La Loi 25, plus précisément nommée Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, comporte de nouvelles responsabilités pour les entreprises.
Qu’est-ce que nous devons savoir sur ces nouvelles responsabilités et que doivent faire les entreprises en matière de conformité ? Les experts chez Nerd Marketing vous donnent des détails et quelques bonnes pratiques à adopter dès maintenant pour faciliter une transition efficace vers vos nouvelles obligations.
La nouvelle loi : depuis septembre 2022
En vertu des nouvelles dispositions en vigueur depuis le 22 septembre 2022, les entreprises, peu importe leur taille, doivent désigner une personne responsable au sein de l’équipe pour assurer la conformité de cette loi. Cette personne devra entre autres s’assurer que les politiques et procédures de l’entreprise respectent les dispositions de la Loi.
Plus encore fondamental, toutes les entreprises seront tenues de tenir un registre des renseignements personnels dont elles ont la responsabilité, ainsi qu’un registre de toutes les divulgations de ces renseignements. Ces registres doivent être mis à la disposition de la Commission d’accès à l’information du Québec (CAIQ) qui pourrait en faire la demande puisqu’il s’agit de l’organisme mandaté pour veiller au respect des dispositions de la loi.
Si la confidentialité des renseignements personnels est compromise, la loi prévoit que la CAIQ est habileté à mettre en place des solutions afin de réduire l’impact sur les renseignements personnels. Dans un tel cas, des mesures devront être adoptées pour éviter tout risque de récidive quant à la gestion des renseignements personnels au sein de l’entreprise visée.
La nouvelle loi : à compter de septembre 2023
À compter du 22 septembre 2023, de nouvelles mesures sont prévues pour encadrer la collecte des renseignements personnels et la façon de les utiliser. La principale nouveauté concerne l’obligation d’obtenir le consentement des personnes avant de collecter, d’utiliser ou de divulguer leurs informations personnelles. Les entreprises devront aussi s’assurer de l’exactitude de ces renseignements en plus de veiller à la protection desdites informations personnelles. Avant divulgation des renseignements personnels, la personne responsable de la conformité de la loi devra obtenir le consentement de l’employé en question.
Les mesures qui entreront en vigueur en septembre 2023 touchent également l’anonymisation des données ainsi que la période de leur conservation au sein de l’entreprise. On devra aussi indiquer de quelle façon les renseignements seront conservés pendant toute cette période.
Comme déjà mentionnée, la CAIQ sera responsable de l’application des nouvelles dispositions de la Loi 25. La Commission pourra imposer des pénalités administratives pouvant aller jusqu’à 25 000 $ aux entreprises et autres organismes qui contreviennent à la pièce législative.
Bref, dès septembre de cette année, il vous faudra mettre en place des mesures afin de respecter la confidentialité des renseignements personnels de vos ressources au sein de l’entreprise ou de tout autre renseignement personnel susceptible d’avoir une incidence sur vos clients.
La nouvelle loi : à compter de septembre 2024
À titre de personne qui exploite une entreprise, vous devrez « répondre aux demandes de portabilité des renseignements personnels ». Pour ce faire, vos systèmes internes devront :
- « Permettent de communiquer, sur demande d’une personne concernée, un renseignement personnel informatisé recueilli auprès d’elle, et ce, dans un format technologique structuré et couramment utilisé ;
- Que cette communication puisse également se faire à une personne ou à un organisme autorisé par la Loi à recueillir le renseignement, à la demande de la personne concernée »[1].
Pour résumer
Si vous n’avez pas encore identifié la ressource au sein de votre entreprise pour la gestion des renseignements personnels qui était prévue le 22 septembre 2022, vous devez le faire rapidement.
Ensuite, un plan d’action doit être mis en place en cas de violation de la confidentialité des renseignements personnels. Ce plan devra identifier clairement les mesures à prendre en cas de violation desdits renseignements.
Pour l’automne 2023, l’inventaire des renseignements personnels devra être défini, et ce, au plus tard le 22 septembre 2023. La mise à jour de cet inventaire sera également importante et devra se faire d’une façon continue.
Au plus tard, le 22 septembre 2024, le droit à la portabilité des renseignements personnels devra aussi faire partie de vos processus de protection des renseignements personnels et des données nominatives.
En terminant, tous les membres de votre équipe, y compris bien entendu la personne responsable, doivent concourir à la protection des données nominatives au sein de l’organisation.
En plus des informations contenues dans cet article, vous trouverez des renseignements utiles dans le feuillet explicatif de la CAIQ. Les experts chez Nerd Marketing suivent de près les dispositions qui touchent les entreprises de partout au Québec. Faites confiance à des gens chevronnés et aguerris dans le monde du marketing numérique.
[1] https://www.cai.gouv.qc.ca/documents/CAI_Guide_obligations_entreprises_vf.pdf
