Comment la Loi 25 au Québec change-t-elle vos droits sur vos données personnelles ?

Depuis la fuite de données massive chez Desjardins, un sentiment de méfiance s’est installé chez de nombreux Québécois. Chaque texto de livraison suspect, chaque demande d’accès d’une nouvelle application ravive la même inquiétude : qui détient mes informations et qu’en fait-on ? Face à cette réalité, on nous conseille souvent de “lire les conditions d’utilisation” ou d’ “utiliser des mots de passe complexes”, des conseils bien intentionnés mais souvent insuffisants. Un renseignement personnel au Québec, ce n’est pas seulement votre nom ou votre adresse ; c’est toute information qui permet de vous identifier, de votre courriel à vos données de géolocalisation.

Et si la réponse ne se trouvait pas dans une méfiance passive, mais dans une maîtrise active de nos droits ? La Loi 25, modernisant la protection des renseignements personnels au Québec, n’est pas qu’un document juridique complexe destiné aux entreprises. C’est une boussole pratique, une nouvelle grille de lecture pour chaque citoyen. Elle nous offre le langage et les outils pour passer de la peur de la surveillance à une posture de contrôle éclairé. Cet article n’est pas un résumé de la loi. C’est un manuel d’autodéfense numérique, conçu pour vous, le citoyen québécois qui souhaite transformer ses droits en actions concrètes.

Nous allons explorer ensemble huit situations du quotidien, de la gestion de vos mots de passe à l’utilisation de l’intelligence artificielle, pour voir comment les principes de la Loi 25 peuvent devenir des réflexes pour protéger votre vie privée. Chaque section vous donnera des clés pour appliquer la loi dans votre vie, et non plus seulement la subir.

Gestionnaire de mots de passe : pourquoi est-ce plus sûr que votre mémoire ou votre carnet ?

La mémoire humaine est faillible et un carnet peut être perdu ou volé. Juridiquement, le plus grand risque est la réutilisation de mots de passe. Un incident de sécurité sur un site mineur peut alors donner aux fraudeurs les clés de vos comptes les plus importants. L’affaire Desjardins, qui a vu les données d’un million de Québécois refaire surface sur le dark web des années plus tard, en est une illustration tragique. Les experts qualifient ces données de “kit de démarrage parfait du fraudeur”, et les personnes utilisant des mots de passe uniques étaient bien mieux protégées.

Un gestionnaire de mots de passe agit comme un coffre-fort numérique. Il vous permet de créer et de stocker des mots de passe uniques et extrêmement complexes pour chaque service, sans avoir à les mémoriser. Cette approche s’aligne directement sur le principe de la Loi 25 qui exige des “mesures de sécurité propres à assurer la protection des renseignements” qui sont proportionnelles à leur sensibilité. En utilisant un mot de passe unique pour votre compte bancaire, vous appliquez vous-même ce principe de proportionnalité.

Choisir un bon gestionnaire est crucial. Il ne s’agit pas seulement de stocker des mots de passe, mais de le faire avec une technologie de chiffrement robuste et, idéalement, en respectant la souveraineté des données. Le tableau suivant compare deux options populaires au Canada sous l’angle de la sécurité et de la conformité à l’esprit de la Loi 25.

En définitive, l’utilisation d’un gestionnaire n’est pas une simple commodité technique, c’est un acte de protection juridique proactive de vos actifs numériques.

Contrôle parental : quels outils fonctionnent vraiment sans briser le lien de confiance ?

La surveillance des activités en ligne de ses enfants est un sujet délicat, oscillant entre protection et intrusion. La Loi 25 apporte un éclairage juridique crucial à ce débat : elle positionne le parent non pas comme un espion, mais comme le gardien légal de la vie privée de son enfant. Le principe est clair : la loi québécoise exige une protection renforcée pour les plus jeunes. Le consentement parental est obligatoire pour toute collecte ou utilisation de renseignements personnels. Une étude récente confirme que la loi exige l’obtention du consentement du titulaire de l’autorité parentale pour la collecte de données concernant une personne de moins de 14 ans.

Plutôt que d’installer un logiciel de surveillance en secret, l’approche la plus efficace et la plus respectueuse est d’utiliser la Loi 25 comme un outil pédagogique. L’objectif n’est pas de “piéger” l’enfant, mais de le responsabiliser en lui expliquant que ses données ont de la valeur et sont protégées par la loi. La configuration des outils de contrôle parental devient alors une activité collaborative, un dialogue plutôt qu’un diktat. Cette démarche renforce le lien de confiance tout en inculquant les bases de l’hygiène numérique juridique dès le plus jeune âge.

