Loi 25 : les obligations des entreprises

Qui est visé

On appelle couramment Loi 25 la loi de 2021 qui a modifié la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). C’est cette loi modifiée, P-39.1, que la page cite.

L’article 3.1 ne mentionne aucun seuil de taille : « Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu’elle détient. » L’importance de l’entreprise joue sur l’ampleur des règles à mettre en place, pas sur leur existence : les politiques de gouvernance doivent être « proportionnées à la nature et à l’importance des activités de l’entreprise » (art. 3.2). Le sens exact d’« entreprise » dans la loi : non vérifié, aucune définition n’a été lue pour cette page.

1. Un responsable de la protection des renseignements personnels, publié

Par défaut, la personne qui a la plus haute autorité dans l’entreprise exerce cette fonction ; elle peut la déléguer par écrit, en tout ou en partie (art. 3.1, al. 2). Le titre et les coordonnées du responsable « sont publiés sur le site Internet de l’entreprise » ou, sans site, rendus accessibles par un autre moyen approprié (art. 3.1, al. 3).

À faire : désigner la personne par écrit, puis afficher son titre et un moyen de la joindre (une adresse courriel dédiée évite de publier une adresse personnelle). Le titre suffit : la loi ne demande pas le nom.

2. Des politiques et des pratiques de gouvernance

L’entreprise doit établir et mettre en oeuvre des politiques et des pratiques qui encadrent sa gouvernance des renseignements personnels. Elles doivent « prévoir l’encadrement applicable à la conservation et à la destruction de ces renseignements », les rôles et les responsabilités du personnel pendant tout le cycle de vie des renseignements, et un processus pour traiter les plaintes relatives à leur protection (art. 3.2, al. 1). Elles sont « approuvées par le responsable de la protection des renseignements personnels ».

À faire : écrire ces règles, les faire approuver par le responsable, puis publier sur le site des informations détaillées à leur sujet, en termes simples et clairs (art. 3.2, al. 2). Ce document est distinct de la politique de confidentialité. Notre générateur rédige la politique de confidentialité, pas ce document de gouvernance.

3. Informer et publier une politique de confidentialité

Quand l’entreprise recueille des renseignements auprès d’une personne, l’article 8 lui demande de l’informer, lors de la collecte, des fins et des moyens de la collecte, de ses droits d’accès et de rectification et de son droit de retirer son consentement. L’information se donne en termes simples et clairs, « quel que soit le moyen utilisé pour recueillir les renseignements » (art. 8, al. 4).

Si l’entreprise recueille des renseignements par un moyen technologique, un site Web ou une adresse courriel par exemple, elle doit publier sur son site « une politique de confidentialité rédigée en termes simples et clairs », la diffuser par tout moyen propre à atteindre les personnes concernées, et faire de même pour l’avis de toute modification (art. 8.2). La Commission d’accès à l’information (CAI) donne la date : « Depuis le 22 septembre 2023, vous devez publier une politique de confidentialité si votre entreprise recueille des renseignements personnels par un moyen technologique » (guide de la CAI, p. 3).

À faire : publier la politique, la lier depuis chaque page et près des formulaires, et la tenir à jour. Son contenu est détaillé dans un autre guide : politique de confidentialité selon la Loi 25, avec un exemple. Les obligations propres au site web, dont les témoins (cookies), sont dans ce que la Loi 25 demande au site web d’une entreprise.

4. Un consentement valable

Quand la loi prévoit un consentement, il doit être « manifeste, libre, éclairé et être donné à des fins spécifiques » (art. 14, al. 1). Il est demandé à chacune de ces fins, en termes simples et clairs ; une demande écrite est présentée distinctement de toute autre information communiquée à la personne, et l’entreprise aide la personne qui le requiert à comprendre la portée du consentement demandé (art. 14, al. 1).

À faire : une case ou une question par but, formulée simplement, séparée des conditions générales. Les cas où la loi exige un consentement, et ceux où elle n’en exige pas, n’ont pas été relevés dans cette page : non vérifié.

