La Llei 25 (Loi 25) és la reforma de privacitat que el Quebec va aprovar el 2021 i que va modificar l'Act respecting the protection of personal information in the private sector (Llei sobre la protecció de la informació personal en el sector privat). Obliga les empreses que exerceixen una activitat empresarial a designar una persona responsable de la informació personal, a notificar els incidents de confidencialitat greus, a avaluar els riscos per a la privacitat i a obtenir un consentiment vàlid. Les multes penals poden arribar als 25 milions de dòlars o, si és superior, al 4% del volum de negocis mundial.
La Llei 25 del Quebec imposa al sector privat deures de privacitat més prescriptius que el règim federal. Per a les empreses del Quebec, s'aplica directament. Per a les empreses d'Ontario amb clients, empleats o proveïdors de serveis al Quebec, la qüestió més difícil és quan els arriba realment una llei quebequesa. Aquesta guia explica què exigeix la llei i on és incerta la seva aplicació fora de la província. També compara la Llei 25 amb la llei federal Personal Information Protection and Electronic Documents Act (Llei de protecció de la informació personal i els documents electrònics, PIPEDA).
Actualitzat a octubre de 2026. Les referències a articles corresponen a la versió consolidada de l'Act respecting the protection of personal information in the private sector, CQLR c. P-39.1.
Què és la Llei 25 del Quebec?
«Llei 25» és el nom popular de la S.Q. 2021, c. 25 (presentada com a Bill 64 i sancionada el 22 de setembre de 2021), una llei de modificació que va reescriure diverses lleis quebequeses vigents. Per a les empreses privades, les normes operatives es troben ara a l'Act respecting the protection of personal information in the private sector (la «Llei del sector privat»). Aquest article cita els números d'article d'aquesta llei. L'autoritat reguladora és la Commission d'accès à l'information du Québec (CAI), que emet orientacions, rep les notificacions d'incidents i fa complir la llei.
S'aplica la Llei 25 del Quebec a les empreses d'Ontario?
Algunes guies en línia afirmen que la Llei 25 s'aplica a qualsevol empresa amb un sol client al Quebec. La llei no ho diu, i la resposta honesta és més complicada.
El criteri legal
L'article 1 estableix que la llei s'aplica a la informació personal que una persona «recull, conserva, utilitza o comunica a tercers en l'exercici d'una activitat empresarial en el sentit de l'article 1525 del Codi Civil» (en l'original anglès: «collects, holds, uses or communicates to third persons in the course of carrying on an enterprise within the meaning of article 1525 of the Civil Code»). S'aplica tant si l'empresa conserva la informació directament com si ho fa a través d'un tercer. L'article 1525 del Civil Code of Québec (Codi civil del Quebec) descriu l'exercici d'una activitat empresarial com una activitat econòmica organitzada, de caràcter mercantil o no. L'activitat consisteix a produir, administrar o alienar béns, o a prestar un servei.
L'article 1 no esmenta expressament les empreses situades fora del Quebec. Que arribi o no a una empresa concreta d'Ontario depèn de com de lligada al Quebec estigui l'activitat d'aquesta empresa.
On la llei no és clara
La CAI és un regulador quebequès, i la seva autoritat sobre una empresa sense presència al Quebec planteja dubtes reals de jurisdicció i d'execució. La qüestió oberta és si una empresa radicada fora de la província que ven en línia a residents del Quebec està subjecta a la llei. No hem identificat cap decisió de la CAI ni de cap tribunal que la resolgui de manera directa, i els comentaris sobre aquest punt no són uniformes.
Convé tractar-ho com una avaluació de risc i no com una regla de sí o no. L'exposició és més realista quan una empresa té:
- Una oficina, empleats, agents o existències al Quebec
- Màrqueting dirigit al Quebec, com ara un lloc web en francès pensat per a clients quebequesos
- Un volum significatiu de clients al Quebec
- Proveïdors de serveis o socis establerts al Quebec
El compliment sovint arriba per contracte
Fins i tot quan la jurisdicció directa de la CAI és dubtosa, la Llei 25 sovint arriba a les empreses d'Ontario a través dels contractes. Les empreses del Quebec han de tenir acords escrits amb els proveïdors de serveis (art. 18.3) i amb qui rebi informació personal fora del Quebec (art. 17), de manera que a un proveïdor d'Ontario amb clients quebequesos se li pot demanar que accepti clàusules alineades amb la Llei 25.