Cette conversation peut être structurée autour de quelques points simples pour la rendre concrète et moins intimidante. Il s’agit de créer un “contrat numérique familial” inspiré par le principe du consentement éclairé de la loi.

• Étape 1 : Expliquer que la loi québécoise protège spécialement les données des moins de 14 ans, car elles sont considérées comme plus vulnérables.
• Étape 2 : Montrer concrètement quelles informations sont collectées par leurs applications favorites (géolocalisation, contacts, etc.) et pourquoi c’est important.
• Étape 3 : Établir ensemble les règles familiales alignées sur les protections de la Loi 25 (par exemple, ne jamais partager son adresse ou son école en ligne).
• Étape 4 : Configurer les outils de contrôle parental (temps d’écran, filtrage de contenu) en expliquant le but de chaque paramètre.
• Étape 5 : Officialiser ces règles dans un ‘contrat numérique familial’ que tout le monde s’engage à respecter.

En agissant ainsi, le parent ne se contente pas de protéger son enfant aujourd’hui ; il lui donne les outils pour se protéger lui-même demain, en parfaite adéquation avec l’esprit de la Loi 25.

Texto de livraison ou de banque : comment repérer l’arnaque en 3 secondes ?

Vous recevez un texto urgent : “Votre colis est bloqué” ou “Activité suspecte sur votre compte”. La panique peut vous faire cliquer sans réfléchir. Pourtant, la Loi 25 nous donne une grille de lecture simple pour démasquer ces tentatives d’hameçonnage. Le principe fondamental est celui de la finalité et de la sécurité proportionnelle. Une institution financière ou une entreprise de livraison légitime a des obligations strictes quant à la manière dont elle communique avec vous, surtout lorsqu’il s’agit d’informations sensibles.

Sur le plan juridique, une entreprise légitime au Québec ne vous demandera jamais de confirmer des informations personnelles sensibles comme votre numéro d’assurance sociale (NAS) ou un mot de passe via un lien dans un texto non sollicité. Un tel procédé serait une violation de ses propres obligations de sécurité sous la Loi 25. Le simple fait qu’un message vous le demande est donc le plus grand signal d’alarme. L’urgence artificielle est une tactique psychologique conçue pour court-circuiter votre jugement rationnel, un jugement que la Loi 25 vise justement à renforcer.

Développer le réflexe de vérifier activement plutôt que de réagir passivement est la meilleure défense. Ne cliquez jamais sur le lien. Ouvrez plutôt votre navigateur et connectez-vous manuellement au site officiel de votre banque ou du service de livraison pour vérifier l’information. Cette simple habitude vous protège de la quasi-totalité des arnaques par texto.

En fin de compte, la meilleure protection est de comprendre que les entreprises sérieuses ont des contraintes légales qui rendent ces textos frauduleux immédiatement reconnaissables pour un œil averti.

L’erreur de garder ses notifications activées qui détruit votre concentration

À première vue, la gestion des notifications semble relever de la productivité, pas du droit. C’est une erreur. Chaque notification qui apparaît sur votre écran est une porte d’entrée potentielle pour une menace à votre vie privée. D’un point de vue juridique, cette sollicitation constante crée un état de vulnérabilité cognitive. En étant perpétuellement interrompu, votre capacité à exercer un jugement critique diminue. Vous devenez plus susceptible de cliquer sur une notification malveillante — une fausse alerte de sécurité, une promotion trop belle pour être vraie — qui peut être un vecteur d’hameçonnage ou d’installation de logiciel malveillant.

Cet état de distraction contrevient à l’esprit même du “consentement éclairé” prôné par la Loi 25. Un consentement donné à la hâte, en cliquant sur “Autoriser” pour faire disparaître une bannière, n’est ni libre, ni éclairé. Les entreprises le savent et exploitent ce biais cognitif. La Loi 25, en son cœur, est une loi sur la concentration : elle exige que le consentement soit donné “à des fins spécifiques”. Or, le flot incessant de notifications noie ces fins spécifiques dans un bruit constant, servant davantage l’engagement de l’application que l’intérêt de l’utilisateur.

La solution est une forme d’hygiène numérique juridique : désactiver par défaut toutes les notifications non essentielles. Prenez le temps, une fois, de passer en revue les paramètres de chaque application sur votre téléphone. Pour chacune, posez-vous la question inspirée de la Loi 25 : “La finalité de cette notification est-elle vraiment mon information, ou est-ce la captation de mon attention ?”. Vous réaliserez que les notifications vraiment utiles sont rares : les messages de vos proches, les alertes de votre calendrier, les confirmations de transaction bancaire. Tout le reste — “untel a aimé votre photo”, “une nouvelle promotion vous attend” — peut être consulté à votre rythme, lorsque VOUS le décidez.

