Demande d’accès ou de rectification : ce que la loi demande à l’entreprise, et ce qu’elle laisse ouvert

Qui peut demander, et à qui

La personne concernée s’adresse à l’entreprise qui détient un renseignement sur elle. Selon l’art. 27, al. 1, de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), « Toute personne qui exploite une entreprise et détient un renseignement personnel sur autrui doit, à la demande de la personne concernée », lui confirmer que le renseignement existe et lui en donner communication, avec une copie.

La demande « ne peut être considérée que si elle est faite par écrit par une personne justifiant de son identité » (art. 30, al. 1). Elle peut venir de la personne elle-même, de son représentant, de son héritier, du liquidateur de la succession ou d’une autre personne que le même alinéa nomme. Elle « est adressée au responsable de la protection des renseignements personnels » (art. 30, al. 2) ; son rôle est décrit dans le guide sur le responsable de la protection des renseignements personnels.

Quand la demande manque de précision, ou quand la personne le requiert, le responsable doit « prêter assistance pour identifier les renseignements recherchés » (art. 30, al. 2). Selon une annexe de la CAI mise à jour le 7 octobre 2020, « seule une demande écrite permettra à la Commission d’examiner la décision de l’entreprise, en cas de refus de cette dernière ». La même annexe précise que la personne n’a accès qu’à ses propres renseignements. La CAI met à la disposition des personnes une lettre type pour l’accès et une autre pour la rectification, sur sa page Formulaires et lettres types ; cette page ne les reproduit pas.

L’art. 29 demande à l’entreprise de prendre « les mesures nécessaires pour assurer l’exercice par une personne concernée des droits prévus aux articles 37 à 40 du Code civil ainsi que des droits conférés par la présente loi » et de porter à la connaissance du public « l’endroit où ces renseignements personnels sont accessibles et les moyens d’y accéder ». Où le dire : non vérifié, le texte lu ne le précise pas.

L’art. 30, al. 3, écrit que l’article « ne restreint pas la communication à une personne d’un renseignement personnel la concernant ou sa rectification résultant de la prestation d’un service à lui rendre ». Ce que cela couvre : non vérifié.

Ce qu’une entreprise peut demander pour vérifier l’identité de la personne : non vérifié. La fiche de la CAI sur les pièces d’identité écrit que « Généralement, la simple présentation d’une pièce d’identité est suffisante pour identifier une personne ou confirmer son identité. » Elle traite de la collecte auprès de la clientèle et ne mentionne aucune demande d’accès : on n’en tire pas de règle pour cette vérification.

Quatre droits possibles, selon la CAI

La fiche de la CAI de mars 2025 compte quatre droits qui peuvent faire l’objet d’une demande : l’accès, la portabilité, la rectification, et la cessation de diffusion, la désindexation ou la réindexation. Elle écrit que son contenu « n’a pas force de loi » et que, en cas de divergence avec les textes législatifs, « ces derniers prévalent en toute circonstance ».

• L’accès (art. 27) : l’entreprise confirme que le renseignement existe et le communique, avec une copie. Un renseignement informatisé se communique, à la demande du requérant, « sous la forme d’une transcription écrite et intelligible » (al. 2). Pour une personne handicapée, « des mesures d’accommodement raisonnables doivent être prises, sur demande » (al. 4).
• La rectification (art. 28) : la personne peut exiger la correction d’un renseignement inexact, incomplet ou équivoque, ou dont la collecte, la communication ou la conservation ne sont pas autorisées par la loi. Quand l’entreprise acquiesce, l’art. 35 lui demande de remettre à la personne, sans frais, une copie du renseignement modifié ou ajouté, ou une attestation de la suppression.
• La cessation de diffusion et la désindexation (art. 28.1) : la personne peut exiger que cesse la diffusion d’un renseignement, ou que soit désindexé un hyperlien rattaché à son nom, « lorsque la diffusion de ce renseignement contrevient à la loi ou à une ordonnance judiciaire ». Le même article prévoit d’autres cas, pour la désindexation et la réindexation, à des conditions que cette page ne reprend pas.

La portabilité : un format structuré, sous conditions

« À moins que cela ne soulève des difficultés pratiques sérieuses », un renseignement informatisé recueilli auprès de la personne, « et non pas créé ou inféré à partir d’un renseignement personnel le concernant », lui est communiqué à sa demande « dans un format technologique structuré et couramment utilisé » (art. 27, al. 3). Il peut aussi l’être à une personne ou à un organisme que la loi autorise à le recueillir.

La CAI précise que « Les renseignements créés ou inférés sont exclus du droit à la portabilité », comme ceux qu’une entreprise obtient de tiers. Elle date l’obligation : « Depuis le 22 septembre 2024 ». Elle écrit que la procédure « est la même que pour toute demande d’accès et de rectification », donc le même délai. Pour les difficultés pratiques sérieuses, elle renvoie à « une analyse au cas par cas ». Ce qui entre dans un format structuré et couramment utilisé : la CAI attribue la définition aux précisions du gouvernement du Québec, dont la source n’a pas été lue ; non vérifié.

