{"id":901,"date":"2026-10-21T07:00:00","date_gmt":"2026-10-21T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=901"},"modified":"2026-09-04T13:00:45","modified_gmt":"2026-09-04T18:00:45","slug":"audit-cybersecurite-obligatoire-quebec","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/audit-cybersecurite-obligatoire-quebec\/","title":{"rendered":"Audit de cybers\u00e9curit\u00e9 obligatoire ? La r\u00e9ponse qu\u00e9b\u00e9coise"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Non, aucune loi qu\u00e9b\u00e9coise n&rsquo;impose un audit de cybers\u00e9curit\u00e9 obligatoire.<\/strong> La Loi 25 exige toutefois un responsable de la protection des renseignements personnels, un registre des incidents, une \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e pour certains projets et des mesures de s\u00e9curit\u00e9 raisonnables, des obligations difficiles \u00e0 d\u00e9montrer sans une forme d&rsquo;\u00e9valuation ind\u00e9pendante.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/gouvernance_ti.png\" alt=\"audit de cybers\u00e9curit\u00e9 obligatoire : ce que la loi exige vraiment\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#la-loi-25-m-oblige-t-elle-a-faire-un-audit-de-cybersecurite\">La Loi 25 m&rsquo;oblige-t-elle \u00e0 faire un audit de cybers\u00e9curit\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-que-la-loi-exige-alors-concretement\">Qu&rsquo;est-ce que la loi exige alors, concr\u00e8tement ?<\/a><\/li><li class=\"\"><a href=\"#comment-distinguer-une-obligation-legale-d-une-exigence-contractuelle\">Comment distinguer une obligation l\u00e9gale d&rsquo;une exigence contractuelle ?<\/a><\/li><li class=\"\"><a href=\"#le-rgpd-et-nis2-ca-s-applique-tu-a-mon-entreprise\">Le RGPD et NIS2, \u00e7a s&rsquo;applique-tu \u00e0 mon entreprise ?<\/a><\/li><li class=\"\"><a href=\"#audit-de-cybersecurite-obligatoire-qui-peut-me-l-imposer-meme-si-la-loi-ne-le-fait-pas\">Audit de cybers\u00e9curit\u00e9 obligatoire : qui peut me l&rsquo;imposer m\u00eame si la loi ne le fait pas ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer-si-je-pars-de-zero\">Par o\u00f9 commencer si je pars de z\u00e9ro ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"la-loi-25-m-oblige-t-elle-a-faire-un-audit-de-cybersecurite\" class=\"wp-block-heading\">La Loi 25 m&rsquo;oblige-t-elle \u00e0 faire un audit de cybers\u00e9curit\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Pas au sens o\u00f9 vous l&rsquo;entendez probablement. Cherchez l&rsquo;expression \u00ab audit de cybers\u00e9curit\u00e9 obligatoire \u00bb dans le texte de la Loi 25, la Loi modernisant des dispositions l\u00e9gislatives en mati\u00e8re de protection des renseignements personnels, vous ne la trouverez pas telle quelle. La loi ne dit nulle part que vous devez faire v\u00e9rifier votre s\u00e9curit\u00e9 par un tiers chaque ann\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qu&rsquo;elle dit, en revanche, engage votre entreprise directement, et depuis un moment d\u00e9j\u00e0. Depuis le 22 septembre 2022, toute entreprise priv\u00e9e qui traite des renseignements personnels doit d\u00e9signer un responsable de la protection de ces renseignements et tenir un registre des incidents de confidentialit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Depuis le 22 septembre 2023, une \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e est exig\u00e9e avant certains projets, notamment l&rsquo;acquisition ou la refonte d&rsquo;un syst\u00e8me qui traite des renseignements personnels, et avant une communication de renseignements hors Qu\u00e9bec. Depuis le 22 septembre 2024, dernier volet du calendrier de mise en \u0153uvre, s&rsquo;ajoute le droit \u00e0 la portabilit\u00e9 des donn\u00e9es pour les personnes concern\u00e9es.<\/p>\n\n<p class=\"wp-block-paragraph\">Aucune de ces obligations ne s&rsquo;appelle audit. Mais essayez de d\u00e9montrer, sans jamais avoir fait v\u00e9rifier vos mesures de s\u00e9curit\u00e9 par quelqu&rsquo;un d&rsquo;externe \u00e0 votre \u00e9quipe, que ces mesures sont raisonnables au sens o\u00f9 la loi l&rsquo;entend. C&rsquo;est l\u00e0 que le mot audit revient par la porte arri\u00e8re : pas parce que la loi l&rsquo;exige nomm\u00e9ment, mais parce qu&rsquo;il devient le moyen le plus direct de prouver une conformit\u00e9 que la loi, elle, exige bel et bien.