La Loi 25 sur la protection des renseignements personnels au Québec est plus stricte que le RGPD à plusieurs égards, avec des pénalités pouvant atteindre 25 M$ CA ou 4 % du chiffre d'affaires mondial. Pour les organisations basées au Québec, ainsi que pour toute entreprise faisant affaire dans la province, la conformité n'est pas une option. C'est un impératif d'affaires. Ce guide complet vous aidera à comprendre et à mettre en œuvre les exigences de la Loi 25 sans vous perdre dans la complexité.
⚠️ Alerte : échéance critique
Le 22 septembre 2024 a marqué l'entrée en vigueur de la dernière phase de la Loi 25, incluant des sanctions administratives pécuniaires pouvant atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial. Les organisations jugées non conformes s'exposent à un risque immédiat de pénalités importantes et d'atteinte à leur réputation.
Si vous n'avez pas encore entamé votre démarche de conformité, vous accusez déjà un retard. La voie la plus rapide consiste à bâtir des systèmes opérationnels concrets, et non seulement des documents de politique.
Qu'est-ce que la Loi 25 ?
La Loi 25, connue formellement sous le nom de Projet de loi 64 ou « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », est la législation québécoise complète en matière de protection de la vie privée qui modernise en profondeur la manière dont les organisations doivent traiter les renseignements personnels. La loi est entrée en vigueur par étapes entre septembre 2022 et septembre 2024, rapprochant le régime québécois de protection des renseignements personnels des normes internationales tout en introduisant des exigences qui, sur certains points, dépassent le Règlement général européen sur la protection des données (RGPD).
La loi a une portée extraterritoriale étendue. Vous devez vous y conformer si vous :
- Exercez des activités au Québec
- Recueillez des données auprès de résidents du Québec
- Traitez des données de résidents du Québec (y compris à titre de fournisseur ou de prestataire de services)
- Exploitez un organisme à but non lucratif ou une association dans la province
- Employez des résidents du Québec
Le constat essentiel : si vous faites affaire avec des résidents du Québec ou si vous employez des résidents du Québec, la Loi 25 s'applique à vous, peu importe l'endroit où votre entreprise a son siège social.
La Loi 25 n'est pas un simple exercice de conformité juridique. Elle exige des changements opérationnels touchant la collecte, le stockage et la gouvernance des données, la gestion des fournisseurs, la sécurité et la réponse aux incidents. Les organisations qui considèrent cela comme une simple mise à jour de politique échoueront aux audits de conformité et s'exposeront à des pénalités.
Comment la Loi 25 se compare-t-elle au RGPD ?
De nombreuses organisations présument que si elles sont conformes au RGPD, elles se conforment automatiquement à la Loi 25. Il s'agit d'une méprise dangereuse. Bien que les deux lois partagent des principes communs, la Loi 25 comporte plusieurs exigences plus strictes qui prennent les organisations au dépourvu.
Un client multinational du secteur du détail présumait que sa conformité au RGPD couvrait la Loi 25. Lors de notre évaluation, nous avons découvert des lacunes critiques :
- Absence d'évaluations des facteurs relatifs à la vie privée pour 12 systèmes propres au Québec
- Les mécanismes de consentement ne satisfaisaient pas à l'exigence de consentement « manifeste » de la Loi 25
- Le plan de réponse aux incidents prévoyait un délai de 72 heures (trop lent pour la norme « dans les meilleurs délais » de la Loi 25)
- La politique de confidentialité n'était pas disponible en français
- Aucun calendrier de conservation des données n'était documenté
Exposition potentielle totale : 8,5 M$ en pénalités. Nous les avons aidés à atteindre une conformité complète en 6 mois.
| Exigence | RGPD | Loi 25 |
|---|---|---|
| Consentement | Requis pour la plupart des traitements ; certaines exemptions | Plus strict : le consentement doit être « manifeste, libre et éclairé » |
| Délai de notification des incidents | 72 heures à l'autorité de contrôle | Dans les meilleurs délais (pratiquement immédiat) |
| Évaluation des facteurs relatifs à la vie privée | Requise pour les traitements à risque élevé | Requise avant TOUT nouveau système recueillant des renseignements personnels |
| Conservation des données | Minimiser la période de conservation | Doit établir et documenter des périodes de conservation précises |
| Pénalité maximale | 20 M€ ou 4 % du chiffre d'affaires mondial | 25 M$ CA ou 4 % du chiffre d'affaires mondial |
| Langue | S. O. | Les politiques de confidentialité doivent être offertes en français |
Exigences clés et échéancier de mise en œuvre
La Loi 25 a été mise en œuvre en trois phases, chacune introduisant des exigences de plus en plus strictes. Comprendre cet échéancier vous aide à prioriser vos activités de conformité et à comprendre où se concentrera l'application de la loi.
