Vous avez probablement entendu parler de la Loi 25. Peut-être que vous avez même coché une case dans un formulaire de conformité l’an dernier. Mais voici la question que peu de gestionnaires RH se posent vraiment : est-ce que vos données d’employés sont, en ce moment, conformes à ce que la loi exige?
Pour beaucoup d’organisations québécoises, la réponse honnête est : probablement pas entièrement.
Ce n’est pas un reproche. La Loi 25, officiellement appelée la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, est entrée en vigueur en plusieurs phases depuis 2022. Ses exigences sur les évaluations de facteurs relatifs à la vie privée (EFVP) et les obligations de notification de confidentialité sont en vigueur depuis septembre 2023. Plusieurs entreprises ont commencé à voir passer des audits.
Ce qu’on entend de plus en plus dans les PME québécoises, c’est ça :
On a eu quelques constats lors d'un audit de notre ordre professionnel. Les processus sont maintenant plus complexes avec des étapes supplémentaires. On avait l'habitude d'envoyer les documents par courriel... certains adresses courriels sont partagées par plusieurs personnes de la même famille, et des informations confidentielles se retrouvent exposées par erreur.
Ce que la Loi 25 exige concrètement pour vos données RH
La Loi 25 s’applique à toute information qui permet d’identifier une personne. Dans un contexte RH, ça couvre à peu près tout : noms, adresses, salaires, dossiers de performance, certifications, absences médicales, NAS, informations bancaires.
Voici les obligations qui touchent le plus directement les équipes RH :
1. Désigner un responsable de la protection des renseignements personnels
Votre organisation doit nommer quelqu’un. Dans une PME, c’est souvent le DG ou la DRH. Ce nom doit également être publié sur votre site web.
2. Inventorier les renseignements personnels collectés
Vous devez savoir quelles données vous avez, où elles sont stockées, et qui y a accès. Si vous répondez « dans des fichiers Excel sur des postes individuels et dans un Google Drive partagé », vous avez un problème!
3. Obtenir un consentement valide
Pour collecter des données sensibles (médicales, financières, biométriques) vous devez avoir un consentement explicite et documenté. Un formulaire papier signé il y a 4 ans qui traîne dans un classeur ne satisfait pas cette exigence.
4. Respecter des règles strictes sur les transferts hors Québec
Si vos données sont hébergées sur des serveurs américains, vous devez avoir réalisé une Évaluation des facteurs relatifs à la vie privée (EFVP) et obtenir des garanties contractuelles. La plupart des PME n’ont rien de tout ça.
5. Assurer la sécurité des données
Des mesures de sécurité raisonnables doivent être mises en place. Cela implique : le chiffrement, des contrôles d’accès, une piste d’audit des modifications, et l’hébergement sur une infrastructure certifiée.
Les 4 pratiques RH qui ne passent plus
Voici les situations les plus fréquentes qu’on rencontre dans les PME québécoises en ce moment et qui créent un risque réel de non-conformité.
Pratique #1 : Le fichier Excel partagé avec les données de tous les employés
Salaires, NAS, coordonnées bancaires, absences médicales.. tout se retrouve dans un fichier qu’une dizaine de personnes peuvent ouvrir, sans aucune piste d’audit ni contrôle d’accès granulaire. Si ce fichier est partagé sur OneDrive ou Google Drive avec des serveurs hors-Canada, vous vous retrouvez avec un transfert de données non documenté.
Pratique #2 : Envoi de documents confidentiels par courriel
Les lettres d’embauche, offres de service, avis disciplinaires, ou documents médicaux sont envoyés par Gmail ou Outlook, sans chiffrement de bout en bout, sans confirmation de lecture sécurisée, sans trace dans un système centralisé. Si le destinataire transfère le courriel ou si la boîte courriel est compromise, les données sont exposées.
Pratique #3 : Aucun processus de consentement documenté
Quand un employé intègre votre organisation, lui demandez-vous formellement de consentir à la collecte de ses données personnelles? Ce consentement est-il daté, signé, et stocké de façon accessible? Si la réponse est non, vous n’avez pas de trace en cas de plainte.
Pratique #4 : Hébergement de données sur des plateformes américaines sans EFVP
Slack, Google Workspace, Dropbox : tous ces outils sont fantastiques, mais ils hébergent vos données aux États-Unis par défaut. Si vous stockez des dossiers d’employés dans ces environnements sans évaluation formelle, vous n’êtes pas conformes.
Ce qu’un logiciel RH conforme doit offrir
La bonne nouvelle, c’est qu’un logiciel RH québécois bien choisi vous couvre sur la plupart de ces points de façon automatique. Voici ce qu’il doit offrir :
Hébergement sur des serveurs canadiens
Vos données ne doivent pas traverser la frontière. Un logiciel RH hébergé au Canada élimine l’obligation d’EFVP pour le transfert hors-Québec.
Portail employé sécurisé
Chaque employé accède à son propre dossier via un accès authentifié. Les documents confidentiels (offres, évaluations, dossiers médicaux) sont accessibles à la bonne personne seulement, et nulle part ailleurs.
Gestion des accès par rôle
Un gestionnaire de chantier ne devrait pas voir les salaires des employés du siège social. Un logiciel RH bien configuré permet de définir précisément qui voit quoi, avec une piste d’audit de chaque accès et modification.
Signature électronique intégrée
Les consentements, politiques et documents sensibles sont signés numériquement et automatiquement rangés dans le dossier de l’employé avec horodatage. Fini les formulaires papier perdus dans un classeur.
Certification SOC 2 Type 2
La certification Soc 2 Type 2 est un standard international qui garantit que le fournisseur a des contrôles de sécurité éprouvés et vérifiés par un auditeur externe. C’est la preuve concrète que vos données sont en sécurité chez eux.
Comment Folks répond à chacune de ces exigences
Folks est développé et hébergé au Canada. Nous n’avons aucun partenariat qui implique un transfert de données vers les États-Unis.
Concrètement, voici ce que ça vous donne :
- Hébergement 100 % canadien : aucune EFVP requise pour le stockage de données RH.
- Portail employé authentifié : chaque employé accède à son propre espace, personne d’autre.
- Permissions granulaires : définissez exactement qui peut voir quoi, jusqu’au champ individuel
- Signature électronique intégrée : vos politiques, contrats et consentements signés et archivés automatiquement.
- Certifié SOC 2 Type 2 : vérification externe annuelle de nos contrôles de sécurité
- Piste d’audit complète : Chaque modification est enregistrée, datée et attribuée
Pour les organisations qui ont commencé à faire face à des audits ou à des demandes de conformité, Folks peut fournir de la documentation sur notre posture de sécurité et nos certifications.
Loi 25 : par où commencer dans mon entreprise?
Si vous lisez cet article et que vous vous reconnaissez dans une des situations décrites plus haut, voici un plan d’action simple en trois étapes :
1. Inventoriez où sont vos données
Faites la liste de tous les outils qui contiennent des informations sur vos employés : logiciel de paie, dossiers sur Drive ou SharePoint, feuilles Excel, courriels archivés. Notez où chaque outil héberge ses données.
2. Évaluez vos risques prioritaires
Les données les plus sensibles (médicales, salariales, NAS) méritent une attention immédiate. Les transferts hors-Québec non documentés aussi.
3. Centralisez vos informations dans un logiciel conçu pour le Québec
Un logiciel RH hébergé au Canada, avec contrôle d’accès et signature électronique intégrée, règle la grande majorité des enjeux de conformité Loi 25 liés aux données RH, sans que vous ayez à devenir expert juridique.
Ressource publiée par