<\/p>\n\n<h2 id=\"qu-est-ce-que-la-loi-exige-alors-concretement\" class=\"wp-block-heading\">Qu&rsquo;est-ce que la loi exige alors, concr\u00e8tement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">La loi exige quatre choses concr\u00e8tes : un responsable d\u00e9sign\u00e9, un registre des incidents, une \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e pour certains projets et des mesures de s\u00e9curit\u00e9 raisonnables. Ce sont les obligations qui reviennent le plus souvent dans nos \u00e9changes avec des dirigeants qui d\u00e9couvrent la Loi 25 \u00e0 cause d&rsquo;un appel d&rsquo;offres ou d&rsquo;un incident.<\/p>\n\n<ol class=\"wp-block-list\"><li>Un responsable de la protection des renseignements personnels. Par d\u00e9faut, c&rsquo;est la personne ayant la plus haute autorit\u00e9 dans l&rsquo;entreprise, souvent la pr\u00e9sidence, \u00e0 moins qu&rsquo;elle d\u00e9l\u00e8gue la fonction par \u00e9crit \u00e0 quelqu&rsquo;un d&rsquo;autre. Ce r\u00f4le n&rsquo;est pas symbolique : c&rsquo;est le point de contact que la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information joint en cas de plainte.<\/li><li>Un registre des incidents de confidentialit\u00e9. Chaque incident touchant des renseignements personnels, m\u00eame mineur, s&rsquo;y consigne. Un incident qui pr\u00e9sente un risque de pr\u00e9judice s\u00e9rieux doit en plus \u00eatre d\u00e9clar\u00e9 \u00e0 la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information et aux personnes concern\u00e9es.<\/li><li>Une \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e pour les projets qui touchent des renseignements personnels : nouveau syst\u00e8me, refonte importante, communication de renseignements hors Qu\u00e9bec.<\/li><li>Des mesures de s\u00e9curit\u00e9 proportionn\u00e9es \u00e0 la sensibilit\u00e9 des renseignements d\u00e9tenus. La loi ne fixe pas de norme technique pr\u00e9cise, elle attend un niveau de protection raisonnable compte tenu de ce que vous d\u00e9tenez.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Ces quatre obligations ont un point commun : elles se documentent. Un responsable nomm\u00e9 qui n&rsquo;a jamais rien \u00e9valu\u00e9, un registre vide alors que des incidents sont survenus, une \u00e9valuation jamais faite avant une refonte de syst\u00e8me, ce sont exactement les lacunes qu&rsquo;une v\u00e9rification, interne ou externe, met au jour.<\/p>\n\n<h2 id=\"comment-distinguer-une-obligation-legale-d-une-exigence-contractuelle\" class=\"wp-block-heading\">Comment distinguer une obligation l\u00e9gale d&rsquo;une exigence contractuelle ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>La loi vous oblige \u00e0 certaines choses ; vos clients, vos assureurs ou vos pr\u00eateurs peuvent en exiger d&rsquo;autres, plus pr\u00e9cises, sans qu&rsquo;aucune loi ne les y force.<\/strong> C&rsquo;est ici que la confusion s&rsquo;installe le plus souvent chez les dirigeants qu&rsquo;on rencontre : les deux colonnes ne se superposent pas.<\/p>\n\n<p class=\"wp-block-paragraph\">Le tableau qui suit distingue les trois sources d&rsquo;exigences et ce qui arrive si vous les ignorez.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Source de l&rsquo;exigence<\/th><th>Qui l&rsquo;impose<\/th><th>Cons\u00e9quence si vous l&rsquo;ignorez<\/th><\/tr><\/thead><tbody><tr><td>Obligation l\u00e9gale<\/td><td>La Loi 25, et pour certaines entreprises d&rsquo;autres lois f\u00e9d\u00e9rales<\/td><td>Sanction administrative ou poursuite p\u00e9nale de la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information<\/td><\/tr><tr><td>Exigence contractuelle<\/td><td>Un client, un donneur d&rsquo;ordre, un assureur, un pr\u00eateur<\/td><td>Perte du contrat, refus ou hausse de la prime d&rsquo;assurance, refus de financement<\/td><\/tr><tr><td>Bonne pratique<\/td><td>Aucune autorit\u00e9 externe, jugement professionnel de votre \u00e9quipe ou de vos