Certificat de formation Loi 25 : votre preuve de conformité

La Loi 25 exige des mesures de gouvernance et de sécurité raisonnables pour protéger les renseignements personnels; la sensibilisation des membres du personnel qui collectent, utilisent, communiquent, conservent ou détruisent ces renseignements est un moyen reconnu d'y répondre, et la formation aide à outiller ces équipes. Le certificat ne remplace pas la formation : il en est la trace documentée. Sans preuve écrite, une formation reste invisible le jour où votre entreprise doit démontrer qu'elle a respecté ses obligations.

Concrètement, un certificat de formation Loi 25 sert à trois choses :

• Prouver la conformité en cas de vérification de la CAI ou de demande d'un client, d'un assureur ou d'un partenaire d'affaires
• Responsabiliser chaque employé en attestant nominativement qu'il a pris connaissance des règles applicables à son rôle
• Documenter votre démarche de gouvernance et appuyer la diligence raisonnable de votre organisation

Les termes « certificat » et « attestation » sont employés de façon interchangeable au Québec. L'important n'est pas le mot choisi, mais le fait que le document soit nominatif, daté et lié à un contenu précis. La formation s'inscrit dans une démarche de conformité plus large que le certificat vient documenter.

Formation Loi 25 pour votre équipe

Chaque employé reçoit un lien, complète sa formation, obtient son certificat.

À partir de 5 $ 1 $ / mois par employé · 1^re année

En savoir plus →

La Commission d'accès à l'information du Québec (CAI) est l'autorité de surveillance de la Loi 25. À la suite d'une plainte, d'un incident de confidentialité ou d'une enquête, elle peut demander à votre entreprise de démontrer qu'elle a pris des mesures raisonnables pour protéger les renseignements personnels. La formation du personnel fait partie de ces mesures.

Dans ce contexte, vous pourriez avoir à fournir des éléments comme :

• La preuve que les employés concernés ont été formés (certificats nominatifs ou registre de complétion)
• Les dates de formation et la régularité des rappels ou mises à jour
• Le contenu couvert et son adéquation avec les rôles réellement exposés aux renseignements personnels
• Vos politiques internes, dont votre politique de confidentialité et vos pratiques de gouvernance

Une formation faite « à l'oral » lors d'une réunion d'équipe, sans aucune trace écrite, est très difficile à démontrer après coup. Le certificat transforme un effort réel en preuve recevable. Rappelons que les sanctions administratives prévues par la Loi 25 peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, ce qui rend la documentation d'autant plus importante.

Il n'existe pas de gabarit officiel imposé par la loi. Mais pour qu'un certificat ait une valeur probante, il devrait réunir les éléments suivants :

Un certificat qui ne mentionne ni la date ni le contenu couvert a peu de valeur : il atteste qu'« une formation » a eu lieu, sans préciser laquelle ni quand. À l'inverse, un certificat complet permet de retracer précisément qui savait quoi, et à partir de quand. Pour structurer l'ensemble, consultez notre liste de vérification Loi 25.

Ce sont deux preuves complémentaires, pas concurrentes. Le certificat individuel documente une personne; le registre documente l'ensemble de votre organisation.

En pratique, vous voulez les deux : un certificat par employé et un registre central qui montre où vous en êtes (qui reste à former, qui doit refaire un rappel). Le registre est aussi l'outil qui vous alerte des départs, des arrivées et des changements de rôle qui exigent une nouvelle formation.

Un certificat n'a de valeur que si vous pouvez le retrouver le jour où on vous le demande. Quelques bonnes pratiques de conservation :

• Centralisez les preuves dans un seul endroit fiable plutôt que dans des boîtes courriel ou des dossiers personnels dispersés
• Conservez l'historique des formations passées, pas seulement la plus récente, pour démontrer la continuité dans le temps
• Datez chaque preuve et reliez-la au contenu exact couvert à ce moment-là
• Gardez la maîtrise des données en privilégiant une solution dont les renseignements sont hébergés au Québec
• Prévoyez les rappels pour que les certificats restent à jour et que la formation demeure continue plutôt que ponctuelle

Attention : un certificat contient lui-même des renseignements personnels (le nom de l'employé). Il doit donc être conservé de façon sécuritaire et accessible uniquement aux personnes qui en ont besoin, conformément aux mêmes principes que ceux que vous appliquez aux autres données.

Avec Loi25Simple, vous n'avez pas à produire ni à gérer vos certificats à la main. Chaque fois qu'un employé termine un module, la preuve est créée et archivée automatiquement :

Pour comprendre l'obligation derrière le certificat, consultez notre guide sur la formation Loi 25 des employés, explorez le catalogue de formations par rôle ou créez votre compte pour générer vos premiers certificats.