Loi 25 : ce qu'elle change concrètement dans votre application

Selon la Commission d'accès à l'information (CAI), toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu'elle détient. La personne ayant la plus haute autorité peut déléguer cette fonction par écrit.

L'entreprise doit aussi rédiger une politique de confidentialité en termes simples et clairs, et la publier.

La CAI indique qu'une évaluation des facteurs relatifs à la vie privée (ÉFVP) est requise notamment :

• apour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui implique des renseignements personnels ;
• bavant de communiquer un renseignement personnel à l'extérieur du Québec ;
• cavant de communiquer des renseignements sans consentement à des fins d'étude, de recherche ou de statistiques.

Depuis septembre 2023, de nouvelles règles encadrent le consentement ; un consentement exprès est requis avant d'utiliser un renseignement sensible à une nouvelle fin.

Les incidents de confidentialité qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission et aux personnes concernées, et l'entreprise doit tenir un registre des incidents.

Depuis le 22 septembre 2024, si la personne le demande, l'entreprise doit lui communiquer ses renseignements informatisés dans un format technologique structuré et couramment utilisé.

Selon la CAI, les sanctions administratives pécuniaires peuvent atteindre 10 millions $ ou 2 % du chiffre d'affaires mondial.

Voici comment nous traduisons ces obligations dans un projet. Ce sont des pratiques d'ingénierie, à valider avec votre conseiller juridique :

• aFaire l'ÉFVP pendant le cadrage, avant de choisir l'hébergement et les fournisseurs.
• bTenir un inventaire des données personnelles : quoi, où, pourquoi, combien de temps.
• cSavoir où sont hébergées les données, et évaluer chaque transfert hors Québec.
• dPrévoir une exportation des données d'un utilisateur dans un format structuré.
• eJournaliser les accès et préparer la détection et le registre des incidents.
• fConcevoir des écrans de consentement clairs, séparés par finalité.