Loi 25 | Ce que vous devez savoir

L’évolution rapide de la technologie donne lieu à des défis sans précédent en matière de confidentialité des données par exemple les informations :

• que nous collectons dans nos bases de données;
• que nous conservons dans nos systèmes informatiques;
• que nous échangeons à travers les nombreux canaux de communication.

Ces éléments sont devenus non seulement des actifs précieux, mais également des cibles potentielles pour des atteintes à la vie privée. La sécurité des données est devenue un défi de taille pour préserver la confiance des clients, des partenaires et des employés.

Qu’est-ce que la loi 25 ?

C’est dans ce contexte que la loi 25 au Québec intervient, modernisant les dispositions législatives pour que les entreprises s’adaptent aux défis technologiques actuels en matière de protection des renseignements personnels. La loi 25 s’impose donc comme un cadre législatif pour que les entreprises respectent leurs obligations envers la protection des renseignements personnels de leurs clients, partenaires et employés.

Pourquoi la loi 25 ?

La loi 25 au Québec vise à garantir la sécurité des données, à accroître la confiance du public envers les entreprises et à favoriser l’innovation, contribuant ainsi à créer un environnement numérique plus sûr et plus responsable.

Les obligations des entreprises

À partir du 22 septembre 2023, la loi 25 introduira de nouvelles obligations aux entreprises. Celle-ci imposera aux entreprises du secteur privé, indépendamment de leur domaine d’activité, la mise en place de politiques et pratiques de gestion des renseignements personnels. Pour ne donner quelques grandes lignes, voici quelques-unes des modifications apportées par la loi 25 qui auront le plus d’incidence sur les organisations :

1. Désigner un responsable dédié à la gestion des données personnelles. En l’absence de cette désignation, la responsabilité reviendra automatiquement au président ou à la personne détenant la position la plus élevée dans la hiérarchie;
2. Procéder à l’inventaire et à la cartographie des données personnelles tout en évaluant leur sensibilité;
3. Évaluer les risques en matière de vie privée lors de certaines utilisations et communications de renseignements personnels;
4. Consigner les incidents dans un registre et mettre en place un plan de gestion en cas d’incidents de confidentialité;
5. Élaborer un cadre de gestion en matière de protection des renseignements personnels (pratiques encadrant la collecte, l’utilisation, la conservation, et la destruction des renseignements personnels);
6. Mettre en place un consentement de témoins de navigation ainsi qu’un consentement d’utilisation des données et publier la politique de confidentialité sur votre site web;
7. Toutes les politiques de confidentialité, y compris celles liées aux ressources humaines, doivent être révisées obligatoirement;
8. Mettre en place un processus de traitement des plaintes concernant la protection des renseignements personnels;
9. Divulguer à la Commission d’accès à l’information tout incident de confidentialité qui présente un risque de préjudice sérieux soit causé à toute personne dont un renseignement personnel est concerné par l’incident;
10. Mettre en place des stratégies et des mesures pour éviter les risques ou les réduire efficacement.

Mise en œuvre de la loi 25

La loi 25 est dotée d’un mécanisme d’exécution plus solide que son prédécesseur. Elle établit un système de sanctions financières à deux échelons et offre la possibilité de recours en justice civil.

Sanctions monétaires

Pour les individus, l’amende maximale pour des délits selon cette loi est de 100 000 dollars. Les entreprises privées risquent des amendes qui sont soit comprises entre 15 000 et 25 000 000 de dollars, soit équivalentes à 4% de leur chiffre d’affaires global de l’année fiscale précédente. La Comission d’accès à l’information est l’organisme responsable de l’application de ces amendes.

Recours légaux

La loi introduit également un nouveau droit d’action privé. Cela permet aux individus de porter plainte contre des entreprises pour des infractions spécifiques, comme l’usage illégal de données personnelles, le non-respect des obligations en matière de notifications de confidentialité, et d’autres violations liées à la confidentialité.

La cybersécurité et les renseignements personnels

La loi 25 au Québec marque une avancée significative vers une sécurité accrue des informations sensibles et une transparence renforcée dans leur traitement. Elle souligne également l’étroite relation entre la protection des données personnelles et la cybersécurité, car une faille de sécurité peut entraîner des conséquences dévastatrices, mettant en péril à la fois la confidentialité et la confiance, sans oublier les sanctions financières en cas d’infraction.

Pour de plus amples informations concernant vos obligations, visitez : Modernisation de la protection des renseignements personnels | Gouvernement du Québec (quebec.ca)