La Ley 25 (Loi 25) es la reforma de privacidad que Quebec aprobó en 2021 y que modificó la Act respecting the protection of personal information in the private sector (Ley sobre la protección de la información personal en el sector privado). Exige que las empresas que ejercen una actividad empresarial designen a un responsable de la información personal, notifiquen los incidentes de confidencialidad graves, evalúen los riesgos para la privacidad y obtengan un consentimiento válido. Las multas penales pueden llegar a $25 millones o, si es mayor, al 4% de la facturación mundial.
La Ley 25 de Quebec impone deberes de privacidad en el sector privado más detallados que los del régimen federal. Para las empresas de Quebec, se aplica directamente. Para las empresas de Ontario con clientes, empleados o proveedores de servicios en Quebec, la pregunta más difícil es cuándo una ley de Quebec realmente las alcanza. Esta guía explica qué exige la ley y dónde es incierto su alcance fuera de la provincia. También compara la Ley 25 con la ley federal Personal Information Protection and Electronic Documents Act (PIPEDA, Ley de Protección de la Información Personal y los Documentos Electrónicos).
Vigente a octubre de 2026. Las referencias a artículos corresponden a la versión consolidada de la Act respecting the protection of personal information in the private sector, CQLR c. P-39.1.
¿Qué Es la Ley 25 de Quebec?
"Ley 25" es el apodo de la S.Q. 2021, c. 25 (presentada como Bill 64 y sancionada el 22 de septiembre de 2021), una ley modificatoria que reescribió varias leyes vigentes de Quebec. Para las empresas privadas, las reglas operativas se encuentran hoy en la Act respecting the protection of personal information in the private sector (la "Ley del Sector Privado"). Este artículo cita los números de artículo de esa ley. El regulador es la Commission d'accès à l'information du Québec (CAI), que emite guías, recibe los reportes de incidentes y hace cumplir la ley.
¿Se Aplica la Ley 25 de Quebec a las Empresas de Ontario?
Algunas guías en línea afirman que la Ley 25 se aplica a cualquier empresa con un solo cliente en Quebec. La ley no dice eso, y la respuesta honesta es más compleja.
El criterio legal
El artículo 1 dispone que la ley se aplica a la información personal que una persona "recopila, conserva, utiliza o comunica a terceros en el ejercicio de una actividad empresarial en el sentido del artículo 1525 del Código Civil". Se aplica tanto si la empresa conserva la información por sí misma como si lo hace por medio de un tercero. El artículo 1525 del Civil Code of Québec (Código Civil de Quebec) describe el ejercicio de una empresa como una actividad económica organizada, comercial o no. Esa actividad consiste en producir, administrar o enajenar bienes, o en prestar un servicio.
El artículo 1 no menciona expresamente a las empresas ubicadas fuera de Quebec. Que alcance o no a una empresa concreta de Ontario depende de cuán estrechamente su actividad esté vinculada con Quebec.
Dónde la ley no está resuelta
La CAI es un regulador de Quebec, y su autoridad sobre una empresa sin presencia en Quebec plantea dudas reales de jurisdicción y de ejecución. La cuestión abierta es si una empresa que opera únicamente fuera de la provincia y vende en línea a residentes de Quebec está sujeta a la ley. No hemos identificado una decisión de la CAI ni de un tribunal que la resuelva de forma concluyente, y los comentarios sobre el punto no son uniformes.
Conviene tratarla como una evaluación de riesgo y no como una regla de sí o no. La exposición se vuelve más realista cuando una empresa tiene:
- Una oficina, empleados, agentes o inventario en Quebec
- Mercadotecnia dirigida a Quebec, como un sitio en francés pensado para clientes de Quebec
- Un número importante de clientes en Quebec
- Proveedores de servicios o socios con sede en Quebec
El cumplimiento suele llegar por contrato
Incluso cuando la jurisdicción directa de la CAI es dudosa, la Ley 25 a menudo alcanza a las empresas de Ontario por la vía contractual. Las empresas de Quebec deben contar con acuerdos escritos con sus proveedores de servicios (art. 18.3) y con quienes reciban información personal fuera de Quebec (art. 17), por lo que a un proveedor de Ontario con clientes en Quebec se le puede pedir que acepte cláusulas alineadas con la Ley 25.