Les organisations devaient établir la structure de base de reddition de comptes :
- Désigner une personne responsable de la protection des renseignements personnels
- Établir des politiques et pratiques de gouvernance des renseignements personnels
- Rendre public leur cadre de gouvernance
- Mettre à jour les politiques de confidentialité pour refléter les nouveaux droits des individus
Les contrôles opérationnels sont entrés en vigueur :
- Tenir un registre obligatoire des incidents de confidentialité
- Répondre à des obligations de transparence accrues
- Mettre en œuvre des exigences de consentement plus strictes
- Activer le droit à la portabilité des données
- Appliquer les exigences de dépersonnalisation pour certains usages des données
Les pénalités maximales sont désormais applicables :
- Les évaluations des facteurs relatifs à la vie privée sont obligatoires pour tous les nouveaux projets
- Notification obligatoire des incidents à la CAI et aux personnes concernées
- Pénalités pouvant atteindre 25 M$ CA ou 4 % du chiffre d'affaires mondial
- La Commission d'accès à l'information a obtenu tous ses pouvoirs d'application
- Les restrictions sur les transferts internationaux de données sont pleinement appliquées
Les 10 mesures de conformité essentielles
Fort de notre travail auprès de plus de 50 organisations québécoises pour atteindre la conformité à la Loi 25, voici les dix mesures les plus critiques que vous devez mettre en œuvre. Chacune représente une exigence opérationnelle fondamentale, et non un simple exercice documentaire.
Désigner un responsable de la protection des renseignements personnels
Vous devez désigner une personne responsable de la protection des renseignements personnels et publier ses coordonnées. Cette personne devrait disposer de ressources, d'une autorité et d'un accès direct à la haute direction adéquats. Documentez clairement son mandat et assurez-vous qu'elle dispose de l'appui nécessaire pour faire respecter la conformité dans toute l'organisation.
Réaliser une cartographie et un inventaire des données
Créez un inventaire complet de tous les renseignements personnels que vous recueillez, utilisez, divulguez et conservez. Documentez où ils sont stockés, qui y a accès et comment ils circulent dans vos systèmes. Cet exercice de cartographie révèle souvent que les organisations détiennent de 40 % à 60 % plus de renseignements personnels qu'elles ne le pensaient.
Mettre en œuvre des évaluations des facteurs relatifs à la vie privée
Avant de mettre en œuvre toute nouvelle technologie, tout nouveau processus ou système recueillant des renseignements personnels, vous devez réaliser une évaluation des facteurs relatifs à la vie privée (EFVP). Cette exigence est plus stricte que le RGPD, qui ne requiert des EFVP que pour les traitements à risque élevé. Les nouveaux systèmes logiciels, les changements de processus, les nouvelles initiatives de collecte de données, les mises en œuvre d'IA/d'apprentissage automatique, les changements de fournisseurs et les modifications aux systèmes existants déclenchent tous l'exigence d'EFVP.
Établir des mécanismes de consentement
Le consentement doit être « manifeste, libre et éclairé ». Cela signifie qu'il doit être clair, précis, informé et donné sans pression. Les cases précochées ne suffisent pas. Passez en revue tous les formulaires de consentement, les bandeaux de témoins de connexion (cookies), les inscriptions marketing et les points de collecte de données. Assurez-vous que les utilisateurs comprennent facilement à quoi ils consentent et qu'ils peuvent retirer leur consentement facilement.
Créer des calendriers de conservation des données
Vous devez établir et documenter la durée pendant laquelle vous conservez chaque catégorie de renseignements personnels et les critères déterminant les périodes de conservation. Créez une matrice de conservation des données couvrant tous les types de données, les exigences légales de conservation, les besoins d'affaires et les procédures de suppression.
