La Loi 25, adoptée en 2021 pour moderniser la protection des renseignements personnels au Québec, est entrée en vigueur par étapes entre 2022 et 2024. Elle s’applique à toutes les entreprises qui recueillent, utilisent ou communiquent des renseignements personnels au Québec, quelle que soit leur taille : clients, employés, patients, candidats. Pour une PME, la loi peut sembler lourde, mais une bonne partie des exigences reposent sur des pratiques informatiques simples.
Ce guide résume les principales obligations et les mesures TI qui vous aident à les respecter. Il ne remplace pas un avis juridique : pour votre situation précise, consultez un avocat ou les ressources de la Commission d’accès à l’information (CAI).
Les dates clés
- 22 septembre 2022 : désignation d’une personne responsable de la protection des renseignements personnels, gestion et déclaration des incidents de confidentialité, et tenue d’un registre des incidents.
- 22 septembre 2023 : politique de gouvernance, nouvelles règles de transparence et de consentement, destruction ou anonymisation des renseignements dont on n’a plus besoin, évaluation des facteurs relatifs à la vie privée (ÉFVP) avant un transfert hors Québec, et paramètres de confidentialité les plus élevés par défaut pour les produits technologiques offerts au public.
- 22 septembre 2024 : droit à la portabilité des renseignements personnels.
Les obligations principales
1. Une personne responsable
Par défaut, la personne ayant la plus haute autorité dans l’entreprise est responsable de la protection des renseignements personnels. Elle peut déléguer cette fonction, en tout ou en partie. Son titre et ses coordonnées doivent être publiés sur le site Web de l’entreprise.
2. Une politique de gouvernance
Vous devez adopter et publier, en termes simples, des règles encadrant la gouvernance des renseignements personnels : conservation et destruction, rôles et responsabilités du personnel, et traitement des plaintes.
3. La gestion des incidents de confidentialité
Un incident de confidentialité, c’est l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, ou sa perte. Un courriel envoyé au mauvais destinataire, un portable non chiffré volé ou un compte piraté peuvent en être. Vous devez prendre des mesures pour réduire le risque, consigner chaque incident dans un registre et, si l’incident présente un risque de préjudice sérieux, aviser la CAI et les personnes concernées.
4. Le consentement et la transparence
Vous devez informer les personnes des fins pour lesquelles vous recueillez leurs renseignements et obtenir un consentement libre et éclairé, demandé à des fins précises. Sur votre site Web, cela touche notamment votre politique de confidentialité et l’utilisation de témoins (cookies) et d’outils de suivi.
5. L’ÉFVP avant un transfert hors Québec
Avant de communiquer des renseignements personnels à l’extérieur du Québec, y compris à un fournisseur infonuagique ou à un sous-traitant établi dans une autre province, vous devez réaliser une évaluation des facteurs relatifs à la vie privée. Le transfert n’est permis que si les renseignements y bénéficient d’une protection adéquate, et il doit être encadré par une entente écrite.
6. La conservation et la destruction
Lorsque la fin pour laquelle un renseignement a été recueilli est accomplie, vous devez le détruire ou l’anonymiser, sous réserve des délais de conservation prévus par d’autres lois.
Les sanctions
La CAI peut imposer des sanctions administratives pécuniaires, et des amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Les personnes touchées peuvent aussi réclamer des dommages-intérêts punitifs en cas d’atteinte illicite et intentionnelle ou de faute lourde.
Les mesures TI qui vous aident à vous conformer
La loi ne dicte pas d’outils précis, mais elle exige des mesures de sécurité raisonnables. Voici celles qui ont le plus d’impact pour une PME :
- Un inventaire des renseignements. Savoir où se trouvent vos renseignements personnels (courriel, CRM, logiciel comptable, dossiers partagés, sauvegardes) est la base de tout le reste.
- L’authentification multifacteur et des accès limités. Chaque employé n’accède qu’à ce dont il a besoin, et les comptes sont désactivés dès le départ d’un employé. Voir notre liste de vérification pour l’arrivée et le départ des employés.
- Le chiffrement. Chiffrez les portables, les téléphones et les sauvegardes. Un appareil chiffré perdu présente beaucoup moins de risques de préjudice.
- Des journaux d’audit. En cas d’incident, ils vous permettent de savoir quels renseignements ont été touchés, ce qui est essentiel pour évaluer le risque et remplir votre registre. Voir nos 8 paramètres de sécurité Microsoft 365.
- Des sauvegardes testées et un plan d’intervention. Un rançongiciel est souvent aussi un incident de confidentialité. Voir notre liste de vérification contre les rançongiciels.
- La connaissance de l’emplacement de vos données. Documentez où sont hébergés vos services infonuagiques et vos sauvegardes; c’est le point de départ de vos ÉFVP.
- La sensibilisation du personnel. La plupart des incidents commencent par une erreur humaine : un clic sur un lien d’hameçonnage ou un courriel envoyé à la mauvaise personne.
Par où commencer?
- Désignez votre responsable et publiez ses coordonnées sur votre site.
- Créez votre registre des incidents, même s’il est vide pour l’instant.
- Faites l’inventaire de vos renseignements personnels et de leurs emplacements.
- Activez la MFA, le chiffrement et les journaux d’audit.
- Rédigez votre politique de gouvernance et mettez à jour votre politique de confidentialité.
- Faites la liste de vos fournisseurs situés hors Québec et planifiez les ÉFVP nécessaires.
Comment HuPrin Systems peut vous aider
Nous ne sommes pas un cabinet d’avocats, mais nous mettons en place et gérons les mesures techniques qui soutiennent votre conformité : authentification multifacteur, chiffrement, sauvegardes, journaux d’audit, gestion des accès et réponse aux incidents, avec nos services TI gérés et notre centre d’assistance 24/7, en français et en anglais. Notre siège social est à Calgary : si vous êtes au Québec, nous vous fournissons l’information nécessaire à votre ÉFVP.
Réservez une évaluation gratuite ou appelez le +1 (888) 576-8234.
