C'est quoi, la loi 25?
Depuis le 22 septembre 2023, la Loi 25 est obligatoire pour les organisations opérant au Québec. Des sanctions importantes pourraient être prises contre votre entreprise si vous ne vous y conformez pas.
La Loi 25 est une réforme de la législation québécoise sur la protection des renseignements personnels. Elle modernise les obligations des entreprises et organismes publics concernant la collecte, l’utilisation, la conservation et la communication des données personnelles.
Elle exige entre autres le consentement explicite des individus, la transparence sur l’usage des données, la notification des incidents de confidentialité et la nomination d’un responsable de la protection des renseignements personnels. Son objectif est de mieux protéger la vie privée des citoyens dans un contexte numérique en constante évolution.
Vos obligations
Les grandes lignes (sans s'y limiter)...
1. Responsable de la protection des renseignements personnels
- Nommer une personne responsable de la protection des données (souvent le dirigeant de l’entreprise).
- Ses coordonnées doivent être publiées sur le site Web.
2. Consentement clair et explicite
- Le consentement à la collecte, l’utilisation ou la communication des renseignements personnels doit être éclairé et donné à des fins spécifiques.
- Le consentement des mineurs de moins de 14 ans doit être donné par un parent ou représentant légal.
3. Politique de confidentialité transparente
- Développer et publier une politique de confidentialité claire, accessible et à jour.
- Informer les utilisateurs de la finalité de la collecte et des droits qu’ils ont sur leurs données.
4. Registre et gouvernance des renseignements personnels
- Tenir un registre des renseignements collectés et de leur utilisation.
- Mettre en place des pratiques encadrant le cycle de vie des données (collecte, conservation, destruction).
5. Confidentialité par défaut
- Les paramètres les plus protecteurs doivent être activés par défaut (par exemple, pas de traçage inutile ou de collecte excessive).
6. Gestion des incidents de confidentialité
- Tenir un registre des incidents.
- Aviser la Commission d’accès à l’information (CAI) et les personnes concernées si l’incident présente un risque sérieux de préjudice.
Références
- Gouvernement du Québec
La Loi 25 en vigueur dans son entièreté - Commission d’accès à l’information (CAI)
Principaux changements aux lois sur la protection des renseignements personnels - Barreau du Québec
La Loi 25 en vigueur dans son entièreté
