Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Un CPE, c’est du « privé » au sens de la Loi 25 : qui est votre responsable et ce que vous risquez

Loi et règlement Par Eric Rousseau · 1 novembre 2026 · 11 min de lecture
Façade de l'hôtel du Parlement du Québec, siège de l'Assemblée nationale, sous un ciel d'automne
En bref

Oui, la Loi 25 s’applique à votre CPE comme à toute entreprise : la direction générale en est responsable par défaut, sous peine de sanctions.

« Mon CPE est subventionné, inspecté par le ministère de la Famille et géré par un conseil d’administration de parents. Est-ce que la Loi 25 s’applique vraiment à nous ? » Oui. Et ce n’est pas la loi qui s’applique au ministère, c’est l’autre : la Loi sur la protection des renseignements personnels dans le secteur privé, celle des entreprises. Un CPE, une garderie, un bureau coordonnateur et une responsable en milieu familial sont tous du « privé » au sens de cette loi, même sans but lucratif, même financés par l’État. Conséquence : la personne qui a la plus haute autorité chez vous, en pratique la direction générale, est responsable de la protection des renseignements personnels depuis septembre 2022, qu’elle le sache ou non.

Ce que dit la loi : « entreprise » ne veut pas dire « commerce »

L’article 1 de la Loi sur le privé (RLRQ, c. P-39.1) la rend applicable aux renseignements personnels recueillis, détenus, utilisés ou communiqués « à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil ». Or l’article 1525 du Code civil du Québec définit l’exploitation d’une entreprise comme « l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services ». Un CPE offre un service, de façon organisée, avec du personnel, des locaux et un budget. Qu’il soit constitué en vertu de la partie III de la Loi sur les compagnies, qui vise les personnes morales créées « sans intention de faire un gain pécuniaire » (art. 218), ne change rien : la loi dit « à caractère commercial ou non ».

À l’inverse, l’article 3 de la Loi sur le privé exclut les organismes publics au sens de la Loi sur l’accès. Le ministère de la Famille, le Portail d’inscription aux services de garde et les centres de services scolaires relèvent de cette autre loi. Vous, non.

Qui est votre responsable : la personne ayant la plus haute autorité

L’article 3.1 est le cœur du régime : « Au sein de l’entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en œuvre de la présente loi. Elle exerce la fonction de responsable de la protection des renseignements personnels ; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne. » Le titre et les coordonnées du responsable sont publiés sur votre site web ou, sans site, rendus accessibles autrement.

Dans un CPE, la plus haute autorité au quotidien est la direction générale ; certains conseils d’administration préfèrent que la présidence assume le rôle ; nommez-la par écrit. La Commission d’accès à l’information (CAI) précise deux choses sur sa page consacrée au responsable : la délégation ne libère pas la plus haute autorité, qui « demeure imputable » et doit fournir à la personne désignée les ressources humaines, techniques et financières nécessaires ; et la Commission n’a pas à être informée de la nomination. C’est aussi ce responsable qui reçoit les demandes d’accès et de rectification des parents et doit y répondre dans les 30 jours, le silence valant refus.

Ce que vous devez déjà avoir en place

La réforme est entrée en vigueur en trois vagues, en septembre 2022, 2023 et 2024, selon la ligne du temps officielle du gouvernement. Tout est maintenant exigible :

  • Un responsable nommé et publié (art. 3.1).
  • Des politiques et pratiques de gouvernance (art. 3.2) prévoyant au minimum l’encadrement de la conservation et de la destruction des renseignements, les rôles et responsabilités du personnel pendant tout le cycle de vie des données, et un processus de traitement des plaintes ; proportionnées à vos activités, approuvées par le responsable et résumées « en termes simples et clairs » sur votre site.
  • Une évaluation des facteurs relatifs à la vie privée (art. 3.3) avant tout projet d’acquisition, de développement ou de refonte d’un système d’information.
  • Un registre des incidents de confidentialité (art. 3.8) et la procédure d’avis à la CAI et aux personnes concernées quand un incident présente un risque de préjudice sérieux (art. 3.5).
  • Le consentement du titulaire de l’autorité parentale pour recueillir les renseignements d’un enfant de moins de 14 ans, sauf si la collecte est manifestement à son bénéfice (art. 4.1).
  • Des mesures de sécurité raisonnables compte tenu de la sensibilité, de la quantité et du support des renseignements (art. 10).
Trois cartables blancs empilés sur fond clair
Politiques de gouvernance, registre des incidents, évaluations des facteurs relatifs à la vie privée : trois cartables que la loi attend de vous.

Ce que vous risquez

Deux régimes se superposent. D’abord les sanctions administratives pécuniaires, imposées par la CAI sans passer par un tribunal : jusqu’à 50 000 $ pour une personne physique et, pour une organisation, jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial si ce montant est plus élevé (art. 90.12). L’article 90.1 énumère les manquements visés, dont la collecte ou la communication contraires à la loi, l’omission de déclarer un incident et le défaut de mesures de sécurité. Ensuite les amendes pénales, devant un juge : de 5 000 $ à 100 000 $ pour une personne physique et, pour une organisation, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial (art. 91), doublées en cas de récidive (art. 92.1). Une poursuite pénale peut être intentée dans les cinq ans de l’infraction (art. 92.2).

