Loi québécoise sur les renseignements personnelsGuide pour petites entreprises
La Loi 25 est entrée en vigueur en trois phases entre 2022 et 2024. Les trois phases sont maintenant en vigueur, ce qui signifie que tout ce qui suit s'applique déjà à votre entreprise : il n'y a plus rien « à venir ».
· TI et cybersécurité pour les PME québécoises depuis 1995
Cette phase a mis en place la structure de gouvernance de base dont chaque organisation a besoin :
Il s'agit de la phase la plus importante, couvrant la façon dont vous recueillez, utilisez et encadrez les renseignements personnels :
La dernière phase a accordé de nouveaux droits aux personnes sur les renseignements personnels qu'elles vous ont fournis :
Ce droit s'applique aux renseignements recueillis directement auprès de la personne, et l'obligation de transmission ne s'applique que lorsque cela est techniquement possible. Elle ne vous oblige pas à créer de nouvelles intégrations sur demande.
Chaque organisation a besoin d'une personne dont les fonctions incluent la protection des renseignements personnels. Pour la plupart des PME, il s'agit du propriétaire ou d'un cadre supérieur, et non d'un poste dédié. L'essentiel est que le rôle soit attribué, documenté, et que les gens sachent comment joindre cette personne pour des questions ou des demandes liées à la vie privée.
Les incidents de confidentialité incluent, par exemple, un ordinateur portable perdu, un courriel envoyé au mauvais destinataire, ou une boîte courriel d'employé compromise par hameçonnage. Chacun de ces incidents doit être consigné, même s'il ne justifie pas une déclaration. Le registre lui-même peut être demandé par la CAI lors d'une enquête.
Une ÉFVP n'a pas besoin d'être un document volumineux. Pour la plupart des PME, il s'agit d'une révision courte et structurée : quels renseignements personnels sont concernés, qui y a accès, où ils sont conservés, quels sont les risques, et comment ces risques sont atténués. Les éléments déclencheurs sont les nouveaux systèmes, les changements majeurs à des systèmes existants, et tout transfert de renseignements personnels à l'extérieur du Québec, y compris vers des services infonuagiques hébergés ailleurs au Canada ou aux États-Unis.
Le consentement doit être spécifique à sa fin, donné librement et facile à retirer. Les cases précochées, le consentement noyé dans de longues conditions, ou un simple « j'accepte » global couvrant plusieurs utilisations non liées des données ne répondent plus à la norme.
Si vous offrez au public un produit ou service technologique, un site Web avec pistage, une application, un portail client, ses paramètres de confidentialité doivent être réglés par défaut au plus haut niveau. L'analytique qui démarre avant le consentement et les cases précochées échouent toutes deux à ce test.
Une fois que les renseignements personnels ne sont plus nécessaires pour la fin pour laquelle ils ont été recueillis, ils doivent être détruits ou anonymisés. Cela suppose d'avoir une idée approximative de la durée de conservation de chaque catégorie de données (dossiers d'employés, dossiers clients, listes de marketing) et un processus pour réellement agir, plutôt que de tout conserver indéfiniment par défaut.
L'anonymisation a ses propres règles. Depuis le 30 mai 2024, le Règlement sur l'anonymisation des renseignements personnels exige des méthodes documentées, les meilleures pratiques généralement reconnues et une analyse des risques de réidentification avant que des données comptent comme anonymisées. Pour la plupart des PME, la destruction sécurisée demeure la voie la plus simple. En savoir plus sur l'anonymisation →