Surveillance
Loi 25 et caméras de surveillance : le guide complet pour les PME québécoises (7 obligations, checklist et modèles prêts à utiliser)
2026-08-04
« Est-ce que j’ai le droit de filmer mes employés ? » « Combien de temps je dois garder mes enregistrements ? » « Est-ce que j’ai besoin d’une affiche ? » « Qu’est-ce qui arrive si un employé demande de voir les images ? »
Ce sont les quatre questions qu’on nous pose le plus souvent quand on entre dans une usine, un atelier, un entrepôt ou un commerce au Québec. Et dans presque tous les cas, le système de caméras est déjà installé depuis des années — sans affiche, sans politique écrite, sans personne qui sait qui a accès aux images.
Ce n’est pas de la négligence. C’est que personne n’a jamais expliqué les règles en langage clair à un propriétaire de PME qui a déjà 40 priorités.
Ce guide fait exactement ça. Les 7 obligations concrètes, une checklist que vous pouvez faire cette semaine, la vraie réponse sur la durée de conservation, et un kit de 3 modèles prêts à utiliser pour vous mettre en ordre sans payer un avocat 400 $ l’heure pour rédiger une affiche.
Ce guide est informatif et ne constitue pas un avis juridique. Consultez un professionnel pour votre situation précise.
Les 7 obligations concrètes dès que vos caméras filment des personnes identifiables
Le déclencheur est simple : dès que vos caméras captent des personnes identifiables — employés, clients, livreurs, visiteurs — vous collectez des renseignements personnels. La Loi 25 s’applique, peu importe la taille de votre entreprise. Une PME de 12 employés a les mêmes obligations de base qu’une entreprise de 500.
Voici ce que ça veut dire en pratique.
1. Avoir un motif sérieux et légitime, et pouvoir l’expliquer
Vous ne pouvez pas filmer « juste au cas où ». Chaque caméra doit répondre à un besoin identifiable : prévention du vol, sécurité des travailleurs autour d’équipements dangereux, protection d’un quai de chargement, preuve en cas d’accident.
Concrètement : faites la liste de vos caméras et écrivez une ligne par caméra expliquant pourquoi elle est là. Si vous n’arrivez pas à écrire la ligne, la caméra est mal placée ou ne devrait pas exister. C’est le test le plus utile de tout ce guide, et il prend 20 minutes.
Corollaire important : la surveillance ne doit pas viser à mesurer le rendement individuel de vos employés en continu. Filmer un quai de chargement pour la sécurité, oui. Braquer une caméra sur un poste de travail pour chronométrer une personne, c’est une autre affaire — et c’est là que les plaintes arrivent.
2. Afficher un avis visible avant l’entrée dans la zone filmée
C’est l’obligation la plus simple à régler et la plus souvent oubliée. Les personnes filmées doivent le savoir avant d’entrer dans la zone, pas après.
Un avis correct contient quatre éléments :
La mention claire que la zone est sous surveillance vidéo
La finalité, en langage simple (par exemple : sécurité des lieux et prévention du vol)
Le nom de l’entreprise responsable
Un moyen de vous joindre pour toute question ou demande d’accès
Placement : à chaque entrée publique, à l’entrée des employés, aux quais de chargement, et à l’entrée de toute zone intérieure surveillée. Format lisible à environ deux mètres. C’est le modèle numéro 1 du kit présenté plus bas.
3. Désigner un responsable de la protection des renseignements personnels
Toute entreprise doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne qui a la plus haute autorité — le président ou le propriétaire — mais la fonction peut être déléguée par écrit à quelqu’un d’autre : directeur d’usine, contrôleur, directeur des ressources humaines.
Deux choses à faire : mettre la délégation par écrit, et publier le titre et les coordonnées de cette personne sur votre site web. Une ligne dans le pied de page ou une page « Protection des renseignements personnels » suffit. Ça prend 15 minutes et c’est visible publiquement, donc c’est un des premiers points qu’on vous demandera.
4. Adopter des politiques de gouvernance écrites et les rendre accessibles
Vous devez avoir des politiques et pratiques encadrant la gouvernance des renseignements personnels, et les publier en termes simples. Pour un système de caméras, ça veut dire au minimum documenter :
Quelles zones sont filmées et pourquoi
Qui a accès aux images, et selon quel processus
Combien de temps les enregistrements sont conservés
Comment ils sont détruits à la fin de la période
Comment une personne peut faire une demande d’accès à son sujet
Quoi faire en cas d’incident de confidentialité
Ça n’a pas besoin de faire 40 pages. Deux à trois pages claires valent infiniment mieux qu’un document juridique que personne ne lit. Le modèle numéro 2 du kit couvre le volet conservation, qui est le plus souvent demandé.