Per aquest motiu, algunes empreses d'Ontario opten per adoptar pràctiques de resposta a incidents i de consentiment del nivell de la Llei 25 com a estàndard únic per a tot el país. Es tracta d'una decisió empresarial, no d'una obligació legal, tret que l'empresa exerceixi clarament una activitat empresarial al Quebec.
La Llei 25 també cobreix la informació personal dels empleats en poder d'una empresa al Quebec. Una companyia amb personal que treballa al Quebec ha de considerar que els seus registres de recursos humans hi estan inclosos. Pel que fa a Ontario, consulti la nostra guia sobre les normes de vigilància dels empleats a Ontario (employee monitoring rules in Ontario).
Quan va entrar en vigor la Llei 25?
La Llei 25 va entrar en vigor per fases, el 22 de setembre de 2022, 2023 i 2024 (article 175 de la S.Q. 2021, c. 25). Unes poques disposicions menors van produir efectes en el moment de la sanció, el 2021. Totes les fases són ara en vigor.
| Data | Què va entrar en vigor |
|---|---|
| 22 de setembre de 2022 | Persona responsable de la informació personal (art. 3.1); deures sobre incidents de confidencialitat, registre i notificació (art. 3.5 a 3.8); comunicacions per a transaccions comercials (art. 18.4) |
| 22 de setembre de 2023 | La major part de les obligacions restants, incloses les polítiques de governança (art. 3.2), les avaluacions d'impacte sobre la privacitat (art. 3.3 i 17), el consentiment (art. 14), els avisos sobre tecnologia (art. 8.1), la privacitat per defecte (art. 9.1), les decisions automatitzades (art. 12.1) i els règims de sancions administratives pecuniàries i penals |
| 22 de setembre de 2024 | Portabilitat de dades al tercer paràgraf de l'art. 27 |
Què exigeix la Llei 25 del Quebec: 10 obligacions bàsiques
La llei no preveu cap exempció per a les petites empreses. En canvi, alguns deures són expressament proporcionals a l'activitat de l'empresa (art. 3.2 i 3.3), de manera que una firma de cinc persones i un minorista d'abast nacional s'enfronten a les mateixes normes a una escala diferent.
1. Una persona responsable de la informació personal (art. 3.1)
Per defecte, la persona que exerceix la màxima autoritat a l'empresa, normalment el conseller delegat o el propietari, és la responsable de la protecció de la informació personal. Aquesta persona pot delegar per escrit tota la funció o una part. El càrrec i les dades de contacte de la persona responsable s'han de publicar al lloc web de l'empresa o posar-se a disposició d'una altra manera.
2. Polítiques de govern (art. 3.2)
Una empresa ha d'adoptar polítiques i pràctiques que cobreixin, com a mínim, la conservació i la destrucció de la informació, les funcions i responsabilitats del personal i la tramitació de queixes. Han de ser proporcionals a la seva activitat, estar aprovades per la persona responsable i descrites públicament en un llenguatge senzill i clar. El nostre article sobre com redactar una política de privacitat conforme (drafting a compliant privacy policy) tracta la vessant de redacció.
3. Incidents de confidencialitat (art. 3.5 a 3.8)
Un «incident de confidencialitat» és l'accés, l'ús o la comunicació no autoritzats d'informació personal, o bé la seva pèrdua o qualsevol altra vulneració de la seva protecció (art. 3.6). Quan una empresa té motius per creure que se n'ha produït un, ha de prendre mesures raonables per reduir el risc de perjudici i evitar que es repeteixi. Si l'incident «presenta un risc de perjudici greu» (en l'original anglès, «presents a risk of serious injury»), ha de notificar-ho amb diligència a la CAI i a les persones afectades (art. 3.5). L'avaluació del risc té en compte la sensibilitat de la informació, les conseqüències previsibles del seu ús i la probabilitat d'un ús perjudicial. S'ha de consultar la persona responsable (art. 3.7).