En choisissant activement quelles informations vous parviennent, vous ne protégez pas seulement votre concentration, mais vous renforcez aussi votre capacité à identifier et à rejeter les menaces réelles à votre vie privée.

Que deviendront vos comptes Facebook et vos photos cloud après votre décès ?

La question de notre héritage numérique est un angle mort de notre vie en ligne. Nous accumulons des gigaoctets de données — photos, messages, documents — sans nous soucier de leur sort après notre départ. La Loi 25 introduit des concepts qui complexifient encore cette question, notamment avec le “droit à la désindexation”, souvent appelé droit à l’oubli. Ce droit permet à une personne de demander qu’un hyperlien associé à son nom soit retiré des résultats de recherche sous certaines conditions.

Cependant, après un décès, qui peut exercer ce droit ? Votre liquidateur de succession (exécuteur testamentaire) ? Vos héritiers ? La loi est encore jeune et les implications pratiques ne sont pas toutes claires. Comme le souligne la Commission d’accès à l’information du Québec, il existe une zone de flou juridique. Dans une note sur les changements apportés par la loi, elle mentionne que le nouveau “droit à la désindexation” (droit à l’oubli) de la Loi 25 crée un flou juridique avec le droit des successions du Code civil du Québec.

Le nouveau ‘droit à la désindexation’ (droit à l’oubli) de la Loi 25 crée un flou juridique avec le droit des successions du Code civil du Québec.

– Commission d’accès à l’information du Québec, Principaux changements apportés par la Loi 25

Face à cette incertitude, la meilleure approche est la planification proactive. Ne laissez pas le sort de votre vie numérique au hasard ou à la merci des politiques opaques des géants du web. La plupart des grandes plateformes (comme Google et Facebook) offrent désormais des outils pour désigner un “contact légataire” ou pour programmer la suppression automatique de votre compte après une période d’inactivité. Utiliser ces outils est un acte de gestion de vos renseignements personnels, même post-mortem. Il est également conseillé d’inclure des directives claires sur vos actifs numériques dans votre testament, en listant les comptes importants et vos volontés (conservation, suppression, transmission) pour guider votre liquidateur.

En agissant de votre vivant, vous vous assurez que votre volonté soit respectée et vous épargnez à vos proches un casse-tête juridique et émotionnel complexe.

ChatGPT pour la rédaction : comment l’utiliser sans plagier ou perdre sa voix personnelle ?

L’utilisation d’outils d’intelligence artificielle comme ChatGPT est devenue courante. Si les questions de plagiat et d’originalité sont pertinentes, la Loi 25 soulève une préoccupation bien plus fondamentale pour les Québécois : la souveraineté et la protection de vos données. Lorsque vous entrez une information dans ChatGPT, où va-t-elle ? Le plus souvent, sur des serveurs situés aux États-Unis, hors de la juridiction directe des lois québécoises.

La Loi 25 est très stricte sur ce point. Avant de communiquer des renseignements personnels à l’extérieur du Québec, une entreprise (ou même un travailleur autonome) doit réaliser une “Évaluation des Facteurs relatifs à la Vie Privée” (ÉFVP). Cette évaluation doit garantir que les informations bénéficieront d’une protection adéquate. Selon la Commission d’accès à l’information, la communication peut être effectuée si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, et doit faire l’objet d’une entente écrite. Soumettre des informations sur un client, un patient ou même des détails personnels dans une requête à une IA sans ces précautions peut constituer une violation de la loi.

Le principe de prudence est donc de considérer que tout ce que vous écrivez dans une interface d’IA publique peut potentiellement devenir public et est stocké indéfiniment. La solution n’est pas de bannir ces outils, mais de les utiliser avec une hygiène juridique rigoureuse. Ne soumettez jamais de renseignements personnels identifiables. Anonymisez systématiquement les données. Par exemple, au lieu de demander “Rédige un courriel pour mon client Jean Tremblay de Montréal concernant son dossier 12345”, demandez “Rédige un modèle de courriel pour un client concernant son dossier”. Vous obtenez le même service sans créer d’incident de confidentialité.

Pour les entreprises et les professionnels, il est judicieux d’adopter une charte interne claire :

• Règle 1 : Ne jamais soumettre de renseignements personnels identifiables à une IA.
• Règle 2 : Anonymiser systématiquement toutes les données avant utilisation.
• Règle 3 : Considérer toute information partagée comme publique et permanente.
• Règle 4 : Documenter l’utilisation de l’IA dans vos processus pour la transparence requise par la Loi 25.
• Règle 5 : Former les employés sur les risques de transfert de données hors Québec.

En appliquant ces règles, vous pouvez bénéficier de la puissance de l’IA tout en respectant scrupuleusement vos obligations légales et éthiques sous l’égide de la Loi 25.