Por ese motivo, algunas empresas de Ontario optan por adoptar prácticas de respuesta a incidentes y de consentimiento al nivel de la Ley 25 como estándar único a escala nacional. Es una decisión comercial, no un requisito legal, salvo que la empresa claramente ejerza una actividad empresarial en Quebec.
La Ley 25 también abarca la información personal de empleados que conserva una empresa en Quebec. Una compañía con personal trabajando en Quebec debe considerar sus expedientes de recursos humanos como comprendidos en la ley. Para el lado de Ontario, consulte nuestra guía sobre las reglas de vigilancia electrónica de empleados en Ontario.
¿Cuándo Entró en Vigor la Ley 25?
La Ley 25 entró en vigor por etapas, cada 22 de septiembre de 2022, 2023 y 2024 (artículo 175 de la S.Q. 2021, c. 25). Algunas disposiciones menores surtieron efecto con la sanción en 2021. Todas las etapas están hoy en vigor.
| Fecha | Qué entró en vigor |
|---|---|
| 22 de septiembre de 2022 | Responsable de la información personal (art. 3.1); deberes sobre incidentes de confidencialidad, registro y notificación (arts. 3.5 a 3.8); comunicaciones para transacciones comerciales (art. 18.4) |
| 22 de septiembre de 2023 | La mayoría de las obligaciones restantes, incluidas las políticas de gobernanza (art. 3.2), las evaluaciones de impacto en la privacidad (arts. 3.3, 17), el consentimiento (art. 14), los avisos sobre tecnología (art. 8.1), la privacidad por defecto (art. 9.1), las decisiones automatizadas (art. 12.1) y los regímenes de sanciones administrativas pecuniarias y penales |
| 22 de septiembre de 2024 | Portabilidad de datos en el tercer párrafo del art. 27 |
Qué Exige la Ley 25 de Quebec: 10 Obligaciones Principales
La ley no contiene ninguna exención para pequeñas empresas. En cambio, algunos deberes son expresamente proporcionales a las actividades de la empresa (arts. 3.2 y 3.3), de modo que una firma de cinco personas y una cadena minorista nacional enfrentan las mismas reglas a distinta escala.
1. Un responsable de la información personal (art. 3.1)
Por defecto, la persona que ejerce la máxima autoridad en la empresa, normalmente el director general o el propietario, es la responsable de proteger la información personal. Esa persona puede delegar por escrito la totalidad o parte de la función. El cargo y los datos de contacto del responsable deben publicarse en el sitio web de la empresa o ponerse a disposición por otro medio.
2. Políticas de gobernanza (art. 3.2)
La empresa debe adoptar políticas y prácticas que abarquen, como mínimo, la conservación y destrucción de la información, las funciones y responsabilidades del personal y el trámite de las quejas. Deben ser proporcionales a sus actividades, estar aprobadas por el responsable y describirse públicamente en un lenguaje simple y claro. Nuestro artículo sobre cómo redactar una política de privacidad conforme trata el aspecto de la redacción.
3. Incidentes de confidencialidad (arts. 3.5 a 3.8)
Un "incidente de confidencialidad" es el acceso, la utilización o la comunicación no autorizados de información personal, o su pérdida o cualquier otra vulneración de su protección (art. 3.6). Cuando una empresa tiene motivos para creer que ocurrió uno, debe tomar medidas razonables para reducir el riesgo de perjuicio y evitar que se repita. Si el incidente "presenta un riesgo de perjuicio grave", debe notificarlo con prontitud a la CAI y a las personas afectadas (art. 3.5). La evaluación del riesgo considera la sensibilidad de la información, las consecuencias previsibles de su utilización y la probabilidad de que se use de forma perjudicial. Debe consultarse al responsable (art. 3.7).