conseillers<\/td><td>Rien d&rsquo;imm\u00e9diat, jusqu&rsquo;\u00e0 ce qu&rsquo;un incident ou un audit r\u00e9v\u00e8le l&rsquo;\u00e9cart<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">La sanction pour non-respect de la Loi 25 n&rsquo;est pas symbolique. La Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information peut imposer \u00e0 une entreprise une sanction administrative p\u00e9cuniaire allant jusqu&rsquo;\u00e0 10 millions de dollars ou 2 % de son chiffre d&rsquo;affaires mondial, selon le montant le plus \u00e9lev\u00e9. Des sanctions distinctes s&rsquo;appliquent aux personnes physiques. La loi pr\u00e9voit aussi la possibilit\u00e9 d&rsquo;une poursuite p\u00e9nale devant les tribunaux, avec des amendes qui grimpent en cas de r\u00e9cidive.<\/p>\n\n<p class=\"wp-block-paragraph\">Ces montants concernent l&rsquo;obligation l\u00e9gale. Une exigence contractuelle n&rsquo;a pas besoin d&rsquo;atteindre ce niveau pour vous co\u00fbter cher : un client qui retire un appel d&rsquo;offres parce que votre dossier de s\u00e9curit\u00e9 est incomplet ne vous poursuit pas, il vous laisse simplement de c\u00f4t\u00e9.<\/p>\n\n<h2 id=\"le-rgpd-et-nis2-ca-s-applique-tu-a-mon-entreprise\" class=\"wp-block-heading\">Le RGPD et NIS2, \u00e7a s&rsquo;applique-tu \u00e0 mon entreprise ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Probablement pas, et c&rsquo;est important de le dire clairement, parce qu&rsquo;une bonne partie du contenu trouv\u00e9 en cherchant \u00ab audit de cybers\u00e9curit\u00e9 obligatoire \u00bb en fran\u00e7ais parle en r\u00e9alit\u00e9 du RGPD ou de la directive NIS2, deux cadres europ\u00e9ens.<\/p>\n\n<p class=\"wp-block-paragraph\">Le RGPD, le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es, s&rsquo;applique \u00e0 une entreprise \u00e9tablie dans l&rsquo;Union europ\u00e9enne, ou \u00e0 une entreprise hors de l&rsquo;Union qui offre des biens ou services \u00e0 des personnes situ\u00e9es dans l&rsquo;Union, ou qui suit leur comportement. Une PME qu\u00e9b\u00e9coise qui vend au Qu\u00e9bec et au reste du Canada, sans activit\u00e9 dirig\u00e9e vers l&rsquo;Europe, n&rsquo;est g\u00e9n\u00e9ralement pas vis\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">NIS2, la directive europ\u00e9enne sur la s\u00e9curit\u00e9 des r\u00e9seaux et de l&rsquo;information, vise des secteurs pr\u00e9cis d&rsquo;infrastructures essentielles \u00e0 l&rsquo;int\u00e9rieur de l&rsquo;Union europ\u00e9enne. Une entreprise qu\u00e9b\u00e9coise sans \u00e9tablissement ni infrastructure critique en Europe ne s&rsquo;y trouve pas assujettie non plus.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce que ces deux cadres ont en commun avec la Loi 25, c&rsquo;est la logique : un responsable d\u00e9sign\u00e9, un registre des incidents, une \u00e9valuation de risque avant certains projets. C&rsquo;est probablement pour \u00e7a que les moteurs de recherche les m\u00ealent dans les m\u00eames r\u00e9sultats. Mais l&rsquo;autorit\u00e9 qui peut vous sanctionner, au Qu\u00e9bec, c&rsquo;est la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information, pas un r\u00e9gulateur europ\u00e9en. Si votre entreprise vend r\u00e9ellement en Europe ou y d\u00e9tient un \u00e9tablissement, la question change de nature et m\u00e9rite un avis juridique distinct de ce guide.<\/p>\n\n<h2 id=\"audit-de-cybersecurite-obligatoire-qui-peut-me-l-imposer-meme-si-la-loi-ne-le-fait-pas\" class=\"wp-block-heading\">Audit de cybers\u00e9curit\u00e9 obligatoire : qui peut me l&rsquo;imposer m\u00eame si la loi ne le fait pas ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Vos clients, vos assureurs, vos pr\u00eateurs et vos donneurs d&rsquo;ordre peuvent l&rsquo;exiger, m\u00eame si la loi ne les y force pas. C&rsquo;est la partie que beaucoup de dirigeants d\u00e9couvrent trop tard, en pleine n\u00e9gociation d&rsquo;un contrat :<\/p>\n\n<ul class=\"wp-block-list\"><li>Un client important, surtout dans la finance, la sant\u00e9 ou tout secteur o\u00f9 vous traitez ses donn\u00e9es, peut exiger un audit de cybers\u00e9curit\u00e9 avant de signer ou de renouveler une entente. C&rsquo;est une clause contractuelle, pas une obligation l\u00e9gale. Notre article sur <a href=\"https:\/\/factero.ca\/blog\/audit-cybersecurite-pme\/\">l&rsquo;audit de cybers\u00e9curit\u00e9 pour PME<\/a> d\u00e9taille ce que ce type de v\u00e9rification couvre concr\u00e8tement, et comment il diff\u00e8re d&rsquo;un test d&rsquo;intrusion.