Loi 25 : les obligations des PME, point par point

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en 2021) a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Elle s'applique à toute entreprise qui recueille, utilise, conserve ou communique des renseignements personnels au Québec, qu'elle ait deux employés ou deux cents, et que les renseignements soient conservés chez elle ou chez un tiers. Voici, point par point, ce qu'une PME doit avoir en place, avec la source de chaque obligation.

À qui la Loi s'applique

La Commission d'accès à l'information (CAI) est claire : la Loi vise les renseignements personnels que votre entreprise détient, quel que soit leur support ou leur forme, et qu'ils soient conservés par l'entreprise ou par un tiers. Il n'est pas nécessaire que ces renseignements soient rangés dans un « dossier » au nom d'une personne. Un fichier de clients, une liste de courriels, des CV reçus, des enregistrements de caméras : tout cela est visé.

Trois vagues d'obligations

La Loi est entrée en vigueur par étapes, et chaque vague reste applicable aujourd'hui.

Depuis septembre 2022

• Un responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. Elle peut déléguer cette fonction par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'entreprise (ou rendus accessibles par un autre moyen si elle n'a pas de site).
• Un registre des incidents de confidentialité. Toute entreprise doit tenir un registre de tous les incidents impliquant des renseignements personnels, y compris ceux qui ne présentent pas de risque de préjudice sérieux. Le registre doit être conservé au moins cinq ans après la prise de connaissance de l'incident et communiqué à la Commission sur demande.
• Les avis en cas d'incident. Si un incident présente un risque de préjudice sérieux, l'entreprise doit aviser la Commission et les personnes concernées. Le Règlement sur les incidents de confidentialité fixe le contenu des avis. L'entreprise reste responsable de ces obligations même si les renseignements étaient conservés par un fournisseur.

Depuis septembre 2023

• Des politiques et pratiques de gouvernance encadrant la conservation et la destruction des renseignements, les rôles et responsabilités du personnel et le traitement des plaintes. Une information détaillée sur ces politiques doit être publiée sur le site Web.
• Une politique de confidentialité en termes simples et clairs, diffusée sur le site, pour toute entreprise qui recueille des renseignements par un moyen technologique. Toute modification doit être annoncée.
• Un consentement demandé pour chaque fin, en termes simples et clairs, présenté distinctement de toute autre information lorsqu'il est demandé par écrit. Un consentement exprès est requis avant d'utiliser un renseignement sensible (médical, biométrique, intime) à une autre fin que celle prévue.
• La transparence à la collecte : les fins et les moyens de la collecte, les droits d'accès et de rectification, le droit de retirer son consentement, le nom des tiers pour qui la collecte est réalisée et la possibilité que les renseignements soient communiqués hors Québec.
• Une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte de système d'information impliquant des renseignements personnels, et avant toute communication de renseignements hors Québec. L'EFVP doit être proportionnée à la sensibilité des renseignements.
• Des paramètres de confidentialité au plus haut niveau par défaut pour tout produit ou service technologique offert au public.
• L'anonymisation comme solution de rechange à la destruction, selon les meilleures pratiques généralement reconnues.
• Les mineurs de moins de 14 ans : aucune collecte auprès d'eux sans le consentement du titulaire de l'autorité parentale, sauf si elle est manifestement à leur bénéfice.
• La biométrie : toute banque de caractéristiques biométriques doit être divulguée à la Commission au plus tard 60 jours avant sa mise en service, et l'identification par biométrie requiert le consentement exprès de la personne.

Depuis le 22 septembre 2024

• Le droit à la portabilité. Sur demande, l'entreprise doit communiquer à la personne concernée, dans un format technologique structuré et couramment utilisé, les renseignements personnels informatisés recueillis auprès d'elle.

Liste de vérification pour une PME

1. Le nom, le titre et les coordonnées du responsable sont publiés sur le site Web.
2. Un registre des incidents existe, même vide, avec un modèle d'entrée et une règle de conservation de cinq ans.
3. Une procédure écrite dit qui évalue le « risque de préjudice sérieux », qui avise la Commission et comment les personnes sont jointes.
4. La politique de confidentialité du site est à jour, en langage clair, et couvre les outils réellement utilisés (analytique, formulaires, facturation).
5. Les politiques de gouvernance (conservation, destruction, rôles, plaintes) sont écrites et résumées sur le site.
6. Les formulaires demandent un consentement par finalité, séparé du reste.
7. Une EFVP est faite avant tout nouveau système ou tout hébergement hors Québec, y compris les services infonuagiques américains.
8. Les paramètres par défaut de vos produits en ligne sont les plus protecteurs.
9. Vous savez répondre à une demande d'accès, de rectification ou de portabilité dans un format structuré.
10. Les contrats avec vos fournisseurs prévoient leurs obligations en cas d'incident, puisque la responsabilité reste la vôtre.

Les sanctions

La Commission peut imposer des sanctions administratives pécuniaires pouvant atteindre 2 % du chiffre d'affaires mondial ou 10 millions de dollars, selon le montant le plus élevé, notamment pour un incident non déclaré, des mesures de sécurité négligées ou une collecte non conforme. Elle peut aussi intenter des poursuites pénales dans les cinq ans suivant une infraction : pour une entreprise, l'amende va de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et elle est doublée en cas de récidive. Une entreprise peut aussi prendre un engagement auprès de la Commission pour remédier à un manquement ; s'il est approuvé et respecté, elle échappe à la sanction administrative pour les faits constatés.

Par où commencer

Commencez par l'inventaire : quels renseignements personnels vous détenez, où ils sont, qui y accède et combien de temps vous les gardez. Sans cet inventaire, ni la politique, ni l'EFVP, ni le registre ne tiennent. C'est le point de départ d'un audit et évaluation de conformité : un état des lieux mesuré contre les obligations ci-dessus, puis un plan d'action ordonné par risque. La Loi 25 est d'abord une question de gouvernance ; la sécurité technique vient la soutenir, pas la remplacer.