Comment mettre son cabinet en conformité avec la Loi 25 au Québec ?

Vous recevez un courriel d'un client qui demande la liste complète des renseignements personnels que votre cabinet détient sur lui. Vous réalisez que cette information est éparpillée entre votre boîte courriel, des fichiers locaux, un vieux classeur et un logiciel de gestion qui ne se parle pas aux autres. Et la loi vous donne un délai pour répondre.

Depuis 2022, la Loi 25 (Loi modernisant des dispositions législatives pour la protection des renseignements personnels) impose de nouvelles obligations aux entreprises québécoises, par étapes jusqu'en 2024. Pour un cabinet professionnel, l'enjeu est double : la conformité légale, et la confiance des clients qui vous confient leurs informations les plus sensibles.

Pourquoi la Loi 25 concerne directement votre cabinet

La Loi 25 s'applique aux entreprises qui recueillent, détiennent ou utilisent des renseignements personnels au Québec. Votre cabinet en détient forcément : noms, adresses, dates de naissance, numéros d'assurance sociale, informations financières, dossiers médicaux ou juridiques, renseignements sur les employés.

Les principales obligations, entrées en vigueur par étapes (source : Commission d'accès à l'information du Québec, cai.gouv.qc.ca) :

• Dès septembre 2022 : désigner un responsable de la protection des renseignements personnels, et tenir un registre des incidents de confidentialité
• Dès septembre 2023 : publier une politique de confidentialité, établir des règles de gouvernance des renseignements personnels, réaliser des évaluations de facteurs relatifs à la vie privée pour certains projets, encadrer par contrat les tiers qui traitent des renseignements pour vous
• Dès septembre 2024 : permettre la portabilité des renseignements personnels à la demande de la personne concernée

Aucune de ces obligations n'est optionnelle, quelle que soit la taille du cabinet. Mais aucune ne justifie non plus de tout réorganiser du jour au lendemain. La conformité se construit par étapes, dans un ordre logique.

Le vrai problème : l'information dispersée

Avant de parler de politique de confidentialité, il faut une réalité terrain : où sont vos renseignements personnels ? Si vous ne pouvez pas répondre en quelques minutes, c'est que l'information est dispersée.

C'est la maladie invisible que HUVI constate chez la majorité des entreprises de services : la dispersion de l'information. Un peu de données dans des courriels, d'autres dans des fichiers locaux, d'autres dans un logiciel de gestion qui ne parle pas aux autres outils. Chaque fois qu'un renseignement circule manuellement, le risque d'erreur augmente. Et quand un client ou la Commission demande des comptes, il faut tout retrouver à la main.

La Loi 25 ne demande pas seulement de protéger : elle demande de pouvoir montrer où sont les renseignements, qui y a accès, et comment ils sont conservés et détruits. Sans centralisation, cette démonstration est impossible.

Le plan d'action en 5 étapes pour un cabinet

Voici le chemin que nous recommandons, applicable à un cabinet de toute taille :

1. Nommer le responsable : la personne la plus haut placée est responsable par défaut (elle peut déléguer par écrit). C'est l'ancrage de toute la démarche.
2. Faire l'inventaire : lister où sont les renseignements personnels (courriels, dossiers clients, fichiers locaux, logiciels, nuage, classeurs) et qui y a accès. Sans inventaire, aucune politique n'est crédible.
3. Centraliser et sécuriser : regrouper les dossiers dans un système unique avec des niveaux d'accès par rôle. Chaque personne ne voit que ce qu'elle doit traiter.
4. Documenter les règles : politique de confidentialité, règles de conservation et de destruction, registre des incidents, processus de réponse aux demandes d'accès. Les documents existent, mais surtout les pratiques sont appliquées.
5. Former et vérifier : l'équipe sait quoi faire en cas d'incident, où trouver l'information, comment répondre à une demande. La conformité n'est pas un projet fini : c'est un système qui vit.

La règle d'or de HUVI s'applique ici comme partout : on n'automatise jamais le désordre. On structure d'abord, on automatise ensuite ce qui est clairement défini, régulier et répétitif.

Ce qu'un système peut faire pour votre conformité

Une fois la structure en place, le système devient votre meilleur allié :

• Un registre des incidents prêt à l'emploi : chaque incident est consigné avec la date, la nature, les personnes touchées et les mesures prises. Plus rien ne se perd dans la mémoire de l'équipe
• Des demandes d'accès traitées dans les délais : le système retrouve en quelques secondes les renseignements d'une personne, génère le dossier à transmettre et crée les rappels de suivi
• Des niveaux d'accès par rôle : l'associé voit les dossiers complets, la réceptionniste seulement les coordonnées nécessaires, personne n'a accès à tout par défaut
• Une traçabilité de la conservation : chaque document a une date de conservation et une règle de destruction, le système alerte quand un dossier doit être archivé ou détruit
• Des contrats avec les tiers encadrés : vos fournisseurs de services (informatique, archivage, logiciels) sont documentés avec les mesures de confidentialité exigées

L'objectif : que la conformité ne dépende plus de la mémoire d'une personne, mais d'un système qui pousse les bonnes actions au bon moment.

Pourquoi l'outil seul ne suffit pas

Certains cabinets achètent un logiciel de conformité et croient le problème réglé. C'est l'inverse du bon ordre. Un logiciel branché sur des processus non structurés ne fait que produire des erreurs plus vite. La séquence est toujours la même chez HUVI : clarifier (qui fait quoi, où sont les données), structurer (rôles, étapes, règles), centraliser (un seul endroit fiable), puis automatiser ce qui est répétitif.

Les logiciels métier de gestion de cabinet, comme Clio dans le domaine juridique, excellent à organiser les dossiers et la facturation. Mais ils ne remplacent pas une démarche de conformité : ils gèrent la pratique, pas la gouvernance des renseignements personnels. Un cabinet conforme utilise son logiciel métier comme un outil parmi d'autres, dans un système plus large qui couvre l'inventaire, les accès, le registre des incidents et les demandes d'accès.

C'est exactement le travail de HUVI Optimisation, fondée par Hugo Viens : diagnostiquer votre réalité terrain, structurer vos processus, centraliser vos données, puis automatiser ce qui doit l'être. Nous ne vendons pas de logiciel. Nous bâtissons le système qui fait que votre cabinet peut démontrer sa conformité sans panique, et servir ses clients sans craindre la prochaine demande.