Loi 25
Vos obligations, en clair
La Loi 25 modernise la protection des renseignements personnels au Québec. Elle s'applique à toute entreprise, quelle que soit sa taille, dès qu'elle détient des renseignements sur des clients, des patients, des membres ou des employés. Voici l'essentiel, sans jargon.
Six obligations qui touchent tout le monde
Une personne responsable
Vous devez désigner la personne responsable de la protection des renseignements personnels et publier son titre et ses coordonnées. Par défaut, c'est la personne qui dirige l'organisation.
Un registre des incidents
Tout incident de confidentialité doit être consigné, même s'il ne cause aucun préjudice. Le registre doit pouvoir être remis sur demande.
La notification en cas de préjudice sérieux
Si un incident présente un risque de préjudice sérieux, vous devez aviser sans délai la Commission d'accès à l'information et les personnes concernées, et prendre des mesures pour réduire le risque.
Le consentement et la transparence
Vous devez dire ce que vous collectez, pourquoi, avec qui c'est partagé et combien de temps c'est conservé. Le consentement doit être clair, libre et donné à des fins précises.
Des politiques publiées
Vos politiques et pratiques de gouvernance doivent être approuvées, publiées en termes simples, et refléter la réalité de votre organisation.
Des droits nouveaux pour les personnes
Accès, rectification, retrait du consentement, désindexation et portabilité des renseignements recueillis auprès d'elles.
Cette page est une vulgarisation à but informatif et ne constitue pas un avis juridique. En cas de doute, consultez un conseiller juridique ou la Commission d'accès à l'information.
Ce qu'un vérificateur demande en premier
Qui est responsable ?
Un nom, un titre, des coordonnées publiées. C'est la première question, et c'est souvent la première lacune.
Montrez le registre
Même vide, il doit exister, avec un format et une procédure connue de l'équipe.
Comment votre personnel a-t-il été sensibilisé ?
Une politique non lue ne prouve rien. Une formation datée, avec une liste de participants et une mesure avant/après, oui.
Les sanctions possibles
La loi prévoit des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et des amendes pénales pouvant atteindre 25 M$ ou 4 %, selon le montant le plus élevé. Ces maximums visent les cas graves et répétés. Pour une PME, le risque réel est ailleurs : l'interruption des activités, la reprise des données, la notification aux personnes touchées, et la confiance perdue.
C'est pourquoi nous affichons toujours l'exposition réglementaire à part du coût attendu d'un incident. Une sanction est possible ; un incident est probable.
Pas certain d'être en règle ?
On fait le tour de vos obligations en vingt minutes, sans jargon et sans vous vendre un logiciel.