Le 22 septembre 2022 marque une étape importante dans la modernisation du cadre juridique québécois entourant la protection des renseignements personnels. C'est à cette date qu'entrent en vigueur certaines dispositions clés de la Loi 25, officiellement nommée "Loi modernisant des dispositions législatives en matière de protection des renseignements personnels". Cette réforme d'envergure a pour objectif d'adapter le cadre légal québécois aux nouveaux défis posés par l'environnement numérique actuel en matière de protection de la vie privée. Elle accorde de nouveaux droits aux citoyens tout en imposant une gestion plus responsable des renseignements personnels par les organisations.
Dès maintenant, les entreprises du secteur privé au Québec doivent se conformer à de nouvelles exigences. Bien que certaines dispositions soient en vigueur dès aujourd'hui, la Loi 25 est déployée de façon progressive jusqu'en septembre 2024.
Résumé des principales obligations pour les entreprises découlant de la Loi 25 sur la protection des renseignements personnels
Dès septembre 2022 : Désigner un responsable de la protection des renseignements personnels & tenir un registre des incidents de confidentialité
Les entreprises doivent désigner une personne responsable de veiller au respect de la loi en matière de protection des renseignements personnels. Les coordonnées de cette personne doivent être rendues publiques.
Les entreprises ont l'obligation de documenter dans un registre tous les incidents de confidentialité impliquant des renseignements personnels. En cas d'incident présentant un risque de préjudice, elles devront aviser rapidement la Commission d'accès à l'information et les personnes concernées.
Dès septembre 2023 : Élaborer un cadre de gouvernance et des politiques encadrant la gestion des renseignements personnels
- Bonifier les informations transmises aux citoyens lors de la collecte de leurs données
- Détruire ou anonymiser les renseignements personnels devenus non nécessaires
- Réaliser des évaluations d'impact sur la vie privée pour certaines pratiques
- Obtenir un consentement explicite pour l'utilisation des données à des fins de prospection commerciale
Obligation à venir en septembre 2024 :
Permettre aux citoyens d'obtenir une copie de leurs renseignements personnels détenus par l'entreprise.
Sanctions en cas de non-conformité
La loi prévoit des sanctions administratives pouvant aller jusqu'à 25 millions $ ou 4% du chiffre d'affaires mondial en cas de non-respect. Les entreprises doivent donc entamer dès maintenant leurs démarches de mise en conformité avec cette réforme d'envergure.
Comments