5. Limiter la collecte au strict nécessaire
On ne collecte que ce dont on a besoin. Pour des caméras, ça se traduit très concrètement :
Pas de zones intimes. Jamais de caméra dans une salle de bain, un vestiaire ou une salle de repos. Ce n’est pas négociable.
Cadrage ajusté. Si une caméra du stationnement filme aussi le salon du voisin, il faut la recadrer ou masquer la zone.
Audio désactivé par défaut. Enregistrer les conversations est beaucoup plus intrusif que l’image. Si vous n’en avez pas un besoin démontrable, coupez l’audio.
Pas de reconnaissance faciale improvisée. Identifier biométriquement des personnes entraîne des obligations supplémentaires importantes. Détecter qu’il y a une personne dans une zone à risque n’est pas la même chose que savoir qui c’est.
6. Restreindre l’accès aux images et tenir un registre des visionnements
C’est le point le plus faible dans 90 % des PME qu’on visite. Le mot de passe du système est le même depuis 2019, quatre personnes le connaissent, et personne ne sait qui a regardé quoi.
Ce qu’il faut mettre en place :
Une liste nominative des personnes autorisées à visionner les images, approuvée par la direction
Un compte distinct par personne autorisée, jamais un compte partagé
Un registre des visionnements : date, personne, motif, période visionnée, et si une copie a été extraite
Une règle claire sur les extractions : qui peut sortir un clip, à qui il peut être remis, et où la copie est conservée
Le registre semble bureaucratique jusqu’au jour où vous recevez une plainte ou une demande d’accès. À ce moment-là, un registre tenu depuis six mois est la différence entre une conversation de 20 minutes et un dossier qui traîne des mois. C’est le modèle numéro 3 du kit.
7. Fixer une durée de conservation, détruire ensuite, et savoir quoi faire en cas d’incident
Les renseignements personnels ne se conservent pas indéfiniment. Vous devez fixer une durée, la documenter, et détruire les enregistrements de façon sécuritaire à l’échéance — ce qui est généralement automatique avec un système à écrasement cyclique, à condition de le configurer et de le vérifier.
Et si un incident de confidentialité survient — accès non autorisé, système compromis, images sorties sans autorisation — vous devez le consigner dans un registre des incidents, évaluer le risque de préjudice sérieux et, s’il y en a un, aviser la Commission d’accès à l’information et les personnes concernées. Ayez cette procédure écrite avant d’en avoir besoin.
Checklist pratique : est-ce que mon système est en ordre ?
Faites l’exercice en marchant dans votre bâtiment, papier en main. Chaque « non » est une action à planifier, pas un drame.
J’ai la liste complète de mes caméras avec l’emplacement et le motif de chacune
Aucune caméra ne filme une salle de bain, un vestiaire ou une salle de repos
Aucune caméra ne filme la propriété d’un voisin ou la voie publique au-delà du nécessaire
L’audio est désactivé, sauf justification écrite
Un avis de surveillance vidéo est affiché à chaque entrée, y compris l’entrée des employés
L’avis mentionne la finalité, le nom de l’entreprise et une façon de nous joindre
Une personne responsable de la protection des renseignements personnels est désignée par écrit
Son titre et ses coordonnées sont publiés sur notre site web
Nos politiques de gouvernance sont écrites et accessibles en langage simple
La durée de conservation des enregistrements est fixée par écrit et réellement appliquée
Chaque personne autorisée a son propre compte, aucun compte partagé
La liste des personnes autorisées est à jour, y compris après les départs d’employés
Un registre des visionnements et des extractions est tenu
Une procédure écrite existe pour les demandes d’accès et pour les incidents de confidentialité
Je sais où les images sont stockées physiquement et dans quel pays
Si vous cochez 12 cases sur 15, vous êtes déjà en meilleure posture que la vaste majorité des PME québécoises. Les trois manquantes se règlent généralement en une demi-journée.
Durée de conservation des enregistrements : ce que dit la loi vs ce qui se fait
La question qui revient toujours. Voici la réponse honnête : la loi ne fixe pas de nombre de jours pour la vidéosurveillance. Elle exige que vous conserviez les renseignements seulement le temps nécessaire à la finalité pour laquelle ils ont été collectés, puis que vous les détruisiez.