Deux nuances. Le montant tient compte de la nature, de la gravité et de la durée du manquement, de la sensibilité des renseignements et du nombre de personnes touchées (art. 90.2 et 92.3). Et la loi prévoit un mécanisme d’engagement : si vous vous engagez par écrit auprès de la CAI à corriger un manquement et que la Commission accepte, vous ne pouvez pas recevoir de sanction administrative pour les faits visés, tant que vous respectez l’engagement (art. 90.1). Dans une réponse à une demande d’accès datée du 9 janvier 2026, la CAI confirmait d’ailleurs n’avoir encore imposé aucune sanction administrative pécuniaire ni pénalité.

L’erreur fréquente : « le ministère nous inspecte, donc il s’en occupe »

Les inspecteurs du ministère de la Famille vérifient la santé et la sécurité des enfants, pas votre conformité à la Loi 25 ; c’est la CAI qui a ce mandat. Le ministère l’a lui-même rappelé dans son bulletin Info-inspection de l’automne 2024 : la Loi 25 ne vient pas « interférer avec l’obligation de fournir aux inspecteurs du Ministère les documents nécessaires », qu’ils contiennent ou non des renseignements personnels, puisque l’article 18 de la Loi sur le privé permet de communiquer un renseignement à un organisme public qui le recueille dans l’exercice de ses attributions. Personne au ministère ne vérifiera à votre place que votre responsable est nommé ou que vos politiques sont publiées.

L’exemple : un CPE de Montréal l’a fait en 28 pages

Le CPE Complexe Guy-Favreau publie sur son site une « Politique de gouvernance sur la protection des renseignements personnels » de 28 pages, révisée en juillet 2025. Dès la première page, il se présente comme une « corporation sans but lucratif constituée en vertu de la Loi sur les compagnies, Partie III » et adopte sa politique en application de la Loi sur le privé. On y trouve une responsable nommée, le traitement des demandes d’accès, la collecte, l’utilisation, la communication et la conservation des renseignements, et une politique de confidentialité distincte pour les collectes par moyen technologique, comme l’exige l’article 8.2.

Le contre-exemple : croire que la responsabilité est chez le fournisseur. En octobre 2025, l’application HopHop a été débranchée après qu’un expert eut montré qu’il accédait facilement aux données des parents ; des centaines d’écoles et de services de garde ont perdu l’outil du jour au lendemain. Même quand les données sont hébergées chez un tiers, c’est vous qui en répondez : HopHop : l’application débranchée.

Ce que ça change pour votre service de garde

  1. Nommez le responsable par résolution du conseil d’administration, avec la délégation écrite si ce n’est pas la direction générale, et publiez son titre et ses coordonnées sur votre site web ou, à défaut, dans votre régie interne remise aux parents. Une réunion de CA, zéro dollar.
  2. Rédigez vos politiques de gouvernance en couvrant les trois éléments obligatoires de l’article 3.2 : conservation et destruction, rôles et responsabilités (qui a accès à quoi), et processus de plaintes. Inspirez-vous de la politique du CPE Guy-Favreau plutôt que d’un gabarit de commerce. Deux ou trois demi-journées.
  3. Publiez-en un résumé en termes simples et clairs sur votre site, avec votre politique de confidentialité pour le portail parents et les formulaires en ligne. Une demi-journée.
  4. Ouvrez le registre des incidents (un tableur suffit) et affichez dans le bureau la procédure : qui évalue le préjudice, qui avise la CAI, qui écrit aux parents. Vingt minutes.
  5. Faites une évaluation des facteurs relatifs à la vie privée avant votre prochain logiciel, caméra ou application : quelles données, pourquoi, où hébergées, qui y accède, combien de temps. Deux heures avec le fournisseur, en consultant votre responsable dès le début du projet, comme l’exige l’article 3.3.
  6. Mettez le sujet à l’ordre du jour du CA une fois par année : responsable toujours en poste, incidents de l’année, politiques révisées, fournisseurs qui détiennent des données d’enfants. Trente minutes de réunion.

Foire aux questions

La Loi 25 s’applique-t-elle à un CPE subventionné par le gouvernement ?

Oui. La Loi sur le privé vise toute personne qui exploite une entreprise au sens de l’article 1525 du Code civil, « à caractère commercial ou non ». Un CPE sans but lucratif, même entièrement subventionné et inspecté par le ministère, y est assujetti. Seuls les organismes publics au sens de la Loi sur l’accès en sont exclus.

Qui est responsable de la protection des renseignements personnels dans un CPE ?

Par défaut, la personne ayant la plus haute autorité, en pratique la direction générale (art. 3.1). Elle peut déléguer la fonction par écrit, mais elle demeure imputable, selon la CAI. Le titre et les coordonnées du responsable doivent être publiés sur le site web du CPE.

Faut-il déclarer le nom du responsable à la Commission d’accès à l’information ?

Non. La CAI indique qu’elle n’a pas à être informée de la nomination. L’obligation est de publier le titre et les coordonnées du responsable sur votre site web ou, si vous n’en avez pas, de les rendre accessibles par un autre moyen approprié.

Quelles sanctions un CPE risque-t-il en vertu de la Loi 25 ?

Des sanctions administratives pécuniaires imposées par la CAI jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial (art. 90.12), et des amendes pénales de 15 000 $ à 25 000 000 $ ou 4 % (art. 91), doublées en cas de récidive. Un engagement accepté par la CAI protège contre la sanction administrative. Au 9 janvier 2026, la CAI n’en avait encore imposé aucune.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *