Ce n'est probablement pas le gouvernement qui va te la faire découvrir. C'est un gros client qui exige ta politique de confidentialité avant de signer. Un assureur qui demande où sont stockées tes données. Un questionnaire de vingt pages, plein de mots que personne dans ton entreprise ne peut définir. Et là, tout bloque.
La Loi 25, c'est la loi québécoise sur la protection des renseignements personnels, et elle est pleinement en vigueur. Elle s'applique à toute entreprise qui détient des renseignements personnels, la tienne comprise, peu importe sa taille. Elle demande, entre autres, qu'un responsable soit désigné, que les incidents de confidentialité soient gérés et déclarés, que la collecte et le consentement soient encadrés, et que les renseignements soient détruits quand ils ne servent plus.
Tu as peut-être vu passer le chiffre de dix millions de dollars, ou de deux pour cent du chiffre d'affaires mondial. C'est vrai, c'est écrit dans la loi, et c'est calibré sur les multinationales : ton entreprise ne verra jamais ce montant-là. On te le brandit parce qu'un gros chiffre rond fait peur, et que la peur se vend bien. Le chiffre qui te concerne vraiment est plus bas, et bien plus sérieux. Pour une entreprise, l'amende pénale commence à 15 000 $. C'est le plancher, pas le plafond, et c'est déjà assez pour faire mal à une PME.
Autour de ça s'est bâtie une petite industrie de la peur : séminaires, trousses « clé en main », logiciels miracles. Mais voici ce que cette industrie ne te dit pas : tu ne peux protéger, encadrer ou détruire que ce que tu sais détenir. Et la plupart des PME ne le savent pas. Les courriels des clients dorment dans une vieille boîte, les CV reçus il y a huit ans traînent sur un poste, la base de données du site vit chez un hébergeur que personne n'a vérifié, et trois anciens prestataires ont encore des accès.
Tout le volet juridique de la loi repose sur une fondation technique : savoir quoi, où, et qui y touche. C'est cette fondation-là que je bâtis avec toi. Le reste, les politiques et les avis, se rédige cent fois mieux quand elle existe.
Et tu ne me verras jamais te promettre une conformité parfaite, certifiée, garantie. Personne ne peut te vendre ça honnêtement : la loi s'interprète, ton entreprise bouge, et les données d'hier ne sont pas celles de demain. Ce que je fais, c'est t'aider à t'aligner sur la Loi 25, morceau par morceau, en commençant par le morceau que tout le monde saute : le vrai.
Si tu cherches un avis juridique, un sceau officiel ou une attestation de conformité à encadrer, je ne suis pas la bonne porte, et méfie-toi de quiconque prétend l'être sans être juriste. Si ton entreprise traite des données de santé ou des volumes massifs de renseignements sensibles, il te faut une équipe spécialisée, et je te le dirai dès le premier courriel.
Ce que je te promets, c'est la fondation : savoir enfin ce que tu détiens, où c'est, et qui y touche, avec des preuves plutôt que des impressions. C'est le morceau le moins vendeur de toute la démarche. C'est aussi celui sans lequel tout le reste est de la décoration.