Dos punts agafen les empreses desprevingudes. Primer, el criteri, «risc de perjudici greu», està formulat de manera diferent del de la PIPEDA, «real risk of significant harm» (risc real de dany significatiu). Segon, l'empresa ha de mantenir un registre de tots els incidents, no només dels que cal notificar, i lliurar-ne una còpia a la CAI si ho demana (art. 3.8). El contingut del registre i dels avisos es detalla al Regulation respecting confidentiality incidents (CQLR c. A-2.1, r. 3.1) (Reglament sobre els incidents de confidencialitat) del Quebec, que convé revisar juntament amb els formularis d'incidents de la CAI.
4. Avaluacions d'impacte sobre la privacitat (art. 3.3 i 17)
L'avaluació d'impacte sobre la privacitat (PIA, per les sigles en anglès) és obligatòria en dues situacions.
Sistemes nous o reformats (art. 3.3). Qualsevol projecte d'adquisició, desenvolupament o reforma d'un sistema d'informació o d'un sistema de prestació electrònica de serveis que impliqui informació personal requereix una PIA. S'ha de consultar la persona responsable des del principi. L'avaluació és proporcional a la sensibilitat de la informació, a les finalitats, a la quantitat, a la distribució i al suport.
Comunicació fora del Quebec (art. 17). Abans de comunicar informació personal fora del Quebec, l'empresa ha d'avaluar quatre aspectes: la sensibilitat de la informació, les finalitats d'ús, les mesures de protecció (incloses les contractuals) i el marc jurídic del destí. Només pot continuar si la informació rebrà una protecció adequada. Cal un acord escrit que reflecteixi l'avaluació. El mateix val quan un tercer fora del Quebec tracta o conserva informació per compte de l'empresa.
«Fora del Quebec» inclou Ontario. Una empresa quebequesa que utilitzi un servei al núvol allotjat a Ontario o un proveïdor de nòmines d'Ontario entra dins de l'art. 17, motiu pel qual aquesta disposició apareix tan sovint en les negociacions amb proveïdors.
5. Consentiment (art. 14)
El consentiment ha de ser clar, lliure i informat, i donar-se per a finalitats específiques. S'ha de sol·licitar per a cada finalitat en un llenguatge clar i senzill i, si és per escrit, presentar-se per separat de qualsevol altra informació. Dura només el temps necessari per a aquestes finalitats. Un menor de 14 anys consenteix a través de la persona que té la pàtria potestat o del tutor. El consentiment no donat d'acord amb la llei no té cap efecte.
El consentiment s'ha de donar de manera expressa quan la informació és sensible, és a dir, quan per la seva naturalesa o pel context d'ús comporta una expectativa raonable elevada de privacitat (art. 12 i 13). L'article 14 no utilitza per si mateix l'expressió «consentiment implícit», de manera que les empreses haurien de revisar les disposicions de la llei sobre usos secundaris i informació sensible, així com les orientacions vigents de la CAI, abans de redissenyar els fluxos de consentiment. Pel que fa als missatges de màrqueting, la Canada's Anti-Spam Legislation (legislació antiprogramari brossa del Canadà) fixa normes federals de consentiment diferents.
6. Privacitat per defecte (art. 9.1)
Quan un producte o servei tecnològic que s'ofereix al públic disposa de paràmetres de privacitat, aquests han de proporcionar el nivell més alt de confidencialitat per defecte. L'article 9.1 exclou expressament els paràmetres de les galetes del navegador.
7. Tecnologia d'identificació, localització i elaboració de perfils (art. 8.1)
Una empresa pot recollir informació mitjançant una tecnologia que permeti identificar, localitzar o elaborar el perfil d'una persona. En aquest cas, ha d'informar la persona d'aquesta tecnologia i dels mitjans per activar aquestes funcions. L'article 8.1 defineix ell mateix què és l'elaboració de perfils.
