La loi 25 amène la modernisation de la protection des renseignements personnels et permet de favoriser la transparence des organismes et entreprises. Elle donne également aux citoyens et citoyennes un meilleur contrôle de leurs données personnelles.
Pour la phase 1, voici les principales obligations pour les entreprises en vigueur le 22 septembre 2022 :
(Extrait tiré du site web du gouvernement du Québec)
- Désigner une personne responsable de la protection des renseignements personnels et publier son titre et ses coordonnées sur le site Internet de l’entreprise;
- En cas d’incident de confidentialité, tenir un registre de tous les incidents et prendre rapidement des mesures afin de diminuer le risque qu’un préjudice soit causé aux personnes concernées. Une entreprise doit aussi aviser la Commission et les personnes concernées de tout incident présentant un risque sérieux de préjudice;
- Divulguer préalablement à la Commission la vérification ou la confirmation d’identité faite au moyen de caractéristiques ou de mesures biométriques;
- Respecter le nouvel encadrement applicable à la communication de renseignements personnels sans le consentement de la personne concernée dans le cadre d’une transaction commerciale ou encore à des fins d’étude, de recherche ou de productions de statistiques.
La commission d’accès à l’information doit quant à elle élaborer des lignes directrices pour faciliter l’application de la Loi.
Les obligations qui seront en vigueur en septembre 2023:
(Extrait tiré de l’aide-mémoire pour les entreprises crée par le gouvernement du Québec.)
- Avoir établi des politiques et des pratiques encadrant la gouvernance des renseignements personnels et publier de l’information détaillée sur celles-ci en
termes simples et clairs sur le site Internet de l’entreprise ou, si elle n’a pas de site, par tout autre moyen approprié; - Réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) lorsque la
Loi l’exige, par exemple avant de communiquer des renseignements personnels
à l’extérieur du Québec; - Respecter les nouvelles règles entourant le consentement à la collecte, à la
communication ou à l’utilisation des renseignements personnels; - Détruire les renseignements personnels lorsque la finalité de leur collecte est
accomplie, ou les anonymiser pour les utiliser à des fins sérieuses et légitimes,
sous réserve des conditions et d’un délai de conservation prévus par une loi; - Respecter vos nouvelles obligations d’information et de transparence envers
les citoyens; - Respecter les nouvelles règles de communication de renseignements personnels
sans le consentement de la personne concernée (exercice d’un mandat ou
exécution d’un contrat de service ou d’entreprise); - Respecter les nouvelles règles de communication des renseignements
personnels à l’extérieur du Québec; - Respecter les nouvelles règles d’utilisation des renseignements personnels;
- Prévoir, par défaut, les paramètres assurant le plus haut niveau de
confidentialité du produit ou du service technologique offert au public; - Respecter les nouvelles règles entourant la collecte de renseignements
personnels concernant un mineur; - Respecter le droit à la cessation de la diffusion, à la réindexation ou à la
désindexation (ou droit à l’oubli); - Respecter les nouvelles règles de communication des renseignements
personnels facilitant le processus de deuil.
Vous pouvez consulter l’aide-mémoire pour entreprise mises à disposition par le gouvernement du Québec, elle vous donnera des outils qui permettront de bien respecter les mesures en matière de renseignements personnels : consulter l’aide-mémoire ici.
Les modifications apportées par la loi 25 entreront progressivement en vigueur jusqu’en 2024.
Vous êtes propriétaire d’une entreprise et aimeriez être guidé pour mettre en place ces nouvelles mesures? N’hésitez pas à nous contacter pour de l’accompagnement.
Pour en savoir plus sur la loi 25: