Loi 25 pour les entreprises du Québec : le guide complet

Selon la Commission d’accès à l’information (nouvel onglet), un renseignement personnel est un renseignement qui permet d’identifier une personne physique, directement ou indirectement. La loi s’applique aux renseignements que votre entreprise recueille, détient, utilise ou communique, quel que soit leur support (écrit, sonore, visuel, informatisé), et même lorsqu’un tiers les conserve pour vous. Ils n’ont pas besoin d’être classés dans un dossier au nom de la personne.

Concrètement, une entreprise détient presque toujours des renseignements personnels : coordonnées de clients et de prospects, historiques d’achats, dossiers d’employés, candidatures, messages reçus par le site, enregistrements de caméras. La loi encadre chaque étape : la collecte, l’utilisation, la communication à des tiers, la conservation et la destruction.

Les obligations sont entrées en vigueur en trois temps. Le tableau suivant les résume avec un premier geste réaliste pour une entreprise.

La Commission précise que la personne ayant la plus haute autorité dans l’entreprise (nouvel onglet), par exemple son dirigeant, est par défaut responsable de la protection des renseignements personnels. Cette fonction peut être déléguée par écrit, en tout ou en partie, à une personne capable de l’assumer; la Commission recommande de choisir quelqu’un qui a les compétences requises et un pouvoir décisionnel important. Même après une délégation, la plus haute autorité reste imputable et doit fournir les ressources nécessaires.

Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l’entreprise, ou communiqués par un autre moyen approprié s’il n’y a pas de site. La Commission n’a pas à en être informée. Publiez une fonction et une adresse durables, par exemple « Responsable de la protection des renseignements personnels » et une adresse courriel dédiée, plutôt qu’une boîte personnelle qui changera au prochain départ.

Le rôle n’est pas honorifique. Le responsable approuve les politiques de gouvernance, reçoit et traite les demandes d’accès et de rectification, participe dès le départ aux évaluations des facteurs relatifs à la vie privée, reçoit les avis des fournisseurs en cas de manquement à la confidentialité et doit être consulté pour évaluer le risque d’un incident. Dans une petite entreprise, ces tâches tiennent en quelques heures par mois, à condition de savoir à qui elles reviennent.

Les entreprises doivent établir et mettre en œuvre des politiques et des pratiques de gouvernance. Selon la Commission, elles prévoient au minimum des règles de conservation et de destruction, les rôles et les responsabilités du personnel tout au long du cycle de vie des renseignements, et un processus de traitement des plaintes. Elles doivent être proportionnelles à la nature et à l’importance de vos activités, et l’information à leur sujet doit être publiée sur votre site, de façon détaillée et en termes simples et clairs.

Pour une entreprise, ce document peut tenir en deux ou trois pages. Commencez par un inventaire : quels renseignements vous détenez, pourquoi, où ils se trouvent (logiciel comptable, boîte de courriel, tableur, outil de gestion de clientèle, papier), qui y a accès et combien de temps vous les gardez. Cet inventaire sert ensuite à tout : rédiger la politique de confidentialité, répondre à une demande d’accès, réagir à un incident.

Fixez des durées de conservation par type de document en tenant compte des délais imposés par d’autres lois, par exemple en fiscalité. Le guide pour organiser les documents de votre entreprise en équipe propose une méthode de classement et d’accès qui facilite cette discipline.

La Commission insiste sur un principe : avant même de demander un consentement, vous devez évaluer la nécessité de la collecte (nouvel onglet). Une collecte est nécessaire si l’objectif est légitime, important et réel, et si l’atteinte à la vie privée est proportionnelle à cet objectif. En cas de doute, le renseignement est considéré comme non nécessaire. C’est à l’entreprise de démontrer qu’il l’est.

Au moment de la collecte, informez la personne des fins de la collecte, des moyens utilisés, de ses droits d’accès et de rectification et de son droit de retirer son consentement. Le cas échéant, indiquez aussi le nom des tiers pour qui la collecte est faite, les tiers ou catégories de tiers à qui les renseignements seront communiqués, la possibilité qu’ils soient communiqués à l’extérieur du Québec et le recours à une technologie d’identification, de localisation ou de profilage. La Commission donne un exemple parlant : si vous stockez les renseignements chez un fournisseur infonuagique en Ontario, vous devez le mentionner.