8. Decisions automatitzades (art. 12.1)
Quan una decisió es basa exclusivament en un tractament automatitzat, l'empresa n'ha d'informar la persona com a més tard en el moment de comunicar-li la decisió. Si ho demana, ha de revelar la informació utilitzada, les raons i els principals factors i paràmetres que han portat a la decisió. També ha d'informar del dret a rectificar la informació. La persona ha de poder presentar observacions a un membre del personal que pugui revisar la decisió. Les aprovacions de crèdit automàtiques, els filtres de selecció de personal i les eines de preus basades en IA sense intervenció humana en són exemples típics.
9. Accés i portabilitat (art. 27)
Les persones poden accedir a la seva informació personal. També poden demanar la informació informatitzada que s'ha recollit d'elles, per oposició a la informació creada o inferida sobre elles. S'ha de comunicar en un format tecnològic estructurat i d'ús comú, tret que això plantegi dificultats pràctiques greus. A petició de la persona sol·licitant, aquesta informació també s'ha de comunicar a qualsevol persona o organisme autoritzat per la llei a recollir-la.
10. Proveïdors de serveis (art. 18.3)
La informació personal es pot compartir amb un proveïdor de serveis sense consentiment quan sigui necessari per executar un encàrrec. L'encàrrec ha de constar per escrit i ha d'especificar les mesures que el proveïdor ha de prendre per protegir la confidencialitat, per assegurar que la informació només s'utilitza per a l'encàrrec i per garantir que no es conserva un cop vençut. El proveïdor ha de notificar sense demora a la persona responsable de l'empresa qualsevol violació o intent de violació d'aquestes obligacions de confidencialitat, i ha de permetre que aquesta persona faci verificacions de confidencialitat. El requisit de les mesures específiques no s'aplica quan el proveïdor és un organisme públic o un membre d'un col·legi professional. Aquestes clàusules solen figurar en els contractes de subministrament, de SaaS i de tractament de dades. Consulti la nostra pàgina sobre contractes mercantils (commercial contracts).
Sancions de la Llei 25: tres exposicions diferents
La Llei 25 va crear dos règims financers diferenciats que molts resums barregen. Les sancions administratives pecuniàries les imposa una persona designada per la CAI (art. 90.1 i següents). Les multes penals exigeixen un procediment penal, que la CAI pot iniciar d'acord amb el Code of Penal Procedure (Codi de procediment penal) (art. 92), i les imposa un tribunal. A banda, les persones poden reclamar danys punitius.
| Exposició | Imposada per | Persona física | Resta de casos | Articles |
|---|---|---|---|---|
| Sanció administrativa pecuniària | CAI (persona designada) | Fins a 50.000 $ | Fins a 10.000.000 $ o, si és superior, el 2% del volum de negocis mundial de l'exercici anterior | art. 90.1, 90.12 |
| Multa penal | Tribunal | De 5.000 $ a 100.000 $ | De 15.000 $ a 25.000.000 $ o, si és superior, el 4% del volum de negocis mundial de l'exercici anterior | art. 91, 92.1, 92.2 |
| Danys punitius | Tribunal (reclamació civil) | Almenys 1.000 $ | Almenys 1.000 $ | art. 93.1 |
Aquests són màxims legals, no resultats habituals. Alguns punts addicionals:
- Causes. Les sancions administratives poden derivar de no informar les persones (art. 7 i 8), de la recollida, l'ús, la comunicació, la conservació o la destrucció il·lícites, de no notificar un incident, de mesures de seguretat inadequades (art. 10) i de la infracció de l'art. 12.1. Els delictes penals se solapen i inclouen també la reidentificació d'informació desidentificada o anonimitzada, l'obstrucció d'una investigació de la CAI i l'incompliment d'una ordre de la CAI.
- Compromisos. Una empresa pot oferir a la CAI un compromís per esmenar un incompliment (art. 90.1, segon paràgraf).
- Reincidència i límits. Les multes penals es dupliquen en cas de reincidència (art. 92.1), els procediments s'han d'iniciar en el termini de cinc anys (art. 92.2) i l'art. 92.3 enumera els factors per fixar la pena.