Mettre en œuvre des procédures de réponse aux incidents
Vous devez tenir un registre des incidents et notifier la CAI et les personnes concernées « dans les meilleurs délais » lorsqu'un incident présente un risque de préjudice sérieux. Le délai de 72 heures du RGPD est trop lent pour la Loi 25. Mettez en œuvre des mécanismes de détection, des procédures d'escalade, des cadres d'évaluation des incidents, des modèles de notification, des processus de signalement à la CAI et des protocoles de remédiation.
Mettre à jour les politiques de confidentialité
Votre politique de confidentialité doit être rédigée dans un langage clair et simple et être offerte en français. Elle doit expliquer toutes les pratiques relatives aux données, les droits des individus et la manière de les exercer. Il ne s'agit pas d'une simple traduction ; la version française doit être aussi claire et accessible que la version anglaise. Évitez le jargon juridique complexe dans les deux langues.
Gérer les transferts internationaux de données
Le transfert de renseignements personnels à l'extérieur du Québec exige des garanties précises et, dans bien des cas, un consentement. Cela inclut les transferts vers d'autres provinces canadiennes et vers d'autres pays. Mettez en œuvre des ententes de transfert de données comportant des clauses de protection adéquates, réalisez des évaluations d'impact des transferts et, dans certains cas, obtenez le consentement explicite des personnes concernées.
Mettre en œuvre des procédures relatives aux droits des individus
Les individus ont le droit d'accéder à leurs données, de les corriger et de les faire supprimer, ainsi qu'un droit à la portabilité des données. Vous devez disposer de procédures pour répondre à ces demandes dans un délai de 30 jours. Créez un processus de réception des demandes, des procédures de vérification, des mécanismes de récupération des données, des modèles de réponse et un système de suivi.
Former votre équipe
Toute personne qui manipule des renseignements personnels doit comprendre ses obligations en matière de protection de la vie privée. Cela inclut les employés, les contractants et les fournisseurs. La formation devrait couvrir ce qui constitue un renseignement personnel, les exigences de la Loi 25, les droits des individus, les protocoles de réponse aux incidents, les exigences de consentement et les principes de minimisation des données.
Les lacunes de conformité courantes que nous observons
Dans nos évaluations de conformité, nous constatons systématiquement les mêmes lacunes chez des organisations de toutes tailles. Comprendre ces tendances vous aide à éviter les écueils les plus courants.
Une gestion inadéquate des fournisseurs. Les organisations se concentrent sur leurs propres systèmes, mais négligent les fournisseurs tiers qui traitent des renseignements personnels en leur nom. Vous avez besoin d'un inventaire des fournisseurs identifiant lesquels traitent des renseignements personnels, d'ententes de traitement des données comportant des clauses de protection de la vie privée, d'un processus d'évaluation des fournisseurs avant leur intégration, de révisions régulières de la conformité des fournisseurs et d'exigences de notification des incidents dans les contrats. En vertu de la Loi 25, vous demeurez responsable de la conformité de vos fournisseurs.
L'informatique parallèle et les systèmes non documentés. Les services mettent souvent en œuvre des outils comme des logiciels de gestion de projet, des systèmes de gestion de la relation client ou des plateformes de communication sans faire intervenir le service informatique. Ces systèmes recueillent et traitent des renseignements personnels sans faire partie de votre programme de conformité. La solution exige des audits technologiques réguliers, des processus d'approbation logicielle et une sensibilisation des services aux implications de la protection de la vie privée des nouveaux outils. Nous découvrons généralement de 15 à 20 systèmes non documentés dans les organisations de taille moyenne lors de nos évaluations.
Les défis de conservation des données. Les organisations établissent des calendriers de conservation pour leurs bases de données principales, mais oublient les systèmes de sauvegarde, les courriels archivés, les systèmes hérités et les appareils des employés. Si vous ne pouvez pas supprimer des données lorsque cela est requis, vous n'êtes pas conforme. Vos procédures de suppression doivent fonctionner dans tous les systèmes, y compris les sauvegardes. Cela exige souvent un travail technique considérable pour une mise en œuvre adéquate.
