Rappel

Les renseignements personnels sont ceux qui portent sur une personne physique et permettent, directement ou indirectement, de l’identifier. Ils doivent demeurer confidentiels et ne peuvent être communiqués sans le consentement de la personne concernée, sous réserve de certaines exceptions.

Nouvelle exigence                                               

Les modifications à l’article 27 de la Loi sur la protection des renseignements personnels dans le secteur privé¹ (« Loi sur le secteur privé ») qui introduisent le droit à la portabilité entreront en vigueur au Québec le 22 septembre 2024². À cet effet, l’article va être modifié pour prévoir ce qui suit :

« Toute personne qui exploite une entreprise et détient un renseignement personnel sur autrui doit, à la demande de la personne concernée, lui en confirmer l’existence et lui donner communication de ce renseignement en lui permettant d’en obtenir une copie.

À la demande du requérant, un renseignement personnel informatisé doit être communiqué sous la forme d’une transcription écrite et intelligible.

À moins que cela ne soulève des difficultés pratiques sérieuses, un renseignement personnel informatisé recueilli auprès du requérant, et non pas créé ou inféré à partir d’un renseignement personnel le concernant, lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé. Ce renseignement est aussi communiqué à sa demande à toute personne ou à tout organisme autorisé par la loi à recueillir un tel renseignement. ».

Qu’est-ce que le droit à la portabilité ?

Le droit à la portabilité permet aux personnes concernées de demander et d’obtenir leurs renseignements personnels informatisés sous un format technologique structuré et couramment utilisé, et ce, auprès des entreprises les ayant collectés. Soulignons qu’il n’y a pas de définition de « format technologique structuré et couramment utilisé » prévue dans la Loi sur le secteur privé. Par conséquent, ces termes restent à être définis.

À la demande de la personne concernée, l’entreprise devra également communiquer, dans un format technologique structuré et couramment utilisé, lesdits renseignements personnels à une autre entreprise ou à un autre organisme désigné par la personne concernée.

En d’autres mots, le droit à la portabilité des données s’applique aux entreprises qui ont recueilli électroniquement des renseignements personnels des personnes physiques. À titre d’exemple, la cueillette des renseignements personnels via un formulaire en ligne sera assujettie au droit à la portabilité.

De plus, la Loi sur le secteur privé prévoit que les renseignements personnels informatisés doivent être communiqués sous la forme d’une transcription écrite et intelligible³. L’information doit donc être accessible et susceptible d’être comprise par la personne concernée.

Limites au droit à la portabilité

Selon le nouveau libellé de l’article 27 de la Loi sur le secteur privé, le droit à la portabilité s’applique aux renseignements personnels informatisés et fournis directement par la personne concernée. Ainsi, ce droit ne s’applique pas aux renseignements recueillis en format papier ou à ceux collectés auprès des tiers. Il ne s’applique pas non plus aux renseignements créés ou inférés à partir d’un renseignement concernant la personne concernée.

Recommandations

Considérant l’importance des nouvelles obligations qui incombent aux entreprises œuvrant dans le secteur privé, il est recommandé que celles-ci fassent un examen de leurs pratiques actuelles afin d’identifier s’il existe des écarts ou des lacunes et de mettre en place les modifications requises pour assurer leur conformité à la Loi sur le secteur privé.  Voici quelques suggestions afin de se préparer pour l’entrée en vigueur de cette dernière obligation pour les entreprises :

• Revoir les processus déjà en place pour le traitement des demandes d’accès afin que les exigences propres au droit à la portabilité y soient bien intégrées;
• Avant de communiquer un fichier avec les renseignements personnels demandés par un requérant, procéder à la vérification de l’identité de celui-ci et déterminer s’il est bien en droit d’en faire la demande⁴;
• Identifier les renseignements visés et déterminer les mesures de sécurité applicables lorsque ceux-ci seront transmis;
• Réviser vos politiques de confidentialité pour qu’elles prévoient des modalités concernant le droit à la portabilité et qu’elles soient à jour lors de l’entrée en vigueur de ce droit.

Pour en connaître davantage ou pour obtenir des renseignements quant à ces nouvelles obligations, veuillez communiquer avec la Direction des affaires juridiques de l’ACQ au 514 354-8249, poste 2412.

¹ RLRQ, c. P-39.1.
² Id., art. 27 al. 3 ; Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (« Loi 25 »), LQ 2021, c. 25, art. 120.   
³ Loi sur le secteur privé, préc., note 1, art. 27.
⁴ Article 30 de la Loi sur le secteur privé prévoit certaines modalités concernant l’identité des personnes pouvant faire des demandes d’accès.