Guide
Loi 25 pour un MSP ce que la loi demande à un fournisseur TI
Pour la Loi 25, un MSP joue deux rôles : mandataire de ses clients, avec un contrat écrit qui prévoit des mesures de protection (art. 18.3), et entreprise qui a ses propres renseignements, avec un responsable désigné et un registre des incidents. OKTO PSA, hébergé au Québec, garde les mots de passe hors des billets grâce aux notes secrètes.
Ce guide ne remplace pas un avis juridique. Il résume la loi et cite ses articles pour que vous puissiez les relire à la source.
Un fournisseur TI est-il visé par la Loi 25 ?
Oui, et de deux façons. La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Elle s’adresse à toute personne qui exploite une entreprise au Québec, donc à vos clients, mais aussi à vous.
Pour vos clients, vous êtes un mandataire : ils vous confient des renseignements, et la loi veut un contrat écrit qui dit comment vous les protégez. Pour vous-même, vous êtes une entreprise avec ses employés, ses clients et ses propres obligations.
Le MSP mandataire
Vos clients vous donnent accès à des postes, des boîtes courriel, des dossiers d’employés. L’article 18.3 leur permet de le faire sans consentement individuel, à condition d’un mandat écrit et de mesures de protection précises.
Le MSP entreprise
Votre propre PSA contient des contacts de clients, des notes de billets et des dossiers d’employés. Les articles 3.1 à 3.8 vous visent directement : responsable désigné, politiques, registre des incidents.
Que doit dire le contrat avec un client (art. 18.3) ?
Le mandat est écrit, et il indique les mesures que vous devez prendre. Un courriel de confirmation ne suffit pas. Le texte de la loi énumère ce qui doit s’y trouver.
La confidentialité
Les moyens que vous prenez pour protéger le caractère confidentiel des renseignements communiqués : accès limités, mots de passe protégés, appareils chiffrés.
L’usage limité
Les renseignements ne servent qu’à l’exécution du mandat, par exemple dépanner un poste ou préparer un départ d’employé, et à rien d’autre.
La fin du contrat
Vous ne conservez pas les renseignements après l’expiration du contrat. Prévoyez une date de retour ou de destruction, et qui la confirme.
L’avis sans délai
Vous devez aviser sans délai le responsable de la protection des renseignements personnels du client de toute violation ou tentative de violation, et lui permettre de vérifier la confidentialité.
Qui avise la Commission ?
La loi vise l’entreprise qui détient les renseignements. Quand l’incident touche des données d’un client, c’est d’abord au client d’être informé par vous, vite. Votre contrat devrait dire qui rédige l’avis à la Commission d’accès à l’information et qui joint les personnes touchées.
Que faire en cas d’incident de confidentialité ?
Un incident, c’est un accès, un usage ou une communication non autorisés, ou la perte d’un renseignement personnel (art. 3.6). Un portable volé, un courriel envoyé au mauvais destinataire ou un compte piraté en sont. Voici l’ordre à suivre.
Réduire le dommage
Dès que vous avez des motifs de croire qu’un incident s’est produit, prenez les mesures raisonnables pour diminuer le risque et éviter qu’il se répète (art. 3.5).
Évaluer le risque de préjudice
Pesez la sensibilité des renseignements, les conséquences prévisibles et la probabilité d’un usage nuisible, en consultant le responsable (art. 3.7).
Aviser si le risque est sérieux
Avec diligence, avisez la Commission d’accès à l’information et les personnes touchées quand l’incident présente un risque de préjudice sérieux (art. 3.5).
Inscrire au registre
Tout incident va au registre, même sans risque sérieux (art. 3.8). La Commission peut en demander une copie, et elle écrit que les entrées se gardent au moins cinq ans.
Quand faut-il une évaluation des facteurs relatifs à la vie privée ?
Dans deux cas qui touchent directement un MSP : l’article 17 pour toute communication hors Québec, et l’article 3.3 pour l’acquisition ou la refonte d’un système d’information.
Hors Québec (art. 17)
Avant de communiquer un renseignement personnel à l’extérieur du Québec, ou de confier à quelqu’un hors Québec le soin de le conserver, l’entreprise évalue la sensibilité du renseignement, sa finalité, les mesures de protection (contractuelles comprises) et le régime juridique du pays visé. Si la protection est adéquate, une entente écrite suit. Un outil de support à distance ou un PSA hébergé à l’étranger entre dans ce cadre, côté vous comme côté client.
Nouveau système (art. 3.3)
Choisir un nouveau logiciel qui recueille ou conserve des renseignements personnels demande aussi une évaluation, avec le responsable consulté dès le début du projet. Changer de PSA en fait partie. L’évaluation est proportionnée à la sensibilité des données : un guide de la Commission l’explique.
Qui est responsable, et que garde-t-on ?
La loi demande des personnes nommées et des règles écrites. Rien de lourd pour un petit MSP, mais tout doit exister sur papier.