Le consentement pour les données existantes. Les bases de données clients constituées avant la Loi 25 contiennent souvent des consentements qui ne répondent pas aux normes actuelles. Le consentement obtenu il y a des années pourrait ne pas satisfaire à l'exigence de consentement « manifeste, libre et éclairé ». Vous devez évaluer vos mécanismes de consentement existants, déterminer s'ils satisfont aux exigences de la Loi 25 et, potentiellement, mettre en œuvre une campagne de nouveau consentement là où c'est nécessaire.
Les exigences linguistiques. Votre politique de confidentialité, vos formulaires de consentement et vos procédures de demande relatives aux droits des individus doivent être offerts en français. Une documentation uniquement en anglais n'est pas conforme. Il ne s'agit pas d'une simple traduction ; la version française doit être aussi claire et accessible que la version anglaise.
Étude de cas : la conformité d'une entreprise manufacturière
Un fabricant de taille moyenne comptant 500 employés et 2 000 clients nous a consultés 6 mois avant l'échéance de la Phase 3. L'évaluation initiale a révélé :
- Aucun responsable de la protection des renseignements personnels désigné
- Aucun inventaire ni cartographie des données
- 15 outils infonuagiques non documentés recueillant des données personnelles
- Aucun plan de réponse aux incidents
- Politique de confidentialité uniquement en anglais
- Aucun calendrier de conservation des données
- Aucune entente avec les fournisseurs comportant des clauses de protection de la vie privée
Notre programme de conformité de 6 mois :
Mois 1 : désignation du responsable de la protection des renseignements personnels, création de l'inventaire des données, évaluation des lacunes de conformité. Mois 2 : élaboration des politiques de confidentialité en français et en anglais, mise en œuvre des mécanismes de consentement. Mois 3 : création des EFVP pour tous les systèmes, établissement des calendriers de conservation des données. Mois 4 : mise en œuvre des procédures de réponse aux incidents, mise à jour des contrats de fournisseurs. Mois 5 : mise en place du système de demandes relatives aux droits des individus, formation du personnel. Mois 6 : finalisation de la documentation, validation de la conformité, inscription auprès de la CAI.
Résultat : conformité complète atteinte avant l'échéance de la Phase 3, évitant des pénalités potentielles de plus de 8 M$.
L'architecture technologique de la conformité à la Loi 25
Bien que la conformité repose fondamentalement sur des politiques et des procédures, la bonne technologie réduit considérablement le fardeau opérationnel. Toutefois, les organisations doivent comprendre que la technologie facilite la conformité, mais ne la crée pas.
Plateforme de gestion du consentement : gère le consentement aux témoins de connexion, suit les préférences, fournit des pistes de vérification et s'intègre à votre site Web et à vos applications. Les fonctionnalités clés incluent des options de consentement granulaires, la gestion des préférences, la consignation des vérifications, le soutien de la langue française et des mécanismes de retrait faciles.
Outils d'évaluation des facteurs relatifs à la vie privée : simplifient la réalisation des EFVP, assurent la cohérence, maintiennent une bibliothèque d'évaluations et suivent les mesures de remédiation. Étant donné que la Loi 25 exige des EFVP pour tout nouveau système recueillant des renseignements personnels, une approche systématique évite que cela ne devienne un goulot d'étranglement.
Découverte et classification des données : analyse automatiquement les systèmes pour repérer les renseignements personnels, classe la sensibilité des données, cartographie les flux de données et repère l'informatique parallèle. Vous ne pouvez pas protéger ce que vous ne connaissez pas, et la cartographie manuelle des données omet généralement de 40 % à 60 % des renseignements personnels dans la plupart des organisations.
Gestion des demandes relatives aux droits : traite les demandes d'accès, gère la récupération des données, suit les délais de réponse, fournit des pistes de vérification et automatise les flux de travail. Les petites organisations peuvent commencer avec le courriel et des tableurs, mais des systèmes automatisés deviennent essentiels à mesure que le volume de demandes augmente.
Plateformes de réponse aux incidents : tiennent le registre des incidents, automatisent les processus de notification, suivent la remédiation, génèrent des rapports pour la CAI et fournissent des analyses. Ces systèmes garantissent que vous pouvez respecter l'exigence de notification « dans les meilleurs délais ».
Automatisation de la conservation des données : met en œuvre les calendriers de conservation, automatise la suppression, fournit des blocages légaux, tient des pistes de vérification et gère les systèmes de sauvegarde. Il s'agit souvent de la composante la plus complexe sur le plan technique, car elle doit fonctionner dans tous les systèmes, y compris les sauvegardes.
