Les obligations de la Loi 25 expliquées aux PME

Groupe Conseil GRD.

La Loi 25, adoptée en 2021, a apporté des modifications importantes aux lois québécoises sur la protection des renseignements personnels. La Commission d'accès à l'information (CAI) en présente les principaux changements par thème (CAI, Principaux changements). Chez Groupe Conseil GRD, nous résumons ici les obligations qui touchent le plus directement une PME, en nous limitant à ce que la CAI publie.

1. Un responsable de la protection des renseignements personnels

Selon la CAI, la personne ayant la plus haute autorité dans l'entreprise exerce la fonction de responsable. Elle peut déléguer cette fonction par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'entreprise ou, à défaut de site, rendus accessibles par un autre moyen approprié (CAI).

2. Des politiques et pratiques de gouvernance

L'entreprise doit établir et mettre en œuvre des politiques et pratiques qui prévoient notamment :

• des règles de conservation et de destruction des renseignements personnels;
• les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements;
• un processus de traitement des plaintes.

Elle doit publier sur son site Web de l'information détaillée sur ces politiques et pratiques (CAI).

3. Une politique de confidentialité claire

Une entreprise qui recueille des renseignements personnels par un moyen technologique doit rédiger une politique de confidentialité en termes simples et clairs, la diffuser sur son site et aviser les personnes de toute modification (CAI).

4. La transparence au moment de la collecte

Depuis septembre 2023, l'entreprise doit informer les personnes, au moment de la collecte, notamment des fins et des moyens de la collecte, de leurs droits d'accès et de rectification et de leur droit de retirer leur consentement. Elle doit aussi mentionner, le cas échéant, les tiers concernés et la possibilité d'une communication à l'extérieur du Québec (CAI).

5. Un consentement manifeste et distinct

Le consentement doit être demandé pour chacune des fins, en termes simples et clairs. Une demande écrite doit être présentée distinctement de toute autre information. Un consentement exprès est requis avant d'utiliser un renseignement sensible à une fin différente de celle prévue à la collecte (CAI).

6. La confidentialité par défaut

Les paramètres d'un produit ou service technologique offert au public doivent assurer, par défaut, le plus haut niveau de confidentialité, sans intervention de la personne. Selon la CAI, cette règle ne vise pas les paramètres d'un témoin de connexion (CAI).

7. L'évaluation des facteurs relatifs à la vie privée (EFVP)

Une EFVP est requise notamment pour tout projet d'acquisition, de développement ou de refonte d'un système d'information ou de prestation électronique de services impliquant des renseignements personnels, et avant toute communication à l'extérieur du Québec. Elle doit être proportionnée à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements (CAI).

8. Les incidents de confidentialité

L'entreprise doit aviser la CAI et les personnes concernées de tout incident présentant un risque de préjudice sérieux. Elle doit aussi tenir un registre des incidents et le communiquer à la CAI sur demande (CAI).

9. Le droit à la portabilité

Depuis le 22 septembre 2024, sur demande, l'entreprise doit communiquer un renseignement personnel informatisé recueilli auprès de la personne dans un format technologique structuré et couramment utilisé (CAI).

Les pouvoirs de la CAI

La CAI peut imposer des sanctions administratives pécuniaires qui, par exemple, pourraient atteindre 2 % du chiffre d'affaires mondial ou 10 millions de dollars. Elle a publié un Cadre général d'application de ces sanctions (CAI).

Par où commencer

Nous recommandons de commencer par trois gestes : publier le titre et les coordonnées du responsable, revoir la politique de confidentialité du site et mettre en place le registre des incidents. Notre guide « Liste de vérification Loi 25 » reprend ces obligations sous forme de cases à cocher.

Le texte officiel de la loi est la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), diffusée par LégisQuébec. La CAI rappelle que ses versions administratives n'ont pas de valeur juridique.

Demander une soumission : info@grdinc.ca