Comment immatriculer votre entreprise au REQ sans payer un intermédiaire inutilement ?

Lancer son entreprise au Québec implique une étape incontournable : l’immatriculation au Registraire des entreprises du Québec (REQ). De nombreux services en ligne proposent de le faire pour vous, moyennant des frais. Si cela peut sembler pratique, cette démarche soulève un paradoxe au regard de la Loi 25. En confiant cette tâche, vous donnez accès à vos renseignements personnels les plus sensibles (nom, adresse, date de naissance) à un tiers dont vous ne maîtrisez pas toujours les pratiques de sécurité.

L’immatriculation directe via le site du gouvernement est non seulement gratuite (hormis les droits gouvernementaux), mais elle vous garantit une maîtrise totale de vos données. Vous appliquez ainsi le principe de “minimisation des données” : pourquoi multiplier les points de contact et les risques de fuite quand un seul suffit ? Le véritable enjeu, cependant, est la publicité de certaines de ces informations. L’adresse de votre établissement principal devient publique au REQ. Pour un travailleur autonome opérant de son domicile, cela signifie que son adresse personnelle devient visible par tous.

La solution, directement inspirée par l’esprit de protection de la Loi 25, est d’utiliser une adresse de domiciliation commerciale. Pour un coût modique, des entreprises spécialisées vous fournissent une adresse civique prestigieuse que vous pouvez utiliser pour votre immatriculation et votre courrier d’affaires. Votre adresse personnelle reste ainsi privée. C’est un geste simple qui résout le conflit entre l’obligation de transparence du REQ et votre droit à la protection de votre vie privée.

Le processus d’immatriculation en mode “protection de données” est simple :

1. Étape 1 : Obtenir une adresse de domiciliation commerciale avant de commencer.
2. Étape 2 : Créer votre compte sécurisé directement sur le site du REQ.
3. Étape 3 : Remplir les formulaires en utilisant l’adresse commerciale et en ne fournissant que les informations strictement requises.
4. Étape 4 : Utiliser un numéro de téléphone et une adresse courriel d’affaires distincts de vos contacts personnels.
5. Étape 5 : Conserver le plein contrôle de vos informations d’identification, sans intermédiaire.

En fin de compte, s’immatriculer soi-même n’est pas qu’une question d’économie; c’est le premier acte de gouvernance de votre entreprise en matière de protection des renseignements personnels.

Comment méditer 10 minutes par jour quand on a un TDAH et qu’on ne tient pas en place ?

Chercher des outils pour améliorer sa concentration, comme des applications de méditation, est une démarche positive, surtout quand on compose avec un TDAH. Ironiquement, ces applications peuvent représenter un risque important pour votre vie privée. La Loi 25 est particulièrement stricte sur ce point : les informations concernant votre santé, y compris votre santé mentale, sont considérées comme des “renseignements sensibles“. Leur collecte et leur utilisation nécessitent un consentement non seulement éclairé, mais explicite et distinct.

Chaque session de méditation enregistrée, chaque humeur notée, chaque rythme cardiaque suivi par l’application constitue une donnée de santé sensible. Depuis septembre 2023, la loi exige des organismes qu’ils s’assurent que le consentement obtenu soit manifeste, libre, éclairé et donné à des fins précises. Avez-vous explicitement consenti à ce que vos données de méditation soient utilisées pour de la publicité ciblée ou vendues à des tiers ? Souvent, la réponse est non. L’alternative, et peut-être la forme ultime de protection des données, est la déconnexion : méditer sans technologie, en se concentrant sur sa respiration dans un parc, est une option zéro-donnée.

Tout comme la méditation vise à reprendre le contrôle de son attention face aux distractions, l’application des principes de la Loi 25 vise à reprendre le contrôle de ses informations personnelles face au bruit numérique. Chaque droit que nous avons exploré est un outil pour ramener votre attention sur ce qui est essentiel : la finalité, la sécurité et votre consentement. Si vous avez utilisé une telle application et que vous souhaitez faire table rase, la Loi 25 vous en donne le pouvoir via le droit à l’effacement. Vous pouvez exiger la suppression de vos données. Un modèle de demande simple peut être envoyé à l’entreprise, en citant vos droits. Il suffit d’identifier votre compte, de lister les données à supprimer et d’exiger une confirmation sous 30 jours, en mentionnant votre droit de recours à la Commission d’accès à l’information en cas de non-réponse.

Pour protéger efficacement vos droits, l’étape suivante consiste à appliquer cette grille de lecture au quotidien, à questionner chaque collecte de données et à exercer vos droits avec la confiance que la loi est de votre côté.