Nous constatons que des organisations achètent des plateformes de conformité coûteuses en présumant que cela règle leurs obligations en vertu de la Loi 25. Ce n'est pas le cas. La technologie facilite la conformité, mais ne la crée pas. Vous avez toujours besoin de politiques et de procédures claires, d'un personnel formé qui comprend ses obligations, d'une reddition de comptes des dirigeants en matière de conformité, d'audits et d'évaluations réguliers, et d'une culture de protection de la vie privée dès la conception.
Pénalités et application
La Commission d'accès à l'information (CAI) dispose de vastes pouvoirs d'application et a démontré sa volonté de les exercer.
Structure des pénalités :
Pour les individus : jusqu'à 10 000 $ pour les infractions générales et jusqu'à 50 000 $ pour les infractions graves ou les récidives.
Pour les organisations : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial pour les infractions générales, et jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les infractions graves.
Déclencheurs d'application :
- Les atteintes à la protection des données (particulièrement les incidents non déclarés ou mal gérés)
- Les plaintes de consommateurs faisant l'objet d'une enquête de la CAI
- Les audits proactifs (la CAI peut auditer des organisations sans motif)
- L'attention médiatique entourant des incidents très médiatisés
- Les tendances de non-conformité qui augmentent les pénalités
Mesures d'application précoces :
Bien que la Loi 25 soit relativement récente, la CAI a déjà signalé ses priorités d'application par des mesures précoces. Les organisations qui ne déclarent pas les atteintes s'exposent à des pénalités automatiques. Des entreprises dont les mécanismes de consentement étaient inadéquats ont reçu des ordonnances de conformité exigeant une remédiation immédiate. Des entreprises ne disposant pas d'ententes appropriées avec leurs fournisseurs ont été condamnées à une amende. Plusieurs organisations ont été pénalisées pour des notifications d'incidents retardées, soulignant la norme « dans les meilleurs délais ».
L'approche d'application se concentre sur la conformité opérationnelle, et non uniquement sur la documentation. La CAI examine si les organisations disposent de systèmes fonctionnels, et non seulement de documents de politique.
Votre feuille de route de conformité sur 90 jours
Si vous entamez votre démarche de conformité à la Loi 25, voici une feuille de route pratique qui équilibre rapidité et rigueur. Cet échéancier présume des ressources dédiées et un appui de la direction.
Jours 1 à 30 : fondations et évaluation
Semaine 1, établir la gouvernance : désigner un responsable de la protection des renseignements personnels disposant d'une autorité claire, former un groupe de travail sur la conformité, obtenir le parrainage et le budget de la direction, et faire appel à un conseiller juridique au besoin.
Semaines 2 et 3, réaliser une évaluation des lacunes : passer en revue les pratiques actuelles au regard des exigences de la Loi 25, documenter les lacunes de conformité avec des exemples précis, repérer les gains rapides et les zones à risque élevé, et estimer l'effort et les coûts de remédiation.
Semaine 4, créer un plan de mise en œuvre : prioriser les activités de remédiation, attribuer les responsabilités, établir des échéanciers et des jalons, et définir les indicateurs de succès.
Jours 31 à 60 : mise en œuvre fondamentale
Semaines 5 et 6, cartographie et inventaire des données : documenter tous les renseignements personnels, cartographier les flux de données et les activités de traitement, repérer les responsables des systèmes et les dépositaires de données, et créer un registre d'inventaire des données.
Semaine 7, politiques et procédures : élaborer ou mettre à jour la politique de confidentialité (en français et en anglais), créer des calendriers de conservation des données, documenter les procédures de consentement et établir des plans de réponse aux incidents.
Semaine 8, gestion des fournisseurs : créer un inventaire des fournisseurs, élaborer des ententes types de traitement des données, évaluer les fournisseurs à risque élevé et amorcer la mise à jour des contrats.
Jours 61 à 90 : opérationnalisation
Semaine 9, mécanismes relatifs aux droits des individus : créer un processus de réception des demandes, élaborer des procédures de réponse, développer des capacités de récupération des données et créer des modèles de réponse.
