50px

Loi 25 - Loi modernisant des dispositions législatives en matière de protection des renseignements personnels 

30px
Bloc texte

Depuis le 22 septembre 2022, la Loi 25, également connue sous le nom de Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, est en vigueur au Québec. Cette loi a pour objectif principal de renforcer la responsabilité des entreprises, y compris les organismes à but non lucratif (OBNL), en ce qui concerne les données personnelles des résidents québécois.

Toutes les entreprises, sans exception, doivent se conformer à cette nouvelle réglementation. Concrètement, la Loi 25 exige que les entreprises justifient leurs méthodes de collecte, d'utilisation et de gestion des données personnelles. Cela s'applique à toute entreprise traitant des données personnelles de citoyens québécois.

La mise en place de cette loi s'est effectuée en plusieurs étapes. La première série de dispositions législatives est entrée en vigueur le 22 septembre 2022. Plus récemment, le 23 septembre 2023, de nouvelles dispositions ont été ajoutées, dont l'obligation de mettre en place une politique de gouvernance des renseignements personnels. D'autres obligations sont prévues pour septembre 2024.

La Commission d'accès à l'information du Québec (CAI) a pour mission de superviser la conformité à la Loi 25. En cas de non-respect de cette loi, la Commission est autorisée à imposer des sanctions significatives.

Afin de vous aider à comprendre cette loi et ses nuances, nous avons élaboré un rappel des obligations ainsi qu'une liste d'outils pratiques que nous mettons à votre disposition ci-dessous. 

30px
Bloc texte

1. Désigner une personne responsable de la protection des renseignements personnels et publier le titre et les coordonnées du responsable sur le site Internet de l’entreprise ou, si elle n’a pas de site, les rendre accessibles par tout autre moyen approprié.

2. En cas d’incident de confidentialité impliquant un renseignement personnel :

a. prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé aux personnes concernées et éviter que de nouveaux incidents de même nature ne se produisent;
b. aviser la Commission et la personne concernée si l’incident présente un risque de préjudice sérieux;
c. tenir un registre des incidents dont une copie devra être transmise à la Commission à sa demande;

3. Respecter le nouvel encadrement de la communication de renseignements personnels sans le consentement de la personne concernée à des fins d’étude, de recherche ou de productions de statistiques et dans le cadre d’une transaction commerciale;

4. Procéder à une évaluation des facteurs relatifs à la vie privée (ÉFVP) avant de communiquer des renseignements personnels sans le consentement des personnes concernées à des fins d’étude, de recherche ou de production de statistiques;

5. Divulguer préalablement à la Commission la vérification ou la confirmation d'identité faite au moyen de caractéristiques ou de mesures biométriques.

30px
Bloc texte

1. Avoir établi des politiques et des pratiques encadrant la gouvernance des renseignements personnels et publier de l’information détaillée sur celles-ci en termes simples et clairs sur le site Internet de l’entreprise ou, si elle n’a pas de site, par tout autre moyen approprié;

2. Réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP) lorsque la Loi l’exige, par exemple avant de communiquer des renseignements personnels à l’extérieur du Québec;

3. Respecter les nouvelles règles entourant le consentement à la collecte, à la communication ou à l’utilisation des renseignements personnels;

4. Détruire les renseignements personnels lorsque la finalité de leur collecte est accomplie, ou les anonymiser pour les utiliser à des fins sérieuses et légitimes, sous réserve des conditions et d’un délai de conservation prévus par une loi;

5. Respecter vos nouvelles obligations d’information et de transparence envers les citoyens;

6. Respecter les nouvelles règles de communication de renseignements personnels sans le consentement de la personne concernée (exercice d’un mandat ou exécution d’un contrat de service ou d’entreprise);

7. Respecter les nouvelles règles de communication des renseignements personnels à l'extérieur du Québec;

8. Respecter les nouvelles règles d’utilisation des renseignements personnels;

9. Prévoir, par défaut, les paramètres assurant le plus haut niveau de confidentialité du produit ou du service technologique offert au public;

10. Respecter les nouvelles règles entourant la collecte de renseignements personnels concernant un mineur;

11. Respecter le droit à la cessation de la diffusion, à la réindexation ou à la désindexation (ou droit à l'oubli);

12. Respecter les nouvelles règles de communication des renseignements personnels facilitant le processus de deuil.

30px
Bloc texte

Répondre aux demandes de portabilité des renseignements personnels.

30px
Bloc texte

Liste de ressources

Informations

Boîtes à outils

Générateur de politique de confidentialité

50px