<\/li><li>Un assureur peut conditionner votre police de cyber-risque, ou son renouvellement, \u00e0 un audit ou \u00e0 un questionnaire de s\u00e9curit\u00e9 d\u00e9taill\u00e9.<\/li><li>Un pr\u00eateur peut faire de m\u00eame avant d&rsquo;accorder ou de renouveler du financement, surtout si votre entreprise d\u00e9pend fortement de ses syst\u00e8mes.<\/li><li>Un donneur d&rsquo;ordre, notamment dans un contrat gouvernemental ou parapublic, ajoute parfois ses propres exigences par-dessus la loi, avec ses propres d\u00e9lais.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Aucune de ces parties n&rsquo;invoque la Loi 25 pour vous imposer un audit. Elles s&rsquo;en servent, tout au plus, comme argument de s\u00e9rieux dans leur propre gestion du risque. Leur pouvoir vient du contrat que vous \u00eates libre de signer ou non, pas d&rsquo;une loi qui vous y forcerait.<\/p>\n\n<h2 id=\"par-ou-commencer-si-je-pars-de-zero\" class=\"wp-block-heading\">Par o\u00f9 commencer si je pars de z\u00e9ro ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois gestes, dans l&rsquo;ordre, avant m\u00eame de penser \u00e0 un audit formel.<\/p>\n\n<ol class=\"wp-block-list\"><li>V\u00e9rifiez si vous avez un responsable d\u00e9sign\u00e9 de la protection des renseignements personnels, et si son r\u00f4le est \u00e9crit quelque part, pas seulement compris tacitement par l&rsquo;\u00e9quipe. Si personne n&rsquo;a jamais formalis\u00e9 la chose, c&rsquo;est le premier trou \u00e0 combler : il co\u00fbte une heure de travail.<\/li><li>Regardez si un registre des incidents existe d\u00e9j\u00e0. S&rsquo;il n&rsquo;existe pas, cr\u00e9ez-le maintenant, pas apr\u00e8s le premier incident. Un registre ouvert apr\u00e8s coup a beaucoup moins de valeur devant la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information qu&rsquo;un registre tenu depuis le d\u00e9but.<\/li><li>Faites le tour de vos contrats en cours et de vos polices d&rsquo;assurance pour rep\u00e9rer ce qu&rsquo;ils exigent d\u00e9j\u00e0 en mati\u00e8re de s\u00e9curit\u00e9. C&rsquo;est souvent l\u00e0, pas dans la loi, que se trouve l&rsquo;\u00e9ch\u00e9ance qui presse r\u00e9ellement.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Le Centre canadien pour la cybers\u00e9curit\u00e9 publie par ailleurs des guides gratuits destin\u00e9s sp\u00e9cifiquement aux petites et moyennes entreprises, un bon point de d\u00e9part pour traduire ces obligations l\u00e9gales en gestes techniques concrets, m\u00eame s&rsquo;ils ne remplacent pas un avis adapt\u00e9 \u00e0 votre situation.<\/p>\n\n<p class=\"wp-block-paragraph\">Notre article <a href=\"https:\/\/factero.ca\/blog\/cest-quoi-un-audit-informatique\/\">C&rsquo;est quoi, un audit informatique ?<\/a> explique en langage simple ce que couvre une v\u00e9rification ind\u00e9pendante, et notre <a href=\"https:\/\/factero.ca\/blog\/audit-ti-independant-guide\/\">guide complet de l&rsquo;audit informatique<\/a> d\u00e9taille la d\u00e9marche du d\u00e9but \u00e0 la fin.<\/p>\n\n<p class=\"wp-block-paragraph\">Si apr\u00e8s ce premier tour vous ne savez toujours pas si un audit de cybers\u00e9curit\u00e9 obligatoire s&rsquo;applique \u00e0 votre entreprise, ce n&rsquo;est pas un signe d&rsquo;incomp\u00e9tence : c&rsquo;est un signe que la question est mal pos\u00e9e pour la plupart des dirigeants, coinc\u00e9e entre un texte de loi \u00e9crit pour des juristes et une SERP qui r\u00e9pond pour la France. Une heure d&rsquo;\u00e9change avec un auditeur ind\u00e9pendant clarifie vos obligations r\u00e9elles, sans vous vendre plus que n\u00e9cessaire, \u00e0 travers notre <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">accompagnement en audit TI ind\u00e9pendant<\/a>.