Si vous êtes propriétaire d’une entreprise au Québec, vous avez probablement entendu parler du projet de loi 25. Cette loi modifie considérablement la manière dont les entreprises doivent traiter et protéger les données personnelles des résidents du Québec. Le non-respect de la loi 25 peut entraîner de lourdes amendes et des répercussions juridiques.

Le projet de loi 25 vise essentiellement à renforcer le droit à la vie privée des personnes et à leur donner un meilleur contrôle sur leurs informations personnelles. Elle introduit de nouvelles règles pour la collecte, l’utilisation et le stockage des données à caractère personnel et impose des exigences plus strictes en matière de sécurité. Dans cet article, nous vous proposons un guide complet sur tout ce que vous devez savoir pour être en conformité.

Qu’est-ce que le projet de loi 25 et pourquoi est-il important ?

Le projet de loi 25, également connu sous le nom de Loi visant à moderniser les dispositions législatives en matière de protection des renseignements personnels, est une nouvelle loi sur la protection des données qui remplace l’ancienne loi québécoise sur la protection des renseignements personnels, la Loi sur la protection des renseignements personnels dans le secteur privé. La nouvelle loi s’inscrit dans le cadre des efforts déployés par le Québec pour aligner son cadre de protection des données sur les meilleures pratiques internationales, telles que le Règlement général sur la protection des données (RGPD) de l’Union européenne.

Le projet de loi 25 est important parce qu’il renforce considérablement le droit à la vie privée des résidents du Québec et impose de nouvelles obligations aux entreprises qui collectent, utilisent ou communiquent des informations personnelles. Elle confère également au commissaire à la protection de la vie privée du Québec des pouvoirs d’exécution accrus et la possibilité d’imposer des amendes substantielles en cas de non-respect de la législation.

À qui s’applique-t-elle ?

Le projet de loi 25 s’applique à toutes les entreprises opérant au Québec, quelle que soit leur taille ou leur secteur d’activité, qui recueillent, utilisent ou communiquent des renseignements personnels concernant des résidents du Québec. Il s’agit notamment des entreprises situées hors du Québec mais qui offrent des biens ou des services aux résidents du Québec ou qui surveillent leur comportement.

Quelles sont les principales dispositions de la nouvelle loi ?

Le projet de loi 25 introduit plusieurs dispositions clés que les entreprises doivent connaître pour s’y conformer. Les dispositions les plus importantes sont les suivantes :

1. Exigences en matière de consentement : Le projet de loi impose des exigences plus strictes pour l’obtention d’un consentement valable pour la collecte, l’utilisation ou la divulgation d’informations personnelles. Les entreprises doivent obtenir un consentement explicite, qui doit être spécifique, éclairé et donné librement. La charge de la preuve de l’obtention d’un consentement valable incombe à l’entreprise.
2. Notification des violations de données : Le projet de loi oblige les entreprises à signaler les violations de données au commissaire à la protection de la vie privée et aux personnes concernées dans les meilleurs délais. La notification doit contenir des détails sur la violation, ses conséquences potentielles et les mesures prises pour atténuer le risque.
3. Droit à l’oubli : Le projet de loi donne aux individus le droit de demander l’effacement de leurs données personnelles, sous réserve de certaines exceptions. Les entreprises doivent se conformer à ces demandes et veiller à ce que les données effacées ne soient pas divulguées ou utilisées à d’autres fins.
4. Restrictions sur le transfert de données : Le projet de loi limite le transfert de données à caractère personnel à des tiers en dehors du Québec, sauf si le tiers offre un niveau de protection adéquat ou si le transfert est nécessaire à l’exécution d’un contrat.
5. Évaluation de l’impact sur la vie privée : Le projet de loi impose aux entreprises de procéder à des évaluations de l’impact sur la vie privée lorsqu’elles introduisent de nouvelles technologies ou pratiques commerciales susceptibles d’avoir un impact sur le droit à la vie privée des personnes. Il est conçu pour aider les entreprises à identifier et à atténuer les risques potentiels en matière de protection de la vie privée.

Quelles sont les sanctions en cas de non-conformité ?

Les entreprises qui ne se conforment pas à la loi 25 s’exposent à des amendes substantielles pouvant aller jusqu’à 4 % de leur chiffre d’affaires mondial ou 25 millions de dollars canadiens, le montant le plus élevé étant retenu. Les personnes qui enfreignent la loi sont également passibles d’amendes pouvant aller jusqu’à 50 000 CAD.

Pour en savoir plus sur la conformité au projet de loi 25, communiquez avec un expert et apprenez-en davantage sur les étapes requises.