Pour une agence qui construit un système, l’art. 3.3, al. 3, demande qu’un nouveau projet permette cette communication : voir le guide sur l’évaluation des facteurs relatifs à la vie privée.

Le délai de 30 jours, et ce que le silence vaut

Le responsable « doit répondre par écrit à la demande d’accès ou de rectification, avec diligence et au plus tard dans les 30 jours de la date de réception de la demande » (art. 32, al. 1). Sans réponse dans ce délai, « la personne est réputée avoir refusé d’y acquiescer » (art. 32, al. 2). La CAI le dit ainsi : « L’absence de réponse dans ce délai équivaut à un refus. »

Comment se comptent les 30 jours (calendaires ou ouvrables, depuis la réception par l’entreprise ou par le responsable) : non vérifié. Une prolongation convenue avec la personne : non vérifié aussi. La seule voie lue pour obtenir du temps est une demande à la Commission, qui peut « circonscrire la demande du requérant ou de prolonger le délai dans lequel elle doit répondre » (art. 46, al. 1) ; elle se fait dans le même délai (art. 46, al. 2).

Combien ça coûte

« L’accès aux renseignements personnels est gratuit. » (art. 33, al. 1). La loi ajoute que des frais raisonnables peuvent être exigés « pour la transcription, la reproduction ou la transmission de ces renseignements » (al. 2), et que l’entreprise qui entend en exiger doit informer la personne du montant approximatif exigible, « avant de procéder à la transcription, la reproduction ou la transmission de ces renseignements » (al. 3). Une rectification acceptée se confirme sans frais (art. 35).

L’annexe de la CAI de 2020 écrit : « La consultation sur place des renseignements personnels est gratuite. » Elle compte parmi les modalités que la personne peut proposer la consultation par courriel, site internet ou nuage, « lorsque cela est possible ».

Aucun montant, aucun barème et aucun exemple n’ont été lus, ni dans la loi ni dans les pages de la CAI consultées : non vérifié. Un règlement sur les frais, s’il existe pour les entreprises, n’a pas été lu.

Chercher avec méthode avant de répondre

La CAI écrit que le responsable doit « procéder à un repérage complet et sérieux des renseignements personnels visés par une demande d’accès faite auprès de son entreprise ». Ce qui suit vient de ses fiches, qui n’ont pas force de loi, et non du texte de la loi.

• Une demande vague n’est pas un motif de refus : « Le fait qu’une demande d’accès soit vague ou imprécise ne peut pas constituer un motif pour refuser de la traiter. »
• La preuve revient à l’entreprise : « Il appartiendra alors à l’entreprise de faire la preuve que le repérage a été fait de façon complète et sérieuse. » La fiche sur l’examen de mésentente écrit de même que l’entreprise « doit faire la preuve prépondérante d’un repérage complet et sérieux », et que le demandeur doit soumettre « des éléments concrets pouvant constituer un début de preuve ». Si le repérage est incomplet, « la Commission pourrait ordonner à l’entreprise de refaire ses devoirs ».
• La fiche propose six questions pour juger le repérage : qui a mené les recherches et qui a-t-on consulté, qu’a-t-on recherché, où, quand, comment, et pourquoi a-t-on procédé de la sorte.
• Les tiers comptent : la fiche demande de vérifier si le renseignement est détenu par un tiers pour le compte de l’entreprise, et écrit que « L’entreprise qui a confié des renseignements personnels à un tiers demeure légalement responsable de ces renseignements. » L’art. 16 permet à celui qui détient des renseignements pour le compte d’une entreprise de lui référer la demande. Ce qu’un contrat avec un fournisseur ou une agence doit prévoir à ce sujet : non vérifié.
• Le tri ne revient pas aux répondants : « Il n’appartient pas aux répondants de décider ce qui est confidentiel ou non. » Des renseignements qui concernent une autre personne « pourraient devoir en être retranchés avant d’être transmis au demandeur ».
• Les limites : « Une entreprise n’a pas à fournir à un demandeur des renseignements qui ont été détruits. »
• Une réponse qui dit seulement que l’entreprise n’a rien est à étoffer : la CAI écrit qu’une affirmation générale d’absence « est plus susceptible de laisser le demandeur dans le doute quant au sérieux du repérage effectué ».
• Les traces : « La Commission recommande de conserver les traces écrites des démarches qui ont été effectuées pour repérer tous les renseignements susceptibles d’être visés par une demande d’accès. » C’est une recommandation, non une obligation de la loi. La durée de conservation de ces traces : non vérifié.

