Loi 25 : la liste de vérification pour les études notariales.
La Loi 25 s'applique aux études notariales du Québec comme à toute entreprise qui détient des renseignements personnels. Ce guide résume vos obligations concrètes — responsable désigné, politiques publiées, évaluations, incidents, transferts hors Québec — et les questions à poser à vos fournisseurs de logiciels. À titre informatif : pour votre situation précise, consultez votre conseiller juridique.
L'équipe ATOM Solutions · 19 juillet 2026 · 11 min
La Loi 25 en deux minutes
La Loi 25 modernise en profondeur la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP, RLRQ c. P-39.1), la loi qui encadre la collecte, l'utilisation, la conservation, la communication et la destruction des renseignements personnels par les entreprises du Québec. Ses dispositions sont entrées en vigueur de façon échelonnée entre 2022 et 2024 : le régime est donc désormais pleinement applicable.
Une étude notariale détient des renseignements personnels en abondance : identité et état civil des clients, pièces justificatives, situation patrimoniale et financière, parfois données vocales. Elle est donc visée au même titre que toute autre entreprise, en plus de ses obligations déontologiques et du secret professionnel, qui demeurent intacts. Le non-respect expose l'étude à des mesures de la Commission d'accès à l'information et à des sanctions administratives pécuniaires pouvant être importantes — sans compter l'atteinte à la confiance des clients.
Vos obligations, en pratique
Sept chantiers, ancrés dans la LPRPSP telle que modernisée par la Loi 25. Les numéros renvoient aux articles de cette loi.
Un responsable de la protection des renseignements personnels (art. 3.1)
Par défaut, c'est la personne qui exerce la plus haute autorité — en pratique, souvent le notaire propriétaire ou un associé. La fonction peut être déléguée par écrit ; le titre et les coordonnées du responsable doivent être publiés, en général sur le site Web de l'étude.
Des politiques de gouvernance publiées (art. 3.2)
L'étude doit adopter des politiques et pratiques de gouvernance en matière de protection des renseignements personnels et les publier en termes clairs et simples — en général sur son site Web : rôles et responsabilités, processus de traitement des plaintes, encadrement des accès.
Des évaluations des facteurs relatifs à la vie privée (art. 3.3)
Avant certains projets — notamment l'acquisition ou la refonte d'un système d'information impliquant des renseignements personnels — une évaluation (EFVP) s'impose. L'adoption d'un nouveau logiciel de gestion ou d'IA en est un cas typique ; l'évaluation doit être proportionnée à la sensibilité des données.
Un registre des incidents et des notifications (art. 3.5 et s.)
Tout incident de confidentialité doit être consigné dans un registre. Lorsqu'il présente un risque de préjudice sérieux, il faut notifier la Commission d'accès à l'information et les personnes touchées, et prendre des mesures raisonnables pour en limiter les conséquences.
La transparence à la collecte (art. 8)
La personne doit être informée, au moment de la collecte, notamment des fins visées, des moyens utilisés et de la possibilité que ses renseignements soient communiqués hors Québec. Un avis de confidentialité clair — à l'étude comme sur le portail client — fait le travail.
Une évaluation avant toute communication hors Québec (art. 17)
Avant de communiquer des renseignements personnels hors du Québec — par exemple vers un hébergeur ou un fournisseur d'IA étranger — l'étude doit réaliser une évaluation préalable et s'assurer que les renseignements recevront une protection adéquate.
La destruction ou l'anonymisation (art. 23)
Une fois les fins atteintes, les renseignements personnels doivent être détruits ou anonymisés, sous réserve des délais de conservation prévus par la loi et de vos obligations professionnelles de conservation des actes et des dossiers.
Cartographier vos renseignements personnels
La première étape concrète : dresser l'inventaire de ce que l'étude détient, où, pourquoi et pour combien de temps. En général, cinq réservoirs dominent dans une étude notariale.
Les dossiers clients
Actes, projets d'actes, pièces justificatives et correspondance : le cœur du fonds. Ils contiennent l'identité, l'état civil et la situation patrimoniale et financière des clients — des renseignements sensibles par nature.
Les pièces d'identité
Copies de passeports, permis de conduire et autres documents recueillis pour vérifier l'identité des parties. À conserver en nombre minimal, avec des accès restreints et une durée de rétention réfléchie.
Les données vocales
Dictées et enregistrements audio peuvent contenir des renseignements personnels. Une transcription locale, où l'audio est jeté après transcription, limite nettement le risque d'exposition.
