée proposées par Acumis pour évaluer si une architecture sur mesure convient à votre cabinet.

Sources

Recommandations

← Toutes les publications

Trente minutes avec un associé pour voir ce que ces idées changent dans votre pratique.

Vous décrivez votre cabinet et vos dossiers types. Un associé Acumis vous répond : ce que l'IA peut prendre en charge, ce qui doit rester chez vous, et par où commencer.

Parler à un associé →

Nos outils appliquent la méthode à vos dossiers. Voir les trois architectures →