Semaine 10, formation et communication : élaborer du matériel de formation, former le responsable de la protection des renseignements personnels et le groupe de travail, mener une formation à l'échelle de l'organisation, et communiquer le programme aux parties prenantes.
Semaines 11 et 12, documentation et validation : finaliser toute la documentation de conformité, réaliser un audit interne de conformité, remédier aux lacunes restantes et établir une surveillance continue de la conformité.
Maintenir la conformité de manière continue
La conformité à la Loi 25 n'est pas un projet ponctuel. C'est une exigence opérationnelle continue. Les organisations doivent établir des processus durables qui maintiennent la conformité à mesure que l'entreprise évolue.
Activités trimestrielles : réviser et mettre à jour l'inventaire des données, auditer les mécanismes de consentement, réviser le registre des incidents, évaluer les nouveaux fournisseurs et systèmes, et mettre à jour le matériel de formation au besoin.
Activités annuelles : audit de conformité complet, révision et mise à jour de la politique de confidentialité, révision du calendrier de conservation des données, évaluation de la conformité des fournisseurs, rapport annuel du responsable de la protection des renseignements personnels à la direction, et rafraîchissement de la formation en protection de la vie privée à l'échelle de l'organisation.
Activités continues : réaliser des EFVP pour les nouveaux projets, traiter les demandes relatives aux droits des individus, surveiller les incidents et y répondre, mettre à jour les ententes avec les fournisseurs, et réviser les changements technologiques sous l'angle de la protection de la vie privée dès la conception.
L'objectif est d'intégrer la conformité en matière de protection de la vie privée aux opérations normales de l'entreprise plutôt que de la traiter comme un exercice de conformité distinct.
Conclusion : la conformité comme avantage concurrentiel
Bien que la conformité à la Loi 25 puisse sembler intimidante, les organisations qui l'abordent de façon stratégique la transforment en avantage concurrentiel plutôt qu'en simple coût d'exploitation.
Une protection démontrable de la vie privée bâtit la confiance des clients et la réputation de la marque. À une époque où les atteintes à la protection des données font régulièrement les manchettes, les organisations capables de démontrer des pratiques robustes en matière de protection de la vie privée se distinguent.
Les améliorations de la gouvernance des données réduisent la redondance et améliorent la qualité des données, ce qui favorise l'efficacité opérationnelle. Le travail de cartographie et d'inventaire des données requis pour la Loi 25 révèle souvent des inefficacités qui, une fois corrigées, réduisent les coûts et améliorent la prise de décision.
La conformité proactive prévient les atteintes et pénalités coûteuses grâce à une atténuation systématique des risques. Les contrôles mis en œuvre pour la Loi 25 (détection des incidents, réponse aux incidents, contrôles d'accès, gestion des fournisseurs) réduisent la probabilité et l'impact des incidents de données.
La conformité facilite les affaires avec des clients soucieux de la protection de la vie privée et donne accès à de nouveaux marchés. Certains clients, particulièrement dans les secteurs réglementés ou les marchés européens, exigent une conformité démontrée en matière de protection de la vie privée de la part de leurs fournisseurs.
Une meilleure gestion des données permet des initiatives d'analytique et d'IA en créant un levier de données. L'inventaire des données, les améliorations de qualité et les cadres de gouvernance requis pour la conformité créent une fondation pour l'analytique avancée et l'IA.
Les organisations qui considèrent la Loi 25 comme un simple fardeau de conformité feront le strict minimum et rateront ces occasions. Celles qui font de la protection de la vie privée un principe opérationnel fondamental bâtiront des entreprises plus fortes et plus résilientes.
La question n'est pas de savoir s'il faut se conformer à la Loi 25. C'est obligatoire. La question est de savoir si vous considérerez la conformité comme un fardeau à minimiser ou comme une occasion de renforcer la gouvernance des données, la confiance des clients et la position concurrentielle de votre organisation.
Nous avons aidé plus de 50 organisations québécoises à atteindre une conformité complète. Notre équipe NoèmeX offre des services de conformité de bout en bout, de l'évaluation des lacunes à la mise en œuvre complète et à la surveillance continue de la conformité. Notre équipe bilingue comprend à la fois les exigences techniques et le contexte culturel de la législation québécoise sur la protection de la vie privée.
Prêt à entamer votre démarche de conformité ? Contactez notre équipe de conformité québécoise →