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit informatique ind\u00e9pendant pour clarifier vos obligations<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/conformite-loi-25\/\">mesures concr\u00e8tes de conformit\u00e9 Loi 25<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-cyberassurance\/\">exigences de votre assureur en cyberassurance<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Une PME de dix employ\u00e9s est-elle vis\u00e9e par la Loi 25 ?<\/summary><p class=\"wp-block-paragraph\">Oui. La Loi 25 ne fixe pas de seuil de taille d&rsquo;entreprise. Si vous traitez des renseignements personnels, employ\u00e9s ou clients, les obligations s&rsquo;appliquent, m\u00eame \u00e0 une tr\u00e8s petite structure. Il n&rsquo;existe pas d&rsquo;audit de cybers\u00e9curit\u00e9 obligatoire r\u00e9serv\u00e9 aux grandes entreprises : l&rsquo;ampleur des mesures attendues tient compte raisonnablement de votre taille.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Qui applique les sanctions de la Loi 25 ?<\/summary><p class=\"wp-block-paragraph\">La Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec. Elle peut imposer une sanction administrative p\u00e9cuniaire allant jusqu&rsquo;\u00e0 10 millions de dollars ou 2 % du chiffre d&rsquo;affaires mondial, selon le montant le plus \u00e9lev\u00e9, depuis le 22 septembre 2023. Elle peut aussi intenter une poursuite p\u00e9nale devant les tribunaux, avec des amendes qui grimpent en cas de r\u00e9cidive.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quand dois-je faire une \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e (EFVP) ?<\/summary><p class=\"wp-block-paragraph\">Avant certains projets qui touchent des renseignements personnels : l&rsquo;acquisition ou la refonte importante d&rsquo;un syst\u00e8me, ou une communication de renseignements personnels hors Qu\u00e9bec. La Loi 25 exige cette \u00e9valuation depuis le 22 septembre 2023. Elle documente les risques du projet et les mesures pr\u00e9vues pour les r\u00e9duire, un exercice diff\u00e9rent d&rsquo;un audit de s\u00e9curit\u00e9 ponctuel.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Dois-je d\u00e9clarer tous mes incidents \u00e0 la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information ?<\/summary><p class=\"wp-block-paragraph\">Non, pas tous. Chaque incident touchant des renseignements personnels doit \u00eatre consign\u00e9 \u00e0 votre registre interne, m\u00eame mineur. Seul un incident qui pr\u00e9sente un risque de pr\u00e9judice s\u00e9rieux doit en plus \u00eatre d\u00e9clar\u00e9 \u00e0 la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information et aux personnes concern\u00e9es. C&rsquo;est la distinction que les dirigeants confondent le plus souvent.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada a-t-il aussi un r\u00f4le ?<\/summary><p class=\"wp-block-paragraph\">Oui, pour les organisations assujetties \u00e0 la Loi sur la protection des renseignements personnels et les documents \u00e9lectroniques, g\u00e9n\u00e9ralement les entreprises f\u00e9d\u00e9rales ou celles qui op\u00e8rent hors Qu\u00e9bec. Une entreprise strictement qu\u00e9b\u00e9coise rel\u00e8ve d&rsquo;abord de la Loi 25 et de la Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.cai.gouv.qc.ca\/protection-renseignements-personnels\/sujets-et-domaines-dinteret\/principaux-changements-loi-25\" target=\"_blank\" rel=\"noopener nofollow\">Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec \u2014 guides d&rsquo;application de la Loi 25<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/petites-moyennes-entreprises\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9 \u2014 guidance pour PME<\/a><\/li><li><a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/p-39.1\" target=\"_blank\" rel=\"noopener nofollow\">LegisQu\u00e9bec \u2014 texte de la Loi 25 (Loi modernisant des dispositions l\u00e9gislatives en mati\u00e8re de protection des renseignements personnels)<\/a><\/li><li><a href=\"https:\/\/www.priv.