Depuis le 22 septembre 2022, des nouvelles obligations en matière de protection des renseignements personnels doivent être prises en considération dans le cadre de l’exploitation de vos entreprises, suivant la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels¹ (« Loi 25 ») qui modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé² (« Loi sur le secteur privé »).

Le présent communiqué souligne plus particulièrement les nouvelles responsabilités et obligations qui entreront en vigueur progressivement en septembre 2023 et 2024.

RAPPEL

Les renseignements personnels sont ceux qui portent sur une personne physique et permettent de l’identifier. Ils sont confidentiels. Sauf pour certaines exceptions, ils ne peuvent être communiqués sans le consentement de la personne concernée. À titre d’exemple, le nom, adresse, nationalité ou origine ethnique, âge, état civil, antécédents médicaux, scolaires ou professionnels, transactions financières, numéros permettant d’identifier un individu (ex : NAS, Assurance-maladie, permis de conduire), etc.³

Depuis septembre 2022, vous devez obligatoirement :

• Nommer un responsable de la protection des renseignements personnels au sein des entreprises. Vous devez publier le titre et les coordonnées du responsable sur le site Internet de l’entreprise ou, si vous n’avez pas de site, les rendre accessibles par tout autre moyen approprié⁴;
• Aviser la Commission d’accès à l’information du Québec (« Commission ») et les personnes concernées de tout incident de confidentialité impliquant un renseignement personnel présentant un risque sérieux de préjudice et de tenir un registre devant être fourni à la Commission sur demande⁵;

Et ne pouvez pas :

Communiquer des renseignements personnels, sans le consentement de la personne concernée, à des fins d’étude, de recherche ou de productions de statistiques⁶ et dans le cadre d’une transaction commerciale⁷.

SEPTEMBRE 2023

À compter de cette date vous devrez obligatoirement :

• Mettre en œuvre des politiques et des pratiques encadrant la gouvernance des renseignements personnels et publier des informations détaillées au sujet de celles-ci en termes simples et clairs sur le site Internet de l’entreprise ou, si elle n’a pas de site, par tout autre moyen approprié⁸;
• Publier une politique de confidentialité rédigée en des termes simples et clairs si vous recueillez par un moyen technologique des renseignements personnels et aviser les personnes concernées de ses mises à jour⁹;
• Informer la personne concernée lorsqu’elle fait l’objet d’une décision fondée exclusivement sur un traitement automatisé¹⁰;
• Informer la personne lors du recours à une technologie d’identification, de localisation ou de profilage et des moyens offerts pour activer ces fonctions¹¹;
• Détruire ou d’anonymiser des renseignements personnels¹²;
• Réaliser une évaluation des facteurs relatifs à la vie privée lorsque la Loi l’exige, par exemple avant de communiquer des renseignements personnels à l’extérieur du Québec¹³;
• Respecter les nouvelles règles entourant le consentement à la collecte, à la communication ou à l’utilisation des renseignements personnels; ¹⁴
• Respecter les nouvelles règles de communication de renseignements personnels sans le consentement de la personne concernée (exercice d’un mandat ou exécution d’un contrat de service ou d’entreprise)¹⁵;
• Prévoir, par défaut, les paramètres assurant le plus haut niveau de confidentialité du produit ou du service technologique offert au public¹⁶;
• Respecter les nouvelles exigences relativement au droit à la cessation de la diffusion, à la réindexation ou à la désindexation (ou droit à l’effacement ou à l’oubli)¹⁷;
• Respecter les nouvelles conditions de de communication des renseignements personnels à l’extérieur du Québec¹⁸;
• Respecter les nouvelles conditions de communication des renseignements personnels facilitant le processus de deuil¹⁹;
• Respecter les nouvelles conditions entourant la collecte de renseignements personnels concernant un mineur de moins de 14 ans²⁰;

SEPTEMBRE 2024 :

En plus des obligations précédemment mentionnées, vous devrez à compter de cette date :

• Communiquer les renseignements personnels recueillis à la personne visée par ces renseignements si elle en fait la demande, dans un format technologique et couramment utilisé.²¹

Étant donné l’importance des nouvelles obligations pour les entreprises, ces derniers devront faire l’examen de leurs pratiques actuelles, identifier les écarts et mettre en place les modifications requises pour assurer leur conformité à la Loi sur le secteur privé.

Pour en connaître davantage ou pour obtenir des renseignements quant à ces nouvelles obligations, veuillez communiquer avec la Direction des affaires juridiques de l’ACQ au 514 354-8249, poste 2412.

¹ Chapitre 25
² P-39.1
³ Cette liste est non exhaustive. Attention, un renseignement qui ne permet pas d’identifier un individu en lui-même peut constituer un renseignement personnel si, jumelé à d’autres renseignements, il peut être utilisé pour identifier un individu.
⁴ Loi sur la protection des renseignements personnels dans le secteur privé, art. 3.1
⁵ LP, art. 3.5 à 3.8
⁶ Ibid., art. 21, 21.0.1 et 21.0.2
⁷ Ibid., art.  18.4
⁸ LP, art. 3.2 et 8.2
⁹ Ibid., art. 8.2
¹⁰ Ibid., art. 12.1
¹¹ Ibid., art. 8.1
¹² Ibid., art. 23
¹³ Ibid., art. 3.3 et 17
¹⁴ Ibid., art. 12 et 14
¹⁵ Ibid., art. 18.4, 20 et 21
¹⁶ Ibid., art. 9.1
¹⁷ Ibid., art. 28.1
¹⁸ Ibid., art. 17
¹⁹ Ibid., art. 40.1
²⁰ LP, art. 4.1
²¹ Ibid., art. 27