Vérificateur · Conformité Loi 25
Vos registres Loi 25. Vérifiés. Conformes.
La CAI exige quatre registres obligatoires sous la Loi 25 — conformité aux exigences québécoises en protection des renseignements personnels. Vérifiez le vôtre en 60 secondes, et créez ce qui manque en quelques minutes.
Sans inscription · Aucune donnée transmise · Analyse dans votre navigateur
Site indépendant — non affilié au gouvernement du Québec ni à la CAI.
Dernière vérification des critères : juillet 2026
Vérificateur de conformité
1/6
Entrée 01 — Ce que la CAI vérifie
La Loi 25 impose aux entreprises du Québec la tenue de quatre registres : incidents de confidentialité, communications hors Québec, demandes d'accès et ÉFVP. Voici ce que la CAI s'attend à trouver lors d'une vérification.
| Registre | Article | Qui est visé | Risque en cas d'absence |
|---|---|---|---|
| Registre des incidents de confidentialité | art. 3.8, LPRPSP | Toute entreprise qui détient des renseignements personnels | Manquement constatable par la CAI ; absence de preuve en cas d'incident réel ; sanctions administratives possibles |
| Registre des communications hors Québec | art. 17, LPRPSP | Entreprises qui communiquent des RP à l'extérieur du Québec | Impossibilité de démontrer la conformité de l'ÉFVP ; écarts non documentés lors d'une vérification |
| Registre des demandes d'accès et de rectification | art. 30 et s., LPRPSP | Toute entreprise recevant des demandes de personnes concernées | Dépassement des délais de 30 jours non tracé ; plaintes à la CAI ; sanctions administratives |
| Registre des ÉFVP | art. 3.3, LPRPSP | Entreprises réalisant des évaluations des facteurs relatifs à la vie privée | Absence de traçabilité des analyses de risque ; non-conformité documentaire |
Entrée 02 — Anatomie d'un registre conforme
Un registre conforme n'est pas une feuille vierge : chaque colonne répond à une exigence précise de la Loi 25. Voici la structure du registre des incidents de confidentialité, avec l'explication de chaque champ obligatoire.
| 1. N° d'entrée | 2. Date de l'incident | 3. Date de détection | 4. Description de l'incident | 5. Renseignements personnels visés | 6. Nombre de personnes concernées | 7. Évaluation du risque de préjudice sérieux | 8. Notification CAI | 9. Notification des personnes | 10. Mesures prises | 11. Mesures pour éviter la récurrence | 12. Responsable du suivi |
|---|---|---|---|---|---|---|---|---|---|---|---|
| … | … | … | … | … | … | … | … | … | … | … | … |
- 1. N° d'entrée
Numérotation séquentielle pour retracer chaque incident de façon unique. Facilite les références internes et les échanges avec la CAI.
- 2. Date de l'incident
Date à laquelle l'incident s'est produit, et non la date de sa détection. Essentielle pour calculer les délais de notification.
- 3. Date de détection
Date à laquelle l'entreprise a pris connaissance de l'incident. Déclenche le délai de notification à la CAI et aux personnes concernées.
- 4. Description de l'incident
Nature de l'incident (accès non autorisé, perte, vol, divulgation, etc.) et circonstances. Doit être suffisamment détaillée pour une reconstitution ultérieure.
- 5. Renseignements personnels visés
Types de renseignements compromis (nom, adresse, données financières, dossiers médicaux, etc.). Permet d'évaluer la gravité.
- 6. Nombre de personnes concernées
Estimation du nombre de personnes dont les renseignements ont été touchés. Influence l'obligation de notification individuelle.
- 7. Évaluation du risque de préjudice sérieux
Décision oui/non accompagnée d'une justification. Détermine si la CAI et les personnes doivent être avisées.
- 8. Notification CAI
Date et confirmation (oui/non) de la notification à la Commission d'accès à l'information. Obligatoire si risque de préjudice sérieux.
- 9. Notification des personnes
Date et confirmation (oui/non) de l'avis aux personnes concernées. Doit être fait « dans les meilleurs délais » si préjudice sérieux.
