Le 21 septembre, l’Assemblée nationale du Québec a adopté la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, appelée le PL-64 avant son adoption. Cette nouvelle loi vient modifier plusieurs lois ayant trait à la protection des renseignements personnels en y ajoutant certains droits et obligations relatifs à la protection des renseignements personnels. Le présent communiqué souligne plus particulièrement les modifications à la Loi sur la protection des renseignements personnels dans le secteur privé (« Loi sur le secteur privé »).

Les changements visent à :

1 – Assurer une meilleure protection des droits de la personne concernée et de ses renseignements personnels;
2 – Accorder aux petites et moyennes entreprises une certaine souplesse dans le cadre de leurs activités – tenant compte des obligations et responsabilités qui leur incombent; et
3 – Assouplir les mesures permettant l’envoi de renseignements à l’extérieur du Québec.

L’entrée en vigueur sera échelonnée sur trois ans, soit septembre 2022, septembre 2023 et septembre 2024. Dans le cadre du présent article, nous survolerons les principales modifications à la Loi sur le secteur privé en fonction de leur date d’entrée en vigueur :

Septembre 2022 :

• L’obligation de nommer un responsable de la protection des renseignements personnels au sein des entreprises¹;
• L’obligation d’aviser la Commission d’accès à l’information, et les personnes concernées, de tout incident de confidentialité impliquant un renseignement personnel qui présente un risque sérieux qu’un préjudice soit causé²;
• Communication d’un renseignement personnel nécessaire aux fins de la conclusion d’une transaction commerciale, sans le consentement de la personne concernée³;
• Communication de renseignements personnels sans le consentement des personnes concernées à des fins d’études, de recherche ou de production statistiques⁴.

Septembre 2023 :

• L’obligation d’établir et de mettre en œuvre des politiques et pratiques encadrant la gouvernance à l’égard des renseignements personnels et qui sont propre à assurer la protection de ces renseignements⁵;
  • L’entreprise qui recueille par un moyen technologique des renseignements personnels doit publier sur son site Internet une politique de confidentialité rédigée en termes simples et clairs (de même pour les modifications)⁶;
• L’obligation de procéder à une évaluation des facteurs relatifs à la vie privée :
  • De tout projet d’acquisition, de développement et refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels⁷;
  • Avant de communiquer à l’extérieur du Québec un renseignement personnel⁸;
• L’obligation de déterminer les fins de la collecte avant celle-ci, d’informer les personnes concernées de ces fins lors de la collecte, sur demande ou le cas échéant, incluant le recours à une technologie comprenant des fonctions permettant d’identifier, de localiser ou d’effectuer un profilage de la personne concernée ou encore lorsqu’une décision se fonde exclusivement sur un traitement automatisé⁹;
• L’obligation d’obtenir un consentement manifeste, libre, éclairé, donné à des fins spécifiques et lequel ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé¹⁰;
• L’obligation de s’assurer que, par défaut, les paramètres de confidentialité du produit ou du service technologique offert au public assurent le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée¹¹;
• L’obligation de détruire ou d’anonymiser les renseignements personnels lorsque les fins auxquelles ils ont été recueillis ou utilisés sont accomplies, sous réserve d’un délai de conservation prévu par une loi¹²;
• L’obligation de répondre, dans certains cas, aux demandes d’une personne concernée par un renseignement personnel visant à cesser la diffusion de ce renseignement, à désindexer tout hyperlien rattaché à son nom permettant d’accéder à ce renseignement par un moyen technologique ou encore à le réindexer¹³;
• Possibilité pour la Commission d’accès à l’information d’imposer des sanctions administratives pécuniaires dans certains cas¹⁴;
• Engagement permettant d’éviter les sanctions administratives.

Septembre 2024 :

• L’obligation de communiquer les renseignements personnels recueillis à la personne visée par ces renseignements si elle en fait la demande, dans un format technologique et couramment utilisé.¹⁵

Bien que les dates d’entrée en vigueur semblent éloignées, l’implantation des nouvelles mesures peut être ardue. Nous offrirons une formation au cours des prochains mois afin de vous présenter l’impact de ces modifications, demeurez à l’affût !

¹ Article 3.1
² Articles 3.5-3.8
³ Article 18.4
⁴ Articles 21-21.0.2
⁵ Article 3.2
⁶ Article 8.2
⁷ Article 3.3
⁸ Article 17
⁹ Articles 4, 5, 8, 8.1 et 12.1
¹⁰ Article 14
¹¹ Article 9.1
¹² Article 23
¹³ Article 28.1
¹⁴ Article 90.1 et suivants
¹⁵ Article 27