Dos puntos sorprenden a las empresas. Primero, el criterio, "riesgo de perjuicio grave", está redactado de manera distinta al "riesgo real de daño significativo" de PIPEDA. Segundo, la empresa debe llevar un registro de todos los incidentes, no solo de los reportables, y entregar una copia a la CAI si esta la solicita (art. 3.8). El contenido del registro y de los avisos está fijado en el Regulation respecting confidentiality incidents (Reglamento sobre incidentes de confidencialidad) de Quebec (CQLR c. A-2.1, r. 3.1), que conviene revisar junto con los formularios de incidentes de la CAI.
4. Evaluaciones de impacto en la privacidad (arts. 3.3 y 17)
Se requiere una evaluación de impacto en la privacidad (EIP) en dos situaciones.
Sistemas nuevos o rediseñados (art. 3.3). Todo proyecto de adquisición, desarrollo o rediseño de un sistema de información o de un sistema de prestación electrónica de servicios que involucre información personal exige una EIP. Debe consultarse al responsable desde el inicio. La evaluación es proporcional a la sensibilidad, las finalidades, la cantidad, la distribución y el soporte de la información.
Comunicación fuera de Quebec (art. 17). Antes de comunicar información personal fuera de Quebec, la empresa debe evaluar cuatro aspectos: la sensibilidad de la información, las finalidades de su uso, las medidas de protección (incluidas las contractuales) y el marco jurídico del lugar de destino. Solo puede proceder si la información recibiría una protección adecuada. Se requiere un acuerdo escrito que refleje la evaluación. Lo mismo aplica cuando un tercero fuera de Quebec trata o conserva información por cuenta de la empresa.
"Fuera de Quebec" incluye a Ontario. Una empresa de Quebec que utiliza un servicio en la nube alojado en Ontario o un proveedor de nómina de Ontario queda comprendida en el art. 17, razón por la cual esta disposición aparece con tanta frecuencia en las negociaciones con proveedores.
5. Consentimiento (art. 14)
El consentimiento debe ser claro, libre e informado, y otorgarse para fines específicos. Debe solicitarse por separado para cada finalidad, en un lenguaje claro y simple y, si es por escrito, presentarse de manera independiente de cualquier otra información. Dura solo el tiempo necesario para esas finalidades. Un menor de 14 años consiente por medio de quien ejerce la patria potestad o de su tutor. El consentimiento que no se otorga conforme a la ley carece de efecto.
El consentimiento debe darse de forma expresa cuando la información es sensible, es decir, cuando por su naturaleza o por el contexto de su uso genera una expectativa razonable de privacidad elevada (arts. 12 y 13). El artículo 14 no utiliza por sí mismo el término "consentimiento implícito", por lo que las empresas deben revisar las disposiciones de la ley sobre usos secundarios e información sensible, así como la guía vigente de la CAI, antes de rediseñar sus flujos de consentimiento. Para los mensajes de mercadotecnia, la ley antispam de Canadá establece reglas federales de consentimiento independientes.
6. Privacidad por defecto (art. 9.1)
Cuando un producto o servicio tecnológico ofrecido al público cuenta con parámetros de privacidad, esos parámetros deben ofrecer el nivel más alto de confidencialidad por defecto. El artículo 9.1 excluye expresamente la configuración de cookies del navegador.
7. Tecnología de identificación, localización y perfilado (art. 8.1)
Una empresa puede recopilar información mediante tecnología que permita identificar, localizar o perfilar a una persona. En ese caso, debe informar a la persona sobre esa tecnología y sobre los medios para activar esas funciones. El propio artículo 8.1 define el perfilado.