- Administradors i directius. Quan una persona jurídica comet una infracció, l'administrador, el director o el representant que hagi ordenat o autoritzat l'acte o l'omissió, o hi hagi consentit, és part de la infracció i respon de la sanció prevista (art. 93).
- Danys punitius. Una vulneració il·lícita, intencionada o greument negligent, d'un dret reconegut per la llei que causi un perjudici dona lloc a danys punitius d'un mínim de 1.000 $ (art. 93.1).
Llei 25 i PIPEDA
Ontario no té cap llei general de privacitat per al sector privat, de manera que la PIPEDA és la principal llei de privacitat per a la majoria d'empreses d'Ontario. Una ordre d'exempció federal exclou de la PIPEDA l'activitat privada estrictament intraquebequesa. La PIPEDA continua aplicant-se a la informació que travessa fronteres provincials o nacionals i a les obres i empreses federals. Segons l'art. 26(2)(b) de la PIPEDA, el governador en consell (Governor in Council) pot eximir organitzacions de la part 1 pel que fa a la recollida, l'ús o la comunicació d'informació personal que es produeix dins d'una província la legislació de la qual sigui substancialment similar. Una empresa d'Ontario amb clients al Quebec està, doncs, subjecta a la PIPEDA i, segons l'anàlisi de l'art. 1 anterior, pot estar-ho també a la Llei 25.
| Tema | Llei 25 (Llei del sector privat) | PIPEDA |
|---|---|---|
| Àmbit | Exercici d'una activitat empresarial (art. 1) | Activitats comercials, més obres i empreses federals |
| Responsabilitat | La màxima autoritat és la persona responsable per defecte (art. 3.1); polítiques publicades (art. 3.2) | Persona responsable designada; normes de polítiques menys prescriptives |
| Llindar d'infracció | «Risc de perjudici greu» (art. 3.5) | «Real risk of significant harm» (risc real de dany significatiu) (art. 10.1) |
| Registres d'incidents | Registre de tots els incidents (art. 3.8) | Registre de totes les infraccions de seguretat (art. 10.3), conservat 24 mesos segons el Breach of Security Safeguards Regulations |
| Avaluacions d'impacte sobre la privacitat | Expresses (art. 3.3, 17) | Sense requisit legal exprés |
| Transferències fora de la jurisdicció | PIA més acord escrit (art. 17) | Enfocament de responsabilitat; l'organització que transfereix continua sent responsable |
| Decisions automatitzades | Drets expressos (art. 12.1) | Sense disposició expressa actualment |
| Portabilitat | Dret exprés (art. 27) | Sense dret exprés |
| Sancions | Sancions administratives de fins a 10 M$ o el 2%; multes penals de fins a 25 M$ o el 4% (s'aplica l'import més alt) | La contravenció deliberada de les disposicions sobre notificació d'infraccions, avís o conservació de registres, o l'obstrucció del Comissionat, és un delicte (art. 28): multa de fins a 10.000 $ en condemna sumària o de fins a 100.000 $ en acusació formal. La llei no atorga al Comissionat cap poder d'ordenar ni de sancionar |
| Recursos privats | Danys punitius d'almenys 1.000 $ (art. 93.1) | El Tribunal Federal (Federal Court) pot concedir una indemnització després d'investigar una queixa (art. 14 i 16) |
La conclusió pràctica és que la Llei 25 és més prescriptiva que la PIPEDA en diversos àmbits de la taula, de manera que un programa construït segons la Llei 25 pot cobrir molts dels requisits de la PIPEDA, mentre que un programa només de PIPEDA no cobrirà aquests deures de la Llei 25. Cada programa s'ha de contrastar igualment amb les dues lleis.
Llista de comprovació de la Llei 25 per a empreses d'Ontario
Aquesta llista és un punt de partida per a una conversa amb un advocat, no un programa complet.
- Identifiqui els clients, empleats i proveïdors del Quebec i la informació personal que se'n té.
- Avaluï la seva presència al Quebec: oficines, personal, màrqueting dirigit i volum de clients.
