La Loi 25 résumée : l’essentiel en cinq minutes

La Loi 25 a modernisé la protection des renseignements personnels au Québec. Notre guide complet la décortique en 25 minutes. Ici, vous avez l’essentiel en cinq : qui est concerné, ce que la loi exige, depuis quand et ce qu’il en coûte de l’ignorer.

Ce résumé vulgarise la loi. Pour votre situation précise, consultez une personne compétente en droit.

Qui est concerné?

La loi vise toute personne ou organisation qui exploite une entreprise, c’est-à-dire une activité économique organisée, commerciale ou non, et qui recueille, détient, utilise ou communique des renseignements personnels : PME, grandes entreprises, travailleurs autonomes, associations. Un OBNL est visé lui aussi quand il exerce une activité économique organisée ; la Commission d’accès à l’information (CAI) en juge au cas par cas.

Un renseignement personnel, c’est toute information qui concerne une personne physique et permet de l’identifier, directement ou indirectement : un nom, une adresse courriel, un numéro de téléphone. Les organismes publics, eux, suivent leur propre loi.

Ce que la loi exige

Un responsable de la protection des renseignements personnels

Par défaut, c’est la personne qui a la plus haute autorité dans l’organisation. Elle peut déléguer cette fonction par écrit, en tout ou en partie. Son titre et ses coordonnées sont publiés sur votre site web (ou, sans site, rendus accessibles autrement). Détail dans le guide.

Des règles de gouvernance

Vous encadrez notamment la conservation et la destruction des renseignements, les rôles de votre personnel et le traitement des plaintes. Puis vous publiez sur votre site, en termes simples et clairs, des informations détaillées sur ces règles.

Une politique de confidentialité

Si vous recueillez des renseignements par un moyen technologique, comme un formulaire en ligne, vous publiez sur votre site une politique de confidentialité rédigée en termes simples et clairs. Détail dans le guide.

Un consentement valable

Il est manifeste, libre, éclairé et donné à des fins spécifiques. Vous le demandez pour chaque fin, en termes simples et clairs ; une demande écrite est présentée à part de toute autre information. Pour utiliser un renseignement sensible à une autre fin, ou pour le communiquer à un tiers, le consentement doit être exprès. Détail dans le guide.

Des témoins (cookies) et des traceurs annoncés

Si vous recueillez des renseignements avec une technologie qui permet d’identifier, de localiser ou de profiler une personne, vous l’informez au préalable de ce recours et des moyens offerts pour activer ces fonctions. Selon la CAI, ces fonctions sont désactivées par défaut : c’est à la personne de les activer. Détail dans le guide.

La confidentialité par défaut

Si vous offrez au public un produit ou un service technologique doté de paramètres de confidentialité, et qu’il recueille des renseignements personnels, ces paramètres sont réglés par défaut au plus haut niveau de confidentialité. Les paramètres d’un témoin de connexion font exception. Détail dans le guide.

Un plan pour les incidents de confidentialité

Accès, utilisation ou communication non autorisés par la loi, perte ou toute autre atteinte à la protection d’un renseignement : dès que vous avez des motifs de croire qu’un tel incident s’est produit, vous prenez des mesures raisonnables pour réduire le risque de préjudice et éviter qu’il se reproduise. S’il y a un risque de préjudice sérieux, vous avisez avec diligence la CAI et les personnes concernées. Chaque incident s’inscrit dans un registre, même sans risque sérieux. Détail dans le guide.

Une évaluation des facteurs relatifs à la vie privée (ÉFVP)

Vous la faites pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique de services qui implique des renseignements personnels, en consultant votre responsable dès le début. Vous la faites aussi avant de communiquer des renseignements hors du Québec, y compris quand vous confiez leur collecte, leur utilisation ou leur conservation à un prestataire hors du Québec. Détail dans le guide.

Les droits des personnes

Sur demande écrite, avec preuve d’identité, une personne peut savoir si vous détenez des renseignements sur elle et en obtenir une copie. Elle peut les faire rectifier s’ils sont inexacts, incomplets ou équivoques.

Elle peut exiger que vous cessiez de diffuser un renseignement, ou faire désindexer un lien rattaché à son nom, quand cette diffusion contrevient à la loi, ou, sous conditions, quand elle lui cause un préjudice grave à sa réputation ou à sa vie privée. Détail dans le guide.

Quand une décision la concernant repose exclusivement sur un traitement automatisé, elle en est informée au plus tard au moment où on lui communique la décision. Détail dans le guide.

Depuis le 22 septembre 2024, elle peut aussi obtenir les renseignements informatisés qu’elle vous a elle-même fournis, dans un format structuré et couramment utilisé, sauf difficultés pratiques sérieuses : c’est la portabilité. Détail dans le guide.

Destruction ou anonymisation

Une fois les fins de la collecte accomplies, vous détruisez le renseignement, ou vous l’anonymisez pour l’utiliser à des fins sérieuses et légitimes, sous réserve d’un délai de conservation prévu par une loi. L’anonymisation suit un règlement en vigueur depuis le 30 mai 2024. Détail dans le guide.

Depuis quand?

La loi est entrée en vigueur par étapes :

• 22 septembre 2022 : notamment le responsable de la protection des renseignements personnels et les incidents de confidentialité ;
• 22 septembre 2023 : la majorité des obligations, et le nouveau régime de sanctions ;
• 22 septembre 2024 : la portabilité.

Toutes les dispositions de la Loi 25 sont en vigueur depuis le 22 septembre 2024. Où en est la loi aujourd’hui.

Ce qu’il en coûte

La CAI peut imposer une sanction administrative pécuniaire allant jusqu’à 50 000 $ pour une personne physique, travailleur autonome compris. Pour une organisation, le plafond est de 10 millions de dollars, ou 2 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevé.

Pour les infractions énumérées dans la loi, les tribunaux imposent des amendes pénales : de 5 000 $ à 100 000 $ pour une personne physique, et de 15 000 $ à 25 millions de dollars pour une organisation, ou 4 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevé. Les amendes doublent en cas de récidive.

Enfin, une atteinte illicite à un droit protégé par la loi qui cause un préjudice, si elle est intentionnelle ou résulte d’une faute lourde, donne droit à des dommages-intérêts punitifs d’au moins 1 000 $. Détail dans le guide.

Par où commencer?

Vérifiez qui est votre responsable et publiez ses coordonnées. Faites ensuite l’inventaire des renseignements que vous recueillez, surtout sur votre site web : formulaires, témoins, outils de mesure. Notre guide détaille chaque étape pour un site web. Et pour savoir où vous en êtes, l’audit Loi 25 est gratuit.