C’est frustrant comme réponse, mais c’est aussi une bonne nouvelle : c’est vous qui fixez la durée, à condition de pouvoir la justifier. En pratique, voici ce qu’on observe et ce qu’on recommande.
Contexte | Durée courante en pratique | Commentaire |
|---|---|---|
Commerce de détail, bureau | une à deux semaines | Suffisant pour constater un vol et réagir |
Usine, atelier, entrepôt | 21 à 30 jours | Couvre les cycles de production et les congés |
Quai de chargement, expédition | 30 jours | Aligné sur les délais de réclamation avec transporteurs et assureurs |
Zone à risque d’accident de travail | 30 jours | Utile pour une enquête d’incident |
Séquence liée à un incident précis | Le temps du dossier | Extraite, isolée, conservée à part, puis détruite |
La règle pratique que je donne à nos clients : 30 jours maximum en conservation courante, sauf justification écrite. Au-delà, c’est difficile à défendre, ça augmente votre stockage, et ça élargit inutilement votre exposition en cas d’incident.
Point souvent oublié : quand vous extrayez un clip pour un dossier d’assurance ou une enquête interne, cette copie sort du cycle d’écrasement automatique. Elle doit être suivie séparément et détruite quand le dossier est fermé. C’est exactement ce que le registre du point 6 permet de tracer.
Le kit EdgeGuardAI : 3 modèles prêts à utiliser
On a construit ces trois documents parce qu’on refaisait le même travail chez chaque client. Ils sont en français, adaptés au contexte québécois, et conçus pour être remplis en une heure — pas pour impressionner un juriste.
1. Affiche type « Zone sous surveillance vidéo »
Une affiche prête à imprimer en format lettre et en 11 x 17, avec les quatre éléments obligatoires déjà en place et deux champs à remplir : le nom de votre entreprise et votre courriel de contact. Version intérieure et version extérieure résistante, plus une variante spécifique pour l’entrée des employés.
2. Modèle de politique de conservation des enregistrements
Deux pages en langage clair : zones filmées, finalités, durée de conservation par zone, méthode de destruction, gestion des extractions liées à un incident, et responsable désigné. Les durées recommandées du tableau ci-haut sont préremplies — vous ajustez si votre réalité est différente.
3. Checklist RPRP + registre simple des visionnements
Un tableau à imprimer ou à garder en fichier : liste des personnes autorisées, et un registre à colonnes pour chaque visionnement — date, personne, motif, période visionnée, copie extraite oui ou non. Accompagné d’une checklist d’une page pour la mise en place du responsable de la protection des renseignements personnels et de la procédure d’incident.
On vous remet le kit complet des 3 modèles pendant l’appel, et on regarde vos caméras existantes ensemble.
Architecture locale vs cloud : pourquoi ça change la facilité de conformité
Voici le point que la plupart des propriétaires découvrent trop tard : la moitié de la complexité de la Loi 25 ne vient pas de vos caméras. Elle vient de l’endroit où vos images voyagent.
Dès que vos enregistrements ou votre analyse vidéo passent par un fournisseur cloud, souvent hébergé aux États-Unis, vous ajoutez plusieurs couches d’obligations : évaluer les facteurs relatifs à la vie privée avant la communication hors Québec, encadrer le fournisseur par contrat, documenter la sous-traitance du traitement, et pouvoir expliquer à un employé ou à un client où ses images se trouvent physiquement.
Avec une architecture 100 % locale, ces couches disparaissent en grande partie parce que le transfert n’existe pas. Les images sont captées, analysées et conservées dans vos murs, sur du matériel que vous contrôlez.
Aspect | Cloud externe | Architecture locale |
|---|---|---|
Emplacement des images | Serveur d’un tiers, souvent hors Québec | Dans vos locaux |
Communication hors Québec | À évaluer et à encadrer | Aucune |
Encadrement d’un sous-traitant | Contrat et suivi requis | Sans objet |
Contrôle des accès | Partagé avec le fournisseur | Entièrement chez vous |
Fonctionnement si Internet tombe | Interrompu ou dégradé | Continu |
Coût dans le temps | Abonnement par caméra | Capacité achetée une fois |
Soyons clairs sur le vocabulaire, parce que beaucoup de fournisseurs jouent avec les mots : aucun produit technologique ne peut vous rendre conforme à lui seul. La conformité est un ensemble de pratiques organisationnelles, et la responsabilité reste la vôtre. Ce qu’une architecture locale fait, c’est qu’elle simplifie grandement le respect de vos obligations : les données ne quittent jamais vos locaux, ce qui élimine d’emblée les questions les plus lourdes.