Sur demande, vous devez aussi indiquer quels renseignements vous avez recueillis, qui y a accès dans l’entreprise, combien de temps ils sont conservés et les coordonnées du responsable. En règle générale, vous ne pouvez pas refuser un service ou rejeter une candidature parce qu’une personne refuse de fournir un renseignement, sauf si la collecte est nécessaire à un contrat, autorisée par la loi, ou si des motifs raisonnables laissent croire que la demande est illicite.

Relisez vos formulaires avec cette grille. Un formulaire de soumission qui exige une date de naissance ou une adresse complète pour un simple premier contact demande probablement trop.

Le consentement sert à utiliser ou à communiquer des renseignements à d’autres fins que celles annoncées, ou à les communiquer à des tiers lorsque aucune exception ne s’applique. Selon la Commission (nouvel onglet), il doit être manifeste, libre, éclairé, spécifique, temporaire, granulaire (demandé pour chaque fin), compréhensible et distinct de toute autre information lorsqu’il est demandé par écrit. Une case précochée enfouie dans des conditions d’utilisation ne remplit pas ces critères.

Un renseignement est sensible lorsqu’il est de nature médicale, biométrique ou autrement intime, ou lorsque son contexte suscite un haut degré d’attente raisonnable en matière de vie privée. Son utilisation à d’autres fins exige un consentement exprès, donné par un geste ou une déclaration qui ne laisse aucun doute. Pour un mineur de moins de 14 ans, le consentement est donné par le parent ou le tuteur.

La Commission a publié des lignes directrices sur les critères de validité du consentement (nouvel onglet) avec des exemples et de bonnes pratiques. Pour une entreprise, trois gestes règlent l’essentiel : séparer les cases (par exemple, répondre à la demande d’une part, recevoir l’infolettre d’autre part), expliquer chaque usage en une phrase simple, et garder une trace de la date et de la formulation du consentement.

La publication d’une politique de confidentialité est obligatoire si vous recueillez des renseignements personnels à l’aide d’une technologie, peu importe laquelle. Elle doit être rédigée en termes simples et clairs et informer les personnes des renseignements recueillis et de leurs fins, des tiers à qui ils peuvent être communiqués, des mesures de protection, du recours à des témoins de connexion, de leurs droits et recours, et des modifications apportées à la politique. La Commission propose un guide pour rédiger une politique de confidentialité (nouvel onglet) qui rappelle aussi qu’une politique de confidentialité ne doit pas être fusionnée avec les conditions d’utilisation.

Pour les technologies qui permettent d’identifier, de localiser ou de profiler une personne, vous devez l’informer dès le départ de leur utilisation et des moyens d’activer ces fonctions. Elles ne peuvent pas être activées par défaut : la personne doit le faire elle-même, volontairement. La loi définit le profilage comme la collecte et l’utilisation de renseignements afin d’évaluer certaines caractéristiques d’une personne, notamment ses préférences, ses intérêts ou son comportement. Selon notre lecture, qui ne remplace pas un avis juridique, les pixels de reciblage publicitaire entrent généralement dans cette description.

Faites donc l’inventaire de ce que votre site charge : mesure d’audience, pixels publicitaires, clavardage, vidéos et cartes intégrées, polices ou scripts de tiers. Demandez à chaque fournisseur ce qu’il recueille et s’il dépose des témoins avant le consentement. Le guide Loi 25 et votre site web détaille ce qu’il faut afficher et où, avec une liste de contrôle d’une heure; le guide complet sur le site web des entreprises replace ces obligations parmi les autres chantiers du site. Pour mesurer vos résultats sans tout bloquer, voyez aussi la section sur la mesure du guide sur le marketing numérique des entreprises.

Un incident de confidentialité (nouvel onglet) est tout accès, toute utilisation ou toute communication non autorisés d’un renseignement personnel, ou sa perte. Les exemples de la Commission sont ordinaires : un employé qui consulte un dossier sans raison, un courriel envoyé au mauvais destinataire, un hameçonnage ou un rançongiciel. Votre entreprise reste responsable même si l’incident survient chez un fournisseur qui conserve les renseignements pour vous.