- Designi i publiqui una persona responsable de la informació personal.
- Adopti i publiqui polítiques de govern en llenguatge clar.
- Elabori un pla de resposta a incidents i un registre d'incidents.
- Prepari un model de PIA per a sistemes nous i per a transferències de dades del Quebec fora del Quebec.
- Actualitzi els contractes amb proveïdors i clients amb les clàusules dels art. 17 i 18.3.
- Revisi els fluxos de consentiment, les pràctiques de galetes i els paràmetres de privacitat per defecte.
- Identifiqui les decisions totalment automatitzades i estableixi procediments d'avís i de revisió.
- Estableixi procediments d'accés i de portabilitat i formi el personal perquè reconegui les sol·licituds.
Preguntes freqüents
S'aplica la Llei 25 del Quebec a les petites empreses?
Sí. L'article 1 no conté cap llindar de mida, de manera que la Llei 25 del Quebec cobreix les petites empreses que exerceixen una activitat empresarial. La mida canvia la profunditat del programa, no si s'aplica, perquè les polítiques i les PIA han de ser proporcionals (art. 3.2 i 3.3). Una petita empresa continua necessitant una persona responsable, un registre d'incidents i un consentiment vàlid.
Exigeix la Llei 25 un bàner de galetes?
La llei no esmenta els bàners de galetes. Les normes pertinents són l'art. 8.1 (avís de tecnologia d'identificació, localització o elaboració de perfils) i l'art. 14 (consentiment vàlid), mentre que l'art. 9.1 exclou de la privacitat per defecte els paràmetres de galetes del navegador. Que un lloc web necessiti un bàner d'acceptació depèn del que fan els seus rastrejadors, per la qual cosa convé consultar les orientacions vigents de la CAI.
Amb quina rapidesa s'ha de notificar un incident de la Llei 25?
L'article 3.5 exigeix un avís «diligent» a la CAI i a les persones afectades quan un incident presenta un risc de perjudici greu. La llei no fixa un nombre determinat d'hores ni de dies. Les empreses han d'avaluar i notificar amb rapidesa, i anotar tots els incidents al registre, siguin o no notificables (art. 3.8).
Aquest article ofereix informació general sobre el dret quebequès i canadenc en matèria de privacitat i no constitueix assessorament legal. Els advocats de Hadri Law estan col·legiats a Ontario; les qüestions que depenguin del dret del Quebec poden requerir l'assessorament d'un membre del Barreau du Québec. Consulti un advocat sobre les seves circumstàncies concretes.
Fonts i recursos oficials
Lleis i reglaments del Quebec citats
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1
- An Act to modernize legislative provisions as regards the protection of personal information, S.Q. 2021, c. 25 (Bill 64)
- Regulation respecting confidentiality incidents, CQLR c. A-2.1, r. 3.1
- Civil Code of Québec, art. 1525
Lleis i reglaments federals citats 5. Personal Information Protection and Electronic Documents Act, S.C. 2000, c. 5 6. Breach of Security Safeguards Regulations, SOR/2018-64
Recursos útils 7. Commission d'accès à l'information du Québec 8. Office of the Privacy Commissioner of Canada
Contacte amb Hadri Law
Ven la seva empresa a clients del Quebec, hi té empleats o hi utilitza proveïdors de serveis? Si no té clar com s'aplica la Llei 25 al seu cas, una revisió dels contractes i de les pràctiques de privacitat és un primer pas pràctic. Hadri Law va ser fundada per Nassira El Hadri, advocada de dret corporatiu i mercantil col·legiada a la Law Society of Ontario. El despatx assessora en contractes mercantils, acords amb proveïdors i de tractament de dades i negocis transfronterers des de First Canadian Place, a Toronto. Quan una qüestió depèn del dret del Quebec, l'ajudem a identificar quan cal comptar amb un advocat del Quebec.
Truqui al +1 (437) 974-2374 o reservi una consulta gratuïta. Atenem clients en anglès, francès, espanyol i català, cosa que importa quan els seus clients, socis i regulador treballen en francès.
