Loi 25 et IA. Les gestes qui comptent.

Oui. La Loi sur la protection des renseignements personnels dans le secteur privé ne prévoit pas d'exemption générale selon le nombre d'employés ou le chiffre d'affaires. Une petite entreprise qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de ses activités au Québec doit respecter les obligations applicables. La portée exacte peut varier selon le secteur et la nature des renseignements.

Aucun de ces outils n'est interdit par son nom. L'entreprise doit toutefois vérifier que la donnée est nécessaire, que l'usage respecte la finalité annoncée, que le compte et le contrat offrent les contrôles requis et qu'une EFVP est réalisée lorsque le projet ou un transfert hors Québec la rend obligatoire. Un compte personnel ou grand public non approuvé ne devrait pas recevoir de renseignements de clients, d'employés ou de candidats.

Non, pas automatiquement. L'EFVP est notamment obligatoire pour un projet d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services impliquant des renseignements personnels, ainsi qu'avant une communication de renseignements personnels à l'extérieur du Québec. Un essai qui ne traite aucun renseignement personnel peut ne pas déclencher ces obligations, mais il doit tout de même respecter les règles internes de sécurité et de confidentialité.

Non. La localisation est un facteur utile, mais la Loi demande d'évaluer aussi la sensibilité, la finalité, les mesures contractuelles et techniques ainsi que le régime juridique applicable. Un fournisseur étranger n'est pas automatiquement non conforme : un transfert hors Québec peut avoir lieu si l'EFVP démontre une protection adéquate et si une entente écrite tient compte des risques et des mesures d'atténuation.

Pas toujours. Retirer les identifiants directs peut dépersonnaliser les données et réduire le risque, mais une donnée dépersonnalisée demeure un renseignement personnel si une identification indirecte reste possible. L'anonymisation exige qu'il soit raisonnable de prévoir, en tout temps et de façon irréversible, que la personne ne puisse plus être identifiée, selon les critères du règlement applicable.

Lorsque la décision est fondée exclusivement sur un traitement automatisé de renseignements personnels, l'entreprise doit en informer la personne au plus tard au moment de la décision. Sur demande, elle doit expliquer les renseignements utilisés, les raisons et principaux facteurs, informer du droit de rectification et permettre à la personne de présenter ses observations à un membre du personnel capable de réviser la décision.

Il faut traiter la situation comme un incident potentiel : limiter immédiatement l'exposition, vérifier les journaux et les fonctions de suppression, évaluer le risque de préjudice avec le responsable, inscrire l'incident au registre et corriger la cause. Si le risque de préjudice sérieux est établi, la CAI et les personnes concernées doivent être avisées avec diligence.

Au minimum : la désignation du responsable, les politiques et pratiques de gouvernance, une politique de confidentialité adaptée aux collectes technologiques, un inventaire des outils et flux de données, des règles d'utilisation de l'IA, des contrats fournisseurs conformes, un calendrier de conservation, une procédure pour les droits des personnes, un registre et un plan d'incident, ainsi que les EFVP requises pour les projets concernés.

Pour une entreprise, une sanction administrative pécuniaire peut atteindre le plus élevé de 10 M$ ou 2 % du chiffre d'affaires mondial de l'exercice précédent. Une amende pénale peut atteindre le plus élevé de 25 M$ ou 4 %. Des dommages-intérêts punitifs d'au moins 1 000 $ sont aussi prévus lorsqu'une atteinte illicite cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde. Ces mécanismes ont des conditions distinctes et les maximums ne sont pas automatiques.