8. Decisiones automatizadas (art. 12.1)
Cuando una decisión se basa exclusivamente en un tratamiento automatizado, la empresa debe informar a la persona a más tardar al momento de comunicarle la decisión. A solicitud, debe revelar la información utilizada, las razones y los principales factores y parámetros que sustentan la decisión. También debe informar sobre el derecho a corregir la información. La persona debe poder presentar observaciones a un integrante del personal con facultad para revisar la decisión. Las aprobaciones de crédito automáticas, los filtros de contratación y las herramientas de precios con inteligencia artificial sin intervención humana son ejemplos típicos.
9. Acceso y portabilidad (art. 27)
Las personas pueden acceder a su información personal. También pueden solicitar la información computarizada que se recopiló de ellas, a diferencia de la información creada o inferida sobre ellas. Debe comunicarse en un formato tecnológico estructurado y de uso común, salvo que ello plantee dificultades prácticas serias. A solicitud del interesado, esa información también debe comunicarse a cualquier persona u organismo autorizado por la ley para recopilarla.
10. Proveedores de servicios (art. 18.3)
La información personal puede compartirse con un proveedor de servicios sin consentimiento cuando sea necesario para ejecutar un mandato. El mandato debe constar por escrito y precisar las medidas que el proveedor debe adoptar para proteger la confidencialidad, para asegurar que la información se use solo para el mandato y para asegurar que no se conserve una vez vencido. El proveedor debe notificar sin demora al responsable de la empresa toda violación o intento de violación de esas obligaciones de confidencialidad, y debe permitirle realizar verificaciones de confidencialidad. El requisito de precisar medidas no se aplica cuando el proveedor es un organismo público o un miembro de un colegio profesional. Estas cláusulas suelen ubicarse en los contratos con proveedores, de software como servicio (SaaS) y de tratamiento de datos. Consulte nuestra página sobre contratos comerciales.
Sanciones de la Ley 25: Tres Exposiciones Distintas
La Ley 25 creó dos regímenes financieros diferentes que muchos resúmenes confunden. Las sanciones administrativas pecuniarias las impone una persona designada por la CAI (arts. 90.1 y siguientes). Las multas penales requieren un procedimiento penal, que la CAI puede iniciar conforme al Code of Penal Procedure (Código de Procedimiento Penal) (art. 92), y las impone un tribunal. Por separado, las personas pueden demandar por daños punitivos.
| Exposición | Impuesta por | Persona física | Los demás casos | Artículos |
|---|---|---|---|---|
| Sanción administrativa pecuniaria | CAI (persona designada) | Hasta $50,000 | Hasta $10,000,000 o, si es mayor, el 2% de la facturación mundial del ejercicio fiscal anterior | arts. 90.1, 90.12 |
| Multa penal | Tribunal | De $5,000 a $100,000 | De $15,000 a $25,000,000 o, si es mayor, el 4% de la facturación mundial del ejercicio fiscal anterior | arts. 91, 92.1, 92.2 |
| Daños punitivos | Tribunal (acción civil) | Al menos $1,000 | Al menos $1,000 | art. 93.1 |
Estos son máximos legales, no resultados habituales. Algunas precisiones adicionales:
- Causales. Las sanciones administrativas pueden derivar de no informar a las personas (arts. 7 y 8), de la recopilación, utilización, comunicación, conservación o destrucción ilícitas, de no reportar un incidente, de medidas de seguridad inadecuadas (art. 10) y del incumplimiento del art. 12.1. Las infracciones penales se superponen e incluyen además la reidentificación de información desidentificada o anonimizada, la obstrucción de una investigación de la CAI y el desacato a una orden de la CAI.
- Compromisos. Una empresa puede ofrecer a la CAI un compromiso para subsanar un incumplimiento (art. 90.1, segundo párrafo).
- Reincidencia y plazos. Las multas penales se duplican en caso de reincidencia (art. 92.1), el procedimiento debe iniciarse dentro de cinco años (art. 92.2) y el art. 92.3 enumera los factores para fijar la pena.
- Directores y funcionarios. Cuando una persona jurídica comete una infracción, el administrador, director o representante que ordenó o autorizó el acto u omisión, o que consintió en ellos, es parte en la infracción y responde de la pena prevista (art. 93).