Quand l’entreprise peut refuser, doit refuser ou peut communiquer

La loi emploie trois verbes qu’il vaut mieux ne pas confondre.

• Peut refuser (art. 39, al. 1) : l’entreprise « peut refuser de communiquer à une personne un renseignement personnel la concernant lorsque la divulgation du renseignement risquerait vraisemblablement » de « nuire à une enquête menée par son service de sécurité interne » ou, pour le second cas, « d’avoir un effet sur une procédure judiciaire dans laquelle l’une ou l’autre de ces personnes a un intérêt ».
• Doit refuser (art. 40) : l’entreprise « doit refuser de donner communication à une personne d’un renseignement personnel la concernant lorsque sa divulgation révélerait vraisemblablement un renseignement personnel sur un tiers » et qu’elle serait susceptible de nuire sérieusement à ce tiers, sauf si le tiers y consent ou en cas d’urgence qui met en danger la vie, la santé ou la sécurité de la personne concernée. L’art. 41 ajoute le cas du liquidateur de la succession, du bénéficiaire d’assurance-vie, de l’héritier et du successible, sauf quand la communication met en cause leurs intérêts et leurs droits à ce titre.
• Peut communiquer (art. 40.1) : l’entreprise peut communiquer au conjoint ou à un proche parent d’une personne décédée un renseignement « susceptible d’aider le requérant dans son processus de deuil », si la personne décédée n’a pas consigné par écrit son refus.

Deux restrictions visent des situations que la plupart des PME ne rencontrent pas : les dossiers d’un professionnel de la santé (art. 37) et les renseignements médicaux ou sociaux d’une personne de moins de 14 ans (art. 38). Le sens de vraisemblablement et de nuire sérieusement, et ce qu’est une enquête menée par un service de sécurité interne : non vérifié, aucune source lue ne les définit.

L’art. 46, al. 1, permet aussi à l’entreprise de demander à la Commission de l’autoriser à ne pas tenir compte de « demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique ». Le même alinéa vise un second type de demandes que cette page ne reprend pas.

Motiver un refus

Le responsable « doit motiver tout refus d’acquiescer à une demande et indiquer la disposition de la loi sur laquelle ce refus s’appuie, les recours qui s’offrent au requérant en vertu de la présente loi et le délai dans lequel ils peuvent être exercés » (art. 34). Il doit aussi aider la personne qui le demande à comprendre le refus. La CAI donne un exemple : « Il pourrait, par exemple, se rendre disponible pour une discussion de vive voix. »

Celui qui détient un renseignement faisant l’objet d’une demande à laquelle il n’acquiesce pas doit « le conserver le temps requis pour permettre à la personne concernée d’épuiser les recours prévus par la loi » (art. 36).

Le recours devant la Commission d’accès à l’information

« Toute personne intéressée peut soumettre à la Commission d’accès à l’information une demande d’examen de mésentente » sur l’accès ou la rectification (art. 42). Après un refus ou un silence, la personne doit le faire « dans les 30 jours du refus de la demande ou de l’expiration du délai pour y répondre », à moins que la Commission ne la relève du défaut pour un motif raisonnable (art. 43). La demande se fait par écrit et les « frais exigibles prévus par règlement » se paient (art. 44, al. 1). Leur montant : non vérifié.

Selon l’annexe de la CAI de 2020, « Les documents remis avec la demande d’examen de mésentente seront transmis à l’entreprise visée par cette dernière. » Ils seront aussi « publics et accessibles, à moins d’une requête particulière ». Les membres du personnel de la Commission doivent prêter assistance à la personne qui rédige sa demande (art. 47).

La CAI écrit que « À titre de tribunal administratif, la Commission met à la disposition des parties un service de médiation. » Sans entente, la Commission examine le sujet de la mésentente et doit donner aux parties l’occasion de présenter leurs observations (art. 49). Toute personne doit lui fournir les renseignements qu’elle requiert (art. 51).

Pour une rectification, la loi renverse le fardeau : « la personne qui détient le renseignement personnel doit prouver qu’il n’a pas à être rectifié, à moins que le renseignement en cause ne lui ait été communiqué par la personne concernée ou avec l’accord de celle-ci » (art. 53).

La Commission rend une décision motivée par écrit (art. 54). Elle « peut notamment ordonner à une personne exploitant une entreprise de donner communication ou de rectifier un renseignement personnel ou de s’abstenir de le faire » (art. 55, al. 2), et doit décider « dans les trois mois de sa prise en délibéré », sauf prolongation par son président pour des motifs sérieux (art. 55.1). La CAI écrit que, sauf exception, « ces décisions sont publiques ».

« Une personne directement intéressée peut interjeter appel d’une décision finale de la Commission devant un juge de la Cour du Québec, sur toute question de droit ou de compétence » (art. 61, al. 1). Le délai et les conditions de cet appel : non vérifié. La durée réelle d’un dossier devant la Commission et la part des dossiers réglés en médiation : non vérifié aussi.