Les métadonnées de courriels
Expéditeurs, destinataires, objets et dates révèlent les relations et l'échéancier d'un dossier. Même sans lire le contenu des messages, un triage par métadonnées doit figurer à votre inventaire.
Les données du portail client
Pièces téléversées et informations transmises par les clients via un portail sécurisé. Un accès par lien magique, sans mot de passe à gérer, réduit la surface d'exposition.
Les questions à poser à tout fournisseur de logiciel
Un logiciel qui traite vos dossiers devient un maillon de votre conformité. Avant de signer, posez ces questions — et demandez les réponses par écrit.
| Question | Pourquoi |
|---|---|
| Où sont hébergées les données ? | La communication de renseignements personnels hors Québec exige une évaluation préalable (art. 17) ; un hébergement au Canada simplifie grandement l'analyse. |
| Le fournisseur d'IA conserve-t-il les données ? | Chaque rétention prolonge le cycle de vie des renseignements ; une passerelle d'IA sans rétention le réduit au minimum. |
| Les données sont-elles chiffrées ? | La loi exige des mesures de sécurité proportionnées à la sensibilité des renseignements ; le chiffrement en transit et au repos en est la base. |
| Existe-t-il un journal d'audit ? | Savoir qui a accédé à quoi, et quand, est indispensable pour gérer un incident et tenir le registre (art. 3.5 et s.). |
| Les données sont-elles isolées entre clients ? | Une isolation stricte par étude évite toute fuite d'un dossier vers un autre client du fournisseur. |
| Une entente écrite encadre-t-elle le mandat ? | Elle précise les rôles, les mesures de sécurité et le sort des données en fin de contrat — demandez-la avant tout essai. |
Comment NotarIA s'inscrit dans votre conformité
Un logiciel ne rend pas conforme à lui seul : la conformité dépend aussi des pratiques de l'étude — formation, accès, procédures. Voici ce que NotarIA y apporte, point par point — des faits que vous pouvez vérifier en démonstration.
Résidence des données à Montréal
Les données sont hébergées au Canada (Montréal) et ne quittent jamais le pays : l'analyse exigée par l'art. 17 s'en trouve grandement simplifiée.
Passerelle d'IA zéro-rétention
L'intelligence artificielle passe par Vertex AI (Gemini) en région canadienne ; aucune donnée client n'est conservée par le fournisseur d'IA.
Chiffrement de bout en bout
Les données sont chiffrées en transit et au repos.
Journal d'audit immuable
Chaque consultation, génération ou validation est consignée dans un journal chaîné par empreinte et vérifiable — une aide concrète pour tenir le registre d'incidents.
Isolation stricte par étude
Le cloisonnement par Row-Level Security PostgreSQL garantit qu'aucune requête ne traverse la frontière d'une étude.
Identité Microsoft Entra, dictée auto-hébergée
Authentification unique (SSO) et MFA pour réduire les accès non autorisés ; la dictée et l'OCR sont auto-hébergés, et l'audio est jeté après transcription.
Questions fréquentes
La Loi 25 s'applique-t-elle aux études notariales ?
Oui. La LPRPSP, telle que modernisée par la Loi 25, vise toute entreprise qui détient des renseignements personnels, y compris une étude notariale. S'y ajoutent vos obligations déontologiques et le secret professionnel, qui demeurent intacts. À titre informatif : pour l'application à votre situation, consultez votre conseiller juridique.
Puis-je utiliser un outil d'IA hébergé aux États-Unis ?
Ce n'est pas interdit en soi, mais c'est encadré : la communication de renseignements personnels hors Québec exige une évaluation préalable (art. 17) et l'assurance d'une protection adéquate. En pratique, beaucoup d'études préfèrent un hébergement au Canada, qui simplifie cette analyse. À évaluer au cas par cas.
Existe-t-il une « certification Loi 25 » ?
Non. Aucune certification officielle n'est prévue par la loi. Méfiez-vous des étiquettes : demandez plutôt les faits — lieu d'hébergement, rétention par le fournisseur d'IA, chiffrement, journal d'audit, isolation entre clients — et faites-les confirmer par écrit.
Qui doit être le responsable de la protection des renseignements personnels ?
Par défaut, la personne qui exerce la plus haute autorité dans l'entreprise (art. 3.1) — en général le notaire propriétaire ou un associé. La fonction peut être déléguée par écrit à toute personne ; le titre et les coordonnées du responsable doivent être publiés, par exemple sur le site Web de l'étude.
Une démonstration axée sécurité ?
Nous présentons volontiers l'architecture de résidence et d'audit, point par point.
Assistant — ne constitue pas un avis juridique. Le notaire valide, signe et tranche chaque acte.