- Daños punitivos. La vulneración ilícita e intencional, o por negligencia grave, de un derecho reconocido por la ley que cause un perjuicio da lugar a daños punitivos no inferiores a $1,000 (art. 93.1).
Ley 25 vs PIPEDA
Ontario no tiene una ley general de privacidad para el sector privado, por lo que PIPEDA es la principal ley de privacidad para la mayoría de las empresas de Ontario. Una orden federal de exención excluye de PIPEDA la actividad del sector privado que se desarrolla exclusivamente dentro de Quebec. PIPEDA sigue aplicándose a la información que cruza fronteras provinciales o nacionales y a las obras y empresas federales. Conforme al art. 26(2)(b) de PIPEDA, el Governor in Council (gobernador en consejo) puede eximir a organizaciones de la Parte 1 respecto de la recopilación, utilización o divulgación de información personal que ocurra dentro de una provincia cuya legislación sea sustancialmente similar. Por lo tanto, una empresa de Ontario con clientes en Quebec está sujeta a PIPEDA y, según el análisis del art. 1 expuesto arriba, también puede estar sujeta a la Ley 25.
| Tema | Ley 25 (Ley del Sector Privado) | PIPEDA |
|---|---|---|
| Alcance | Ejercicio de una actividad empresarial (art. 1) | Actividades comerciales, además de obras y empresas federales |
| Responsabilidad | La máxima autoridad es la responsable por defecto (art. 3.1); políticas publicadas (art. 3.2) | Persona responsable designada; reglas de políticas menos detalladas |
| Umbral de incidentes | "Riesgo de perjuicio grave" (art. 3.5) | "Riesgo real de daño significativo" (art. 10.1) |
| Registros de incidentes | Registro de todos los incidentes (art. 3.8) | Registro de cada vulneración (art. 10.3), conservado 24 meses conforme al Breach of Security Safeguards Regulations |
| Evaluaciones de impacto en la privacidad | Expresas (arts. 3.3, 17) | Sin requisito legal expreso |
| Transferencias fuera de la jurisdicción | EIP más acuerdo escrito (art. 17) | Enfoque de responsabilidad; la organización que transfiere sigue siendo responsable |
| Decisiones automatizadas | Derechos expresos (art. 12.1) | Sin disposición expresa por el momento |
| Portabilidad | Derecho expreso (art. 27) | Sin derecho expreso |
| Sanciones | Sanciones administrativas de hasta $10 millones o el 2%; multas penales de hasta $25 millones o el 4% (se aplica el monto mayor) | La contravención deliberada de las disposiciones sobre reporte, notificación o registro de vulneraciones, o la obstrucción del Comisionado, es una infracción (art. 28): multa de hasta $10,000 por condena sumaria o de hasta $100,000 por acusación formal. La ley no otorga al Comisionado facultades para dictar órdenes ni imponer sanciones |
| Recursos privados | Daños punitivos de al menos $1,000 (art. 93.1) | La Federal Court puede otorgar daños y perjuicios tras la investigación de una queja (arts. 14 y 16) |
La conclusión práctica: la Ley 25 es más detallada que PIPEDA en varios de los aspectos señalados, por lo que un programa construido conforme a la Ley 25 puede cubrir muchos requisitos de PIPEDA, mientras que un programa basado solo en PIPEDA no cubrirá esos deberes de la Ley 25. Aun así, cada programa debe contrastarse con ambas leyes.
Lista de Verificación de la Ley 25 para Empresas de Ontario
Esta lista es un punto de partida para conversar con un abogado, no un programa completo.
- Mapee a los clientes, empleados y proveedores de Quebec, y la información personal que se conserva sobre cada uno.
- Evalúe su presencia en Quebec: oficinas, personal, mercadotecnia dirigida y volumen de clientes.
- Designe y publique a un responsable de la información personal.
