Quand une organisation nous appelle au sujet de la Loi 25, la conversation commence presque toujours par la même phrase : « On ne sait pas par où commencer. » La bonne nouvelle, c’est que l’essentiel tient en trois documents, et qu’aucun des trois ne demande un avocat pour être amorcé.
1. La désignation du responsable
La loi exige que toute entreprise désigne la personne responsable de la protection des renseignements personnels et publie son titre et ses coordonnées. Par défaut, c’est la personne qui dirige l’organisation, et la fonction peut être déléguée par écrit.
Concrètement : une phrase sur votre site, une adresse courriel qui fonctionne, et une note interne qui précise qui fait quoi. C’est la première chose qu’on vérifie, et c’est souvent la première lacune.
2. Le registre des incidents de confidentialité
Tout incident doit y être consigné, même sans préjudice : un courriel envoyé au mauvais destinataire, un document laissé sur une imprimante, un ordinateur portable perdu. Le registre doit pouvoir être remis sur demande.
Un tableau suffit : date de l’incident, date de connaissance, description, renseignements touchés, nombre de personnes concernées, évaluation du risque de préjudice sérieux, mesures prises, notification faite ou non. Ce qui compte, c’est qu’il existe et que l’équipe sache comment y inscrire un événement.
3. La preuve de sensibilisation
La loi vous demande de prendre des mesures de sécurité raisonnables. En cas d’incident, la question devient : qu’aviez-vous fait pour que vos gens sachent quoi faire ?
Une politique non lue ne prouve rien. Une formation datée, avec la liste des participants, le contenu couvert et, idéalement, une mesure avant et après, oui. C’est aussi ce que demandent de plus en plus d’assureurs et de donneurs d’ordre.
Ce qui vient ensuite
- Une politique de gouvernance publiée, écrite en termes simples.
- Une procédure claire pour répondre aux demandes d’accès, de rectification et de retrait du consentement, dans un délai de 30 jours.
- Une évaluation avant toute communication de renseignements hors Québec, y compris vers des outils en ligne.
- Un consentement distinct, jamais précoché, pour chaque finalité.
La conformité ne se joue pas dans l’épaisseur du cartable. Elle se joue le jour où quelque chose tourne mal, dans la capacité à montrer ce que vous aviez mis en place avant.
Cette page est une vulgarisation et ne constitue pas un avis juridique. Pour les cas complexes, un conseiller juridique demeure nécessaire.