Loi 25 et votre organisation

La Loi sur la protection des renseignements personnels dans le secteur privé a été modifiée au Québec et elle établie des nouvelles responsabilités et obligations.

L’entrée en vigueur de celle-ci amène de nouvelles responsabilités et obligations ainsi que défis auxquels les organisations doivent faire face. En voici un bref aperçu.

Depuis le 22 septembre 2022, vous devez entre autres :

1. Désigner une personne responsable de la protection des renseignements personnel
2. En cas d’incident de confidentialité impliquant un renseignement personnel :
   a. prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé aux personnes concernées et éviter que de nouveaux incidents de même nature ne se produisent;
   b. aviser la Commission el la personne concernée si l’incident présente un risque de préjudice sérieux;
   c. tenir un registre des incidents dont une copie devra être transmise à la Commission à sa demande.
3. Respecter le nouvel encadrement de la communication de renseignements personnels sans le consentement de la personne concernée à des fins d’étude, de recherche ou de productions de statistiques et dans le cadre d’une transaction commerciale;
4. Procéder à une évaluation des facteurs relatifs à la vie privée (EFVP) avant de communiquer des renseignements personnels sans le consentement des personnes concernées à des fins d’étude, de recherche ou de production de statistiques;
5. Divulguer préalablement à la Commission la vérification ou la confirmation d’identité faite au moyen de caractéristiques ou de mesures biométriques.

Depuis le 22 septembre 2023, vous devez entre autres :

1. Avoir établi des politiques et des pratiques encadrant la gouvernance des renseignements personnels
2. Respecter les nouvelles règles entourant le consentement à la collecte, à la communication ou à l’utilisation des renseignements personnels
3. Détruire les renseignements personnels lorsque la finalité de leur collecte est accomplie, ou les anonymiser pour les utiliser à des fins sérieuses et légitimes, sous réserve des conditions et d’un délai de conservation prévus par une loi
4. Respecter le droit à la cessation de la diffusion, à la réindexation ou à la désindexation (ou droit à l’oubli)

À compter du 22 septembre 2024, vous devrez entre autres :

1. Dans un délai de 30 jours, communiquer à toute personne qui en fait la demande, dans un format technologique structuré et couramment utilisé, les renseignements personnels informatisés recueillis auprès d’elle

Voici cinq défis communs auxquels font face les organisations en ce qui concerne les mesures à prendre pour se conformer à la Loi 25.

• Les données et procédures assujetties à la Loi 25 n’ont pas été identifiées
• Manque de visibilité de l’ensemble des données et renseignements personnels détenus
• Pas de classification des données
• Peu d’encadrement structuré et de contrôles formalisés
• Absence de mécanismes pour détecter et gérer une fuite de données

• Améliorer la confiance du public envers l’entreprise
• Répondre aux attentes des clients et développer un avantage concurrentiel
• Être à l’écoute des préoccupations des employés
• Réduire les risques d’un incident de confidentialité
• Répondre aux obligations légales
• Être une entreprise citoyenne exemplaire