Dès que vous avez des motifs de croire qu’un incident s’est produit, prenez des mesures raisonnables pour diminuer le risque de préjudice et éviter qu’il se répète. Évaluez ensuite le risque en tenant compte de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité d’une utilisation préjudiciable, en consultant votre responsable. Si le risque de préjudice est sérieux, vous devez aviser sans tarder la Commission, au moyen de son formulaire, et les personnes concernées, avec une description des renseignements visés, des circonstances, de la date, des mesures prises et des coordonnées d’une personne à joindre.

Tous les incidents, même ceux qui ne présentent pas de risque sérieux, doivent être inscrits dans un registre que la Commission peut demander. Le registre décrit les renseignements visés, les circonstances, les dates, le nombre de personnes touchées, l’évaluation du risque, les avis transmis et les mesures prises. Il est tenu à jour et conservé au moins cinq ans après la prise de connaissance de l’incident.

La prévention coûte moins cher. La Commission recommande notamment de limiter l’accès aux seuls employés qui en ont besoin, de former le personnel à l’hameçonnage et aux mots de passe, de chiffrer les appareils et les communications et d’appliquer les mises à jour. Le guide sur le Conseiller CTO de Seraf propose une liste de vérification pour la sécurité des accès.

L’évaluation des facteurs relatifs à la vie privée, ou EFVP, est une analyse d’impact. Elle vérifie la conformité d’un projet, repère les risques pour la vie privée et prévoit des mesures pour les réduire. La Commission la rend obligatoire dans trois situations : avant de communiquer des renseignements à l’extérieur du Québec ou d’y confier leur collecte, leur utilisation ou leur conservation; pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels; et avant une communication sans consentement à des fins de recherche.

La notion de système d’information est large. La Commission cite notamment les logiciels de collaboration ou de vidéoconférence, les systèmes d’intelligence artificielle, la vidéosurveillance et la gestion de la paie; une zone membre d’un site Web ou une application mobile sont des exemples de prestation électronique de services. Pour une entreprise, l’adoption d’un nouveau logiciel de gestion, d’un outil d’IA ou d’un espace client en ligne déclenche donc souvent une EFVP.

L’évaluation doit être proportionnée à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements. Pour un outil courant, quelques pages suffisent souvent. La Commission publie un guide d’accompagnement pour réaliser une EFVP (nouvel onglet) et un modèle de rapport. Le responsable de la protection doit y participer dès le début du projet.

Vous pouvez confier des renseignements personnels à un fournisseur sans le consentement des personnes lorsque c’est nécessaire à un mandat ou à un contrat de service. La Commission précise que ce mandat ou ce contrat doit être confié par écrit (nouvel onglet) et prévoir les mesures pour protéger la confidentialité, limiter l’utilisation aux fins du contrat et empêcher la conservation après son expiration. Le fournisseur doit aviser sans délai votre responsable de toute violation de confidentialité.

Avant de communiquer des renseignements à l’extérieur du Québec, y compris dans une autre province, ou de confier à un fournisseur situé ailleurs la tâche de les recueillir, de les utiliser ou de les conserver pour vous, une EFVP est requise. La communication ne peut avoir lieu que si les renseignements bénéficieront d’une protection adéquate, et elle doit faire l’objet d’une entente écrite. Votre entreprise demeure responsable des renseignements qu’elle confie. Or une bonne partie des logiciels en ligne (courriel, stockage, comptabilité, infolettre, outils d’IA) hébergent les données hors du Québec.

Avant d’adopter un outil d’IA ou un logiciel infonuagique, posez au fournisseur quelques questions écrites :

• Où les données sont-elles hébergées, et par quels sous-traitants passent-elles?
• Les données saisies servent-elles à entraîner ses modèles ou à d’autres fins que le service?
• Quelles mesures de sécurité protègent les données, et comment serez-vous avisé d’un incident?
• Pouvez-vous exporter vos données dans un format courant et les faire supprimer à la fin du contrat?
• Le contrat prévoit-il la confidentialité, l’usage limité et la non-conservation après l’expiration?

Les décisions entièrement automatisées ont leurs propres règles. Si vous utilisez des renseignements personnels pour rendre une décision sans intervention humaine, par exemple pour accorder un crédit ou prioriser une demande, vous devez en informer la personne au plus tard au moment de lui communiquer la décision et lui donner l’occasion de présenter ses observations à un membre du personnel capable de la réviser. Sur demande, vous expliquez les renseignements utilisés et les principaux facteurs de la décision. Le guide sur l’équipe de direction IA montre un usage où l’IA prépare une recommandation et où la décision reste humaine.