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada \u2014 LPRPDE<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Une PME de dix employ\u00e9s est-elle vis\u00e9e par la Loi 25 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui. La Loi 25 ne fixe pas de seuil de taille d\\u0027entreprise. Si vous traitez des renseignements personnels, employ\u00e9s ou clients, les obligations s\\u0027appliquent, m\u00eame \u00e0 une tr\u00e8s petite structure. Il n\\u0027existe pas d\\u0027audit de cybers\u00e9curit\u00e9 obligatoire r\u00e9serv\u00e9 aux grandes entreprises : l\\u0027ampleur des mesures attendues tient compte raisonnablement de votre taille.\"}},{\"@type\":\"Question\",\"name\":\"Qui applique les sanctions de la Loi 25 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La Commission d\\u0027acc\u00e8s \u00e0 l\\u0027information du Qu\u00e9bec. Elle peut imposer une sanction administrative p\u00e9cuniaire allant jusqu\\u0027\u00e0 10 millions de dollars ou 2 % du chiffre d\\u0027affaires mondial, selon le montant le plus \u00e9lev\u00e9, depuis le 22 septembre 2023. Elle peut aussi intenter une poursuite p\u00e9nale devant les tribunaux, avec des amendes qui grimpent en cas de r\u00e9cidive.\"}},{\"@type\":\"Question\",\"name\":\"Quand dois-je faire une \u00e9valuation des facteurs relatifs \u00e0 la vie priv\u00e9e (EFVP) ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Avant certains projets qui touchent des renseignements personnels : l\\u0027acquisition ou la refonte importante d\\u0027un syst\u00e8me, ou une communication de renseignements personnels hors Qu\u00e9bec. La Loi 25 exige cette \u00e9valuation depuis le 22 septembre 2023. Elle documente les risques du projet et les mesures pr\u00e9vues pour les r\u00e9duire, un exercice diff\u00e9rent d\\u0027un audit de s\u00e9curit\u00e9 ponctuel.\"}},{\"@type\":\"Question\",\"name\":\"Dois-je d\u00e9clarer tous mes incidents \u00e0 la Commission d\\u0027acc\u00e8s \u00e0 l\\u0027information ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non, pas tous. Chaque incident touchant des renseignements personnels doit \u00eatre consign\u00e9 \u00e0 votre registre interne, m\u00eame mineur. Seul un incident qui pr\u00e9sente un risque de pr\u00e9judice s\u00e9rieux doit en plus \u00eatre d\u00e9clar\u00e9 \u00e0 la Commission d\\u0027acc\u00e8s \u00e0 l\\u0027information et aux personnes concern\u00e9es. C\\u0027est la distinction que les dirigeants confondent le plus souvent.\"}},{\"@type\":\"Question\",\"name\":\"Le Commissariat \u00e0 la protection de la vie priv\u00e9e du Canada a-t-il aussi un r\u00f4le ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, pour les organisations assujetties \u00e0 la Loi sur la protection des renseignements personnels et les documents \u00e9lectroniques, g\u00e9n\u00e9ralement les entreprises f\u00e9d\u00e9rales ou celles qui op\u00e8rent hors Qu\u00e9bec. Une entreprise strictement qu\u00e9b\u00e9coise rel\u00e8ve d\\u0027abord de la Loi 25 et de la Commission d\\u0027acc\u00e8s \u00e0 l\\u0027information.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Non, aucune loi qu\u00e9b\u00e9coise n&rsquo;impose un audit de cybers\u00e9curit\u00e9 obligatoire, mais la Loi 25 exige des obligations difficiles \u00e0 prouver sans \u00e9valuation.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[1380,1378,108,1382,1388,1384,1390,1386],"class_list":["post-901","post","type-post","status-publish","format-standard","hentry","category-gouvernance_ti","tag-audit-cybersecurite-obligatoire-quebec","tag-audit-de-cybersecurite-obligatoire","tag-gouvernance-ti","tag-loi-25-audit-obligatoire","tag-mandatory-security-audit-canada","tag-obligations-cybersecurite-entreprise-quebec","tag-obligations-loi-25-pme","tag-suis-je-oblige-de-faire-un-audit-informatique"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/901","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=901"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/901\/revisions"}],"predecessor-version":[{"id":1394,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/901\/revisions\/1394"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=901"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=901"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=901"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}