Le responsable (art. 3.1)
C’est par défaut la personne de plus haute autorité, qui peut déléguer par écrit. Son titre et ses coordonnées sont publiés sur le site Internet de l’entreprise.
Les politiques (art. 3.2)
Conservation et destruction, rôles du personnel, traitement des plaintes. Elles sont proportionnées à la taille de l’entreprise et approuvées par le responsable.
La destruction (art. 23)
Quand la raison de la collecte est atteinte, le renseignement est détruit ou anonymisé, sauf si une loi impose un délai de conservation.
Qu’est-ce qu’un logiciel PSA doit permettre ?
La loi ne parle pas de logiciel, mais ses exigences se traduisent en questions à poser à tout éditeur, OKTO PSA compris.
Un lieu d’hébergement connu
Où dort la base de données, et qui d’autre y touche. Dans OKTO PSA, l’hébergement est au Québec, avec une base de données dédiée à chaque client. La liste des sous-traitants est sur la page du traitement des données.
Un accès par rôle
Un technicien ne voit que ce que son rôle exige. Demandez comment les rôles se règlent et qui peut les changer.
Un journal des gestes
Pour répondre à un incident, il faut savoir qui a fait quoi. Demandez ce que le journal garde et combien de temps.
Des mots de passe hors des billets
Un mot de passe écrit en clair dans un billet reste lisible par quiconque ouvre le billet. OKTO PSA offre des notes secrètes chiffrées (AES-256-GCM), lisibles une seule fois.
Retrouver les renseignements d’une personne
Quand une personne demande l’accès à ses renseignements (art. 27), il faut pouvoir les retrouver et lui en remettre une copie. Demandez comment chercher et exporter dans le logiciel.
Une connexion contrôlée
Le portail client d’OKTO PSA accepte la connexion avec Microsoft ou Google. Au départ d’un employé, le compte Microsoft 365 est bloqué, jamais supprimé (fonction offerte aux fournisseurs TI, sur demande).
Ce que ce guide ne fait pas
Utiliser OKTO PSA ne rend pas un MSP conforme à la Loi 25 : la conformité dépend du contrat, des politiques et des pratiques de chacun. Ce guide ne remplace pas un avis juridique. Pour un cas précis, consultez votre conseiller. Les détails du logiciel sont sur la page sécurité et sur la page du traitement des données.
Sources
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, Légis Québec : articles 3.1 à 3.8, 10, 17, 18.3, 23 et 27, consulté le 27 octobre 2026.
- Incidents de confidentialité et mesures de sécurité, Commission d’accès à l’information, consulté le 27 octobre 2026.
- Réaliser une évaluation des facteurs relatifs à la vie privée, guide de la Commission d’accès à l’information, consulté le 27 octobre 2026.
À lire ensuite
OKTO PSA pour les services TI
Billets, contrats, facturation et portail pour un fournisseur TI du Québec.
Lire la pageGuide arrivées et départs
La checklist de départ Microsoft 365 en 9 étapes, la liste d’arrivée, les délais et les preuves à garder.
Lire la pagePortail client MSP
Demande avec photo ou vocal, appareils en direct, soumissions, factures et paiement, arrivées et départs.
Lire la pageCas client OKTO Solutions
Pourquoi un MSP de Trois-Rivières a bâti son PSA, comment son équipe s’en sert et ce qui reste à faire, sans enjoliver.
Lire la pageQuestions fréquentes
Les questions qu’on nous pose
Votre question n’est pas là ?
Écrivez-nous. C’est une personne de Trois-Rivières qui répond, et la réponse arrive en moins d’un jour ouvrable.
Poser votre questionLa loi parle de mandataire ou d’exécutant d’un contrat de service (art. 18.3). Un MSP à qui un client donne accès à des renseignements personnels en fait partie : il doit travailler dans le cadre d’un mandat écrit qui indique les mesures de protection.
La loi oblige l’entreprise qui détient les renseignements à aviser la Commission et les personnes touchées quand le risque de préjudice est sérieux (art. 3.5). Le mandataire doit, lui, aviser sans délai le responsable du client (art. 18.3). Le contrat devrait préciser qui fait quoi.
Oui. L’article 3.8 oblige à tenir un registre de tous les incidents de confidentialité, et la Commission peut en demander une copie. Elle précise que les entrées se gardent au moins cinq ans.
Avant de communiquer un renseignement personnel hors Québec (art. 17) et pour tout projet d’acquisition ou de refonte d’un système d’information qui touche des renseignements personnels (art. 3.3).
Non, aucun logiciel ne le fait seul. OKTO PSA est hébergé au Québec, avec une base de données dédiée par client et des notes secrètes pour les mots de passe, mais la conformité dépend de vos contrats et de vos pratiques.
Voir où vivent vos données
Écrivez-nous pour une démonstration d’OKTO PSA. Nous vous montrons l’hébergement, les rôles et les notes secrètes.
OKTO Solutions, Trois-Rivières, Québec