- 10. Mesures prises
Actions immédiates pour contenir l'incident et limiter les dommages (révocation d'accès, correction, avis interne, etc.).
- 11. Mesures pour éviter la récurrence
Mesures correctives à moyen terme (formation, modification de procédures, renforcement technique) pour prévenir un incident similaire.
- 12. Responsable du suivi
Personne désignée pour assurer le suivi de l'incident jusqu'à sa clôture. Habituellement le RPRP ou une personne qu'il mandate.
À quoi ressemble un registre bien tenu
Un registre conforme est tenu au fil des événements — avec horodatage, historique et accès contrôlé. Voici à quoi ressemble le module registre des incidents dans Conforme360.
Registre des incidents
Tenu dans Conforme360| N° | Date | Description | Risque sérieux |
|---|---|---|---|
| 001 | 2026-03-15 | Accès non autorisé — dossier partagé | Non |
| 002 | 2026-01-08 | Courriel envoyé par erreur | Oui |
| — | — | Aucun autre incident à ce jour | — |
Entrée 03 — Pourquoi pas juste un fichier Excel ?
Beaucoup d'entreprises commencent avec une feuille de calcul. C'est compréhensible — mais la CAI vérifie la tenue continue, pas seulement l'existence d'un document :
- Pas d'alerte lorsqu'un délai de notification CAI approche — vous devez surveiller manuellement.
- Pas d'horodatage probant — rien ne prouve quand une entrée a été ajoutée ou modifiée.
- Pas de contrôle d'accès — toute personne ayant le fichier peut le modifier sans trace.
Un registre, c'est une obligation continue, pas un document.
Découvrir Conforme360Entrée 04 — FAQ
Quels registres la Loi 25 impose-t-elle aux entreprises québécoises ?
Quatre registres obligatoires : le registre des incidents de confidentialité (art. 3.8), le registre des communications hors Québec (art. 17), le registre des demandes d'accès et de rectification (art. 30 et s.), et le registre des ÉFVP (art. 3.3). Toute PME qui détient des renseignements personnels est visée.
Le registre des incidents est-il obligatoire même si je n'ai jamais eu d'incident ?
Oui. La Loi 25 exige que toute entreprise visée tienne un registre des incidents de confidentialité, même si aucun incident ne s'est encore produit. Le registre peut contenir une entrée indiquant qu'aucun incident n'a été constaté à ce jour. L'absence de registre constitue en soi un manquement que la CAI peut constater lors d'une vérification.
Combien de temps conserver les entrées du registre ?
Les entrées du registre des incidents doivent être conservées pendant au moins cinq ans après la date de l'incident. Cette durée s'applique également aux documents justificatifs liés à chaque entrée. Les autres registres (communications hors Québec, demandes d'accès, ÉFVP) doivent être tenus de façon continue et conservés tant qu'ils demeurent pertinents pour démontrer la conformité.
Quelle différence entre le registre et la notification à la CAI ?
Le registre est un document interne obligatoire qui recense tous les incidents de confidentialité, qu'ils soient notifiables ou non. La notification à la CAI n'est requise que lorsqu'un incident présente un risque de préjudice sérieux pour les personnes concernées. Tenir le registre ne dispense pas de notifier la CAI dans les délais lorsque l'obligation s'applique — ce sont deux exigences distinctes.
Qui doit tenir les registres dans l'entreprise ?
C'est le responsable de la protection des renseignements personnels (RPRP) qui doit veiller à la tenue des registres. Dans une PME, ce rôle est souvent assumé par le dirigeant ou une personne désignée à cette fin. Le RPRP doit s'assurer que les registres sont accessibles, à jour et conformes aux exigences de la Loi 25.
Un travailleur autonome doit-il tenir ces registres ?
Oui, si le travailleur autonome est considéré comme une entreprise au sens de la Loi 25 — c'est-à-dire s'il collecte, utilise ou communique des renseignements personnels dans le cadre de ses activités commerciales. Un travailleur autonome qui ne traite aucun renseignement personnel n'est pas visé, mais dès qu'il gère des données de clients, employés ou fournisseurs, l'obligation s'applique.