C’est pour ça qu’on a bâti la Vision IA d’EdgeGuardAI en local. Elle se branche sur vos caméras existantes par les flux RTSP — Lorex, Reolink, Hikvision et la plupart des systèmes du marché — sans remplacer votre installation. Les images sont analysées sur place, la gestion des accès est entre vos mains, et c’est une architecture conçue pour faciliter votre conformité à la Loi 25.
Et le bénéfice n’est pas seulement légal : vos caméras passent d’archives qu’on consulte après un incident à un système qui vous alerte pendant qu’il se passe quelque chose.
On regarde vos caméras actuelles et ce qu’on peut en tirer sans rien remplacer.
FAQ
Est-ce que j’ai le droit de filmer mes employés au Québec ?
Oui, avec des limites. Il faut un motif sérieux et légitime lié à la sécurité ou à la protection des biens, un avis clair aux personnes concernées, et un cadrage limité au nécessaire. Ce qui est problématique, c’est la surveillance continue du rendement individuel, les zones intimes comme les vestiaires et les salles de repos, et l’enregistrement audio sans justification.
Est-ce qu’une affiche suffit à me mettre en règle ?
Non. L’affiche est une obligation importante et la plus visible, mais elle ne couvre qu’une des sept obligations. Sans responsable désigné, sans politique écrite, sans durée de conservation appliquée et sans contrôle des accès, l’affiche seule ne vous protège pas.
Combien de temps dois-je garder mes enregistrements ?
La loi ne fixe pas de nombre de jours : elle exige de conserver seulement le temps nécessaire à la finalité, puis de détruire. En pratique, on recommande 30 jours maximum en conservation courante pour un contexte industriel, et une à deux semaines pour un commerce ou un bureau, avec la durée documentée par écrit.
Un employé peut-il demander à voir les images où il apparaît ?
Oui, une personne peut demander l’accès aux renseignements personnels qui la concernent. En pratique, ça implique de retrouver la séquence, d’évaluer la demande et de protéger la vie privée des autres personnes visibles, souvent en masquant les tiers. C’est aussi pour ça qu’une durée de conservation courte vous simplifie la vie : moins d’archives, moins de recherche, moins de risque.
Est-ce que je dois remplacer mes caméras pour être en règle ?
Presque jamais. Les obligations de la Loi 25 portent sur vos pratiques, pas sur la marque de votre matériel. Ce qui change réellement le portrait, c’est où les images sont stockées et qui y a accès. Si vous ajoutez de l’analyse vidéo, choisir une solution locale qui se branche sur vos caméras existantes vous évite d’ouvrir un dossier de transfert hors Québec.
Est-ce qu’un fournisseur peut me vendre un système « conforme à la Loi 25 » ?
Méfiez-vous de cette formulation. Aucun produit ne rend une entreprise conforme par lui-même, parce que la conformité repose sur vos pratiques : affichage, politiques, responsable désigné, contrôle des accès, conservation, gestion des incidents. Un bon fournisseur vous dira honnêtement que son architecture facilite votre conformité et vous aidera à documenter le reste.
Conclusion
La Loi 25 fait peur parce qu’elle est présentée comme un dossier juridique. Dans les faits, pour une PME avec des caméras, c’est une liste de sept choses concrètes, dont cinq se règlent en une demi-journée avec les bons modèles.
Faites la liste de vos caméras et écrivez le motif de chacune. Affichez un avis correct à chaque entrée. Nommez un responsable et publiez ses coordonnées. Fixez 30 jours de conservation et vérifiez que votre système le respecte vraiment. Donnez un compte distinct à chaque personne autorisée et commencez le registre des visionnements dès cette semaine.
Et si vous vous demandez ce que vos caméras existantes pourraient faire de plus que d’archiver des images que personne ne regarde, c’est exactement la conversation qu’on a pendant le Diagnostic 99 $.
45 à 60 minutes, on regarde vos caméras, et on vous remet le kit des 3 modèles : affiche, politique de conservation et registre des visionnements. Aucun engagement.
Rappel : ce guide est informatif et ne constitue pas un avis juridique. Consultez un professionnel pour votre situation précise.