Loi 25 au Québec : le guide des obligations pour les PME

La Loi 25 est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, sanctionnée le 22 septembre 2021. Elle modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1) et est entrée en vigueur par étapes, du 22 septembre 2022 au 22 septembre 2024. Sources : Commission d'accès à l'information (CAI) et Publications Québec.

La loi s'applique à « toute personne qui exploite une entreprise » et qui détient des renseignements personnels (article 3.1 de la Loi sur le privé). Les politiques de gouvernance doivent toutefois être proportionnées à la nature et à l'importance des activités de l'entreprise. Pour savoir comment la loi s'applique à votre cas précis, consultez un juriste.

Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. Elle peut déléguer cette fonction par écrit, en tout ou en partie, à une autre personne. Le titre et les coordonnées du responsable doivent être publiés sur le site Internet de l'entreprise ou, à défaut de site, rendus accessibles par un autre moyen approprié. Cette obligation est en vigueur depuis le 22 septembre 2022.

Prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter qu'un incident semblable se reproduise, puis inscrire l'incident au registre. Si l'incident présente un risque de préjudice sérieux, l'entreprise doit aviser la CAI et les personnes concernées, avec diligence. L'avis à la CAI se fait par écrit, au moyen du formulaire prévu.

Toute entreprise doit y consigner tous les incidents, même ceux sans risque de préjudice sérieux. Le registre décrit notamment les renseignements visés, les circonstances, les dates, le nombre de personnes touchées, les éléments d'évaluation du risque, les dates des avis envoyés et les mesures prises. Les renseignements du registre doivent être tenus à jour et conservés au moins 5 ans après la prise de connaissance de l'incident. La CAI peut demander une copie du registre.

Une ÉFVP est une évaluation des risques d'un projet pour la vie privée des personnes. Depuis le 22 septembre 2023, l'entreprise doit en réaliser une lorsque la loi l'exige, par exemple avant de communiquer des renseignements personnels à l'extérieur du Québec. Elle consiste à évaluer la conformité du projet, cerner les risques, prévoir des mesures pour les éviter ou les réduire, puis surveiller et réviser ces mesures.

Selon la loi, le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé pour chacune de ces fins, en termes simples et clairs, et, s'il est demandé par écrit, il doit être présenté distinctement de toute autre information. Il ne vaut que pour la durée nécessaire à la réalisation des fins visées. Un consentement non conforme à la loi est sans effet. Pour un mineur de moins de 14 ans, le consentement est donné par le titulaire de l'autorité parentale ou le tuteur.

Oui. Une entreprise qui recueille des renseignements au moyen d'une technologie comprenant des fonctions d'identification, de localisation ou de profilage doit d'abord informer la personne du recours à cette technologie et des moyens d'activer ces fonctions. Ces fonctions ne doivent pas être activées par défaut. Une entreprise qui recueille des renseignements par un moyen technologique doit aussi publier une politique de confidentialité en termes simples et clairs.

Selon le gouvernement du Québec, la CAI peut imposer, dans le secteur privé, des sanctions administratives pécuniaires pouvant s'élever jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial si ce montant est plus élevé. Les sanctions pénales peuvent aller jusqu'à 25 M$ ou 4 % du chiffre d'affaires mondial si ce montant est plus élevé. Pour une personne physique, la loi prévoit des amendes de 5 000 $ à 100 000 $. Les amendes sont doublées en cas de récidive.

La loi n'impose pas une durée unique. Lorsque la finalité de la collecte est accomplie, l'entreprise doit détruire les renseignements ou les anonymiser pour les utiliser à des fins sérieuses et légitimes, sous réserve des conditions et délais de conservation prévus par une autre loi. Le registre des incidents, lui, se conserve au moins 5 ans.

Depuis le 22 septembre 2024, si la personne concernée le demande, l'entreprise doit lui communiquer un renseignement personnel informatisé recueilli auprès d'elle dans un format technologique structuré et couramment utilisé.

Non, pas à lui seul. IT Cares n'est pas un cabinet d'avocats et ne fournit pas d'avis juridique. IT Cares aide à la partie technique à distance (sauvegardes, mises à jour, authentification multifacteur, nettoyage des accès). La CAI recommande elle-même de consulter un juriste spécialisé en protection de la vie privée et un spécialiste en sécurité de l'information.