Ce que la politique de confidentialité en dit, et ce qu’elle ne règle pas

La loi demande d’informer la personne de ses droits d’accès et de rectification « lors de la collecte et par la suite sur demande » (art. 8, al. 1), de publier le titre et les coordonnées du responsable (art. 3.1, al. 3) et de se doter d’un processus de traitement des plaintes (art. 3.2).

Le guide de rédaction de la CAI (décembre 2023) demande à la politique d’indiquer les droits d’accéder aux renseignements, de « faire rectifier ou de mettre à jour leurs renseignements personnels » et de déposer une plainte. Il propose aussi d’y ajouter les moyens technologiques offerts pour exercer ces droits, s’il y en a, et les coordonnées de la personne à contacter.

La politique annonce les droits ; elle ne remplace pas la réponse écrite dans les 30 jours, ne désigne pas qui répond et ne décide pas d’un refus. Ce qu’elle doit dire du délai, de la gratuité ou du recours devant la Commission : non vérifié, aucune source lue ne le demande ni ne l’interdit. Le sujet de la politique est traité dans le guide sur son contenu.

En cas de manquement

Voici les textes tels quels. L’art. 90.1, al. 1, 1°, vise celui qui « n’informe pas les personnes concernées conformément aux articles 7 et 8 ». L’art. 91, al. 1, 10°, range parmi les infractions celui qui « contrevient à une ordonnance de la Commission » (le texte complet commence par « Commet une infraction et est passible d’une amende »).

Aucun de ces textes ne nomme les art. 27 à 36, et la page Sanctions de la CAI ne les nomme pas non plus. Qu’un silence ou un refus injustifié soit sanctionné, et par quoi : non vérifié. Les montants maximaux de la loi sont dans le guide sur l’incident de confidentialité ; ils ne sont pas répétés ici.

Ce que cette page ne dit pas

Cette page décrit ce que les textes prévoient ; elle ne dit pas ce qu’une entreprise donnée doit faire, ni si elle peut refuser un renseignement précis. Faute de source lue pour cette page, voici ce qu’elle laisse de côté, par thème :

• Délai et frais, non vérifié : comment se comptent les 30 jours et si on peut les prolonger ; le montant des frais, de l’entreprise et de la demande d’examen.
• Identité et forme, non vérifié : ce qu’on peut demander pour vérifier l’identité ; la forme d’une demande ou d’une réponse écrite ; ce qu’il advient d’une demande reçue ailleurs qu’au responsable.
• Refus, non vérifié : les art. 37 à 40 du Code civil ; le sens de vraisemblablement et de nuire sérieusement ; les décisions de la Commission et leurs issues.
• Politique et sanctions, non vérifié : ce que la politique doit dire du délai ; les sanctions d’un défaut de répondre.
• Formats, fournisseurs et traces, non vérifié : les formats qui sont structurés et couramment utilisés ; les obligations d’un fournisseur qui détient les renseignements pour le compte de l’entreprise ; la durée de conservation des traces d’un repérage.
• Qui demande, et combien, non vérifié : la demande d’un employé, d’un candidat ou d’un administrateur ; le nombre de demandes que reçoit une PME.

Par où commencer

Ces points se déduisent des textes ci-dessus ; aucun n’est cité comme une obligation distincte.

• Désigner le responsable et publier son titre et une adresse où lui écrire.
• Noter la date de réception de chaque demande et l’échéance à 30 jours.
• Tenir la liste des endroits où vivent les renseignements : dossiers, systèmes, courriels, fournisseurs.
• Savoir d’avance comment on répond quand on communique, et quand on refuse en citant la disposition de la loi et les recours.
• Garder une trace datée de la recherche, comme la CAI le recommande.
• Annoncer les droits dans la politique de confidentialité.
• Savoir quoi faire d’une demande reçue pour un client, quand on est une agence ; ce que prévoit le contrat de l’agence est non vérifié, puisqu’il n’a pas été lu.

Pour aller plus loin

• Responsable de la protection des renseignements personnels : qui est-ce et quoi publier : le rôle de celui qui reçoit les demandes.
• Politique de confidentialité selon la Loi 25, avec un exemple : la rubrique qui annonce les droits.
• Loi 25 : les obligations des entreprises, article par article : les autres obligations.
• Loi 25 : résumé pour les PME : la place de la réponse aux demandes parmi les autres obligations.
• Ce que la Loi 25 demande au site web d’une entreprise : le site et ses fournisseurs.
• Loi 25 : l’évaluation des facteurs relatifs à la vie privée (EFVP) pour une PME : un système qui permet de communiquer les renseignements dans un format structuré.
• Incident de confidentialité : que dit la Loi 25, et que noter au registre : les montants maximaux de la loi.