5. Gérer les incidents de confidentialité et tenir un registre

L’article 3.6 définit l’incident de confidentialité : l’accès, l’utilisation ou la communication non autorisés par la loi d’un renseignement personnel, ou sa perte, ou « toute autre atteinte à la protection d’un tel renseignement ». Si l’entreprise a des motifs de croire qu’un incident s’est produit, elle doit prendre les mesures raisonnables pour diminuer les risques de préjudice et éviter que d’autres incidents de même nature se produisent (art. 3.5, al. 1).

Si l’incident présente un risque qu’un préjudice sérieux soit causé, l’entreprise doit « avec diligence, aviser la Commission d’accès à l’information » et aviser toute personne dont un renseignement est concerné (art. 3.5, al. 2). Pour évaluer ce risque, elle considère notamment la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu’il soit utilisé à des fins préjudiciables, et elle consulte son responsable (art. 3.7).

Enfin, « La personne qui exploite une entreprise doit tenir un registre des incidents de confidentialité » (art. 3.8, al. 1), dont une copie est transmise à la Commission sur demande (art. 3.8, al. 2). L’article 3.8 prévoit qu’un règlement du gouvernement peut déterminer la teneur du registre ; ce règlement existe, et le guide sur l’incident de confidentialité décrit le contenu des avis et du registre.

À faire : décider à l’avance qui reçoit le signalement d’un incident, comment on en évalue le risque, et où le registre est tenu. Le texte de l’article 3.8 ne limite pas le registre aux incidents qui présentent un risque de préjudice sérieux.

6. Évaluer les facteurs relatifs à la vie privée, dans les cas visés

Deux situations déclenchent cette évaluation.

• Un projet de système d’information ou de prestation électronique de services. L’entreprise doit évaluer les facteurs relatifs à la vie privée « de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels », en consultant dès le début de ce projet son responsable (art. 3.3, al. 1 et 2). L’évaluation est « proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support » (art. 3.3, al. 4).
• Une communication à l’extérieur du Québec. Avant de communiquer un renseignement personnel hors Québec, l’entreprise « doit procéder à une évaluation des facteurs relatifs à la vie privée » (art. 17, al. 1). La communication peut se faire si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, et elle « doit faire l’objet d’une entente écrite » (art. 17, al. 2). La règle vaut aussi quand l’entreprise confie à une organisation hors Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver ces renseignements pour elle (art. 17, al. 3). Un hébergeur, un service de paiement ou de formulaires établi ailleurs peut être dans ce cas.

À faire : lister vos systèmes et vos fournisseurs, repérer où chacun conserve les renseignements, et consigner l’évaluation par écrit. La loi n’impose pas ici de gabarit ; la Commission d’accès à l’information n’a pas été consultée sur ce point pour cette page : non vérifié.

Ce qui arrive en cas de manquement

L’article 90.1 prévoit qu’une sanction administrative pécuniaire peut être imposée à quiconque, notamment, « n’informe pas les personnes concernées conformément aux articles 7 et 8 » ou « ne déclare pas à la Commission ou aux personnes concernées, lorsqu’il y est tenu, un incident de confidentialité ». Les montants prévus pour un manquement à l’obligation de déclarer un incident sont dans le guide sur l’incident de confidentialité ; les montants des autres manquements et les autres recours ne sont pas repris ici : non vérifié.

En résumé

• un responsable désigné, dont le titre et les coordonnées sont publiés (art. 3.1) ;
• des politiques et pratiques de gouvernance, approuvées par le responsable et résumées sur le site (art. 3.2) ;
• l’information donnée à la collecte et une politique de confidentialité publiée (art. 8 et 8.2) ;
• un consentement manifeste, libre, éclairé et donné à des fins spécifiques (art. 14) ;
• des mesures pour les incidents de confidentialité, les avis requis et un registre (art. 3.5 à 3.8, détaillés dans le guide sur l’incident de confidentialité) ;
• une évaluation des facteurs relatifs à la vie privée pour un projet de système ou une communication hors Québec (art. 3.3 et 17).