Toute personne peut demander à accéder à ses renseignements ou à les faire rectifier. Le responsable doit répondre dans les 30 jours; l’absence de réponse dans ce délai équivaut à un refus, que la personne peut contester devant la Commission. Si la demande est imprécise, aidez la personne à préciser ce qu’elle cherche, et motivez tout refus en indiquant la disposition de la loi qui le justifie.

Depuis septembre 2024, une personne peut aussi demander que ses renseignements personnels informatisés, recueillis auprès d’elle, lui soient communiqués dans un format technologique structuré et couramment utilisé, ou transmis à une entreprise autorisée à les recevoir. Les renseignements créés ou inférés par l’entreprise sont exclus. Tout nouveau système d’information doit permettre cette communication, ce qui est un bon critère de choix d’un logiciel.

Une personne peut enfin exiger que vous cessiez de diffuser ses renseignements, ou que vous désindexiez un hyperlien rattaché à son nom, si la diffusion contrevient à la loi ou à une ordonnance, ou lui cause un préjudice grave à sa réputation ou à sa vie privée. Préparez une procédure simple : une adresse pour recevoir les demandes, une vérification d’identité proportionnée, un repérage complet des renseignements dans vos systèmes et un modèle de réponse. Pour les dossiers d’employés, le guide sur le Conseiller Ressources humaines de Seraf aborde les limites à respecter.

Lorsque les fins pour lesquelles un renseignement a été recueilli sont accomplies, l’entreprise doit le détruire ou l’anonymiser (nouvel onglet), sous réserve d’un délai de conservation prévu par une autre loi. La Commission recommande une procédure de gestion documentaire, un calendrier de conservation et une méthode de destruction adaptée au support : déchiqueteuse à découpe transversale pour le papier, suppression sécuritaire pour les supports réutilisés, destruction physique pour les supports qui ne serviront plus. Notez que l’anonymisation doit respecter des critères fixés par règlement.

Les sanctions sont réelles. Selon la Commission (nouvel onglet), les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Elles visent notamment le défaut d’informer adéquatement, de déclarer un incident présentant un risque de préjudice sérieux, de prendre des mesures de sécurité ou d’informer d’une décision automatisée. En matière pénale, les amendes vont de 15 000 $ jusqu’au plus élevé de 25 millions de dollars ou 4 % du chiffre d’affaires mondial pour une entreprise, et elles sont doublées en cas de récidive.

Ces montants maximaux ne doivent pas paralyser une entreprise. Pour fixer une amende, le juge tient compte notamment de la gravité et de la durée de l’infraction, de la sensibilité des renseignements, de l’intention ou de la négligence et des efforts pour atténuer les conséquences; la Commission publie aussi un cadre qui précise comment elle décide d’une sanction administrative. Une entreprise peut enfin s’engager auprès de la Commission à corriger un manquement. Ce qui protège le mieux, c’est une démarche documentée et sincère.

Vous n’avez pas besoin de tout faire en une semaine. Ce plan donne un ordre réaliste pour une entreprise de 5 à 50 employés.

1. Semaine 1 : nommer et inventorier. Confirmez qui est responsable, déléguez par écrit au besoin et publiez le titre et l’adresse courriel dédiée sur le site. Dressez l’inventaire des renseignements détenus, de leurs emplacements et des personnes qui y ont accès.
2. Semaine 2 : le site et les formulaires. Retirez les champs non nécessaires, ajoutez les mentions de collecte, inventoriez les témoins et réglez les outils qui profilent pour qu’ils soient désactivés par défaut. Publiez ou mettez à jour la politique de confidentialité.
3. Semaine 3 : incidents et fournisseurs. Créez le registre des incidents et une procédure d’une page. Listez vos fournisseurs qui détiennent des renseignements, vérifiez les contrats et repérez ceux qui hébergent les données hors du Québec pour planifier leurs EFVP.
4. Semaine 4 : règles et habitudes. Rédigez les politiques de gouvernance (conservation et destruction, rôles, plaintes), publiez l’information à leur sujet, préparez un modèle de réponse aux demandes d’accès et donnez une courte formation à l’équipe sur l’hameçonnage et les accès.

Notez ensuite une révision annuelle dans l’agenda, et refaites une EFVP chaque fois que vous adoptez un nouvel outil qui touche des renseignements personnels.