- Adopte y publique políticas de gobernanza en lenguaje claro.
- Elabore un plan de respuesta a incidentes y un registro de incidentes.
- Prepare una plantilla de EIP para sistemas nuevos y para transferencias de datos de Quebec fuera de Quebec.
- Actualice los contratos con proveedores y clientes con las cláusulas de los arts. 17 y 18.3.
- Revise los flujos de consentimiento, las prácticas de cookies y la configuración de privacidad por defecto.
- Identifique las decisiones totalmente automatizadas y establezca procedimientos de aviso y revisión.
- Establezca procedimientos de acceso y portabilidad, y capacite al personal para reconocer las solicitudes.
Preguntas Frecuentes
¿Se aplica la Ley 25 de Quebec a las pequeñas empresas?
Sí. El artículo 1 no contiene ningún umbral de tamaño, por lo que la Ley 25 de Quebec cubre a las pequeñas empresas que ejercen una actividad empresarial. El tamaño modifica la profundidad del programa, no su aplicabilidad, porque las políticas y las EIP deben ser proporcionales (arts. 3.2 y 3.3). Una empresa pequeña igualmente necesita un responsable, un registro de incidentes y un consentimiento válido.
¿Exige la Ley 25 un banner de cookies?
La ley no menciona los banners de cookies. Las reglas pertinentes son el art. 8.1 (aviso sobre tecnología de identificación, localización o perfilado) y el art. 14 (consentimiento válido), mientras que el art. 9.1 excluye la configuración de cookies del navegador de la privacidad por defecto. Que un sitio necesite un banner de aceptación expresa depende de lo que hagan sus rastreadores, por lo que conviene consultar la guía vigente de la CAI.
¿En qué plazo debe reportarse un incidente conforme a la Ley 25?
El artículo 3.5 exige un aviso "pronto" a la CAI y a las personas afectadas cuando un incidente presenta un riesgo de perjuicio grave. La ley no fija un número de horas ni de días. Las empresas deben evaluar y notificar con rapidez, y registrar todo incidente en el registro sea o no reportable (art. 3.8).
Este artículo ofrece información general sobre el derecho de privacidad de Quebec y de Canadá y no constituye asesoramiento legal. Los abogados de Hadri Law están autorizados a ejercer en Ontario; las cuestiones que dependan del derecho de Quebec pueden requerir el asesoramiento de un miembro del Barreau du Québec. Consulte con un abogado sobre sus circunstancias particulares.
Fuentes y Recursos Oficiales
Leyes y reglamentos de Quebec citados
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1
- An Act to modernize legislative provisions as regards the protection of personal information, S.Q. 2021, c. 25 (Bill 64)
- Regulation respecting confidentiality incidents, CQLR c. A-2.1, r. 3.1
- Civil Code of Québec, art. 1525
Leyes y reglamentos federales citados 5. Personal Information Protection and Electronic Documents Act, S.C. 2000, c. 5 6. Breach of Security Safeguards Regulations, SOR/2018-64
Recursos útiles 7. Commission d'accès à l'information du Québec 8. Office of the Privacy Commissioner of Canada
Contacte con Hadri Law
¿Su empresa vende a clientes, emplea personas o utiliza proveedores de servicios en Quebec? Si no tiene claro cómo se aplica la Ley 25, revisar sus contratos y sus prácticas de privacidad es un primer paso práctico. Hadri Law fue fundada por Nassira El Hadri, abogada corporativa y comercial, miembro del Law Society of Ontario. El bufete asesora en contratos comerciales, acuerdos con proveedores y de tratamiento de datos, y negocios transfronterizos desde First Canadian Place, en Toronto. Cuando una cuestión dependa del derecho de Quebec, le ayudamos a determinar en qué momento conviene involucrar a un abogado de Quebec.
Llame al +1 (437) 974-2374 o agende una consulta gratuita. Atendemos a clientes en inglés, francés, español y catalán, algo que importa cuando sus clientes, socios y regulador trabajan en francés.
