Depuis septembre 2022, les entreprises ayant des activités au Québec ou qui traite des informations de ses résidents doivent progressivement se conformer à la Loi 25, la nouvelle norme québécoise en matière de protection de la vie privée et des données.
La Loi 25 du Québec est une mise à jour de l’ancienne « Loi sur la protection des renseignements personnels dans le secteur privé » et introduit de nouvelles lignes directrices que les organisations publiques et privées doivent suivre pour préserver les droits de protection des données personnelles de leurs clients.
Le non-respect de la loi 25 peut entraîner des amendes pénales et des sanctions administratives substantielles qui peuvent considérablement nuire aux entreprises et à leurs PDG, qui sont tenus responsables de la non-conformité de leur organisation.
Dans cet article, nous explorerons en profondeur la loi 25, les graves conséquences du non-respect de celle-ci et ce que vous pouvez faire en tant qu’entreprise pour adhérer à cette nouvelle réglementation si vous ne l’avez pas déjà fait.
Table des matières:
- Loi 25 : Qu’est-ce que c’est et pourquoi devriez-vous vous en soucier ?
- Loi clé 25 Étapes de mise en œuvre pour les entreprises
- Mise à jour de la loi 25 de septembre 2024
- Conséquences du non-respect de la loi 25
- Lien vers notre article précédent sur les conséquences générales du non-respect
- Mindsec : la voie sans stress vers la conformité
Loi 25 : de quoi s’agit-il et pourquoi s’en préoccuper ?
La loi 25 du Québec (alias projet de loi 64) a été officiellement adoptée en septembre 2021« Loi visant à moderniser les dispositions législatives en matière de protection des renseignements personnels ».Conçu comme une refonte du cadre de protection de la vie privée du Québec, il vise à l’aligner sur les normes mondiales comme le Règlement général sur la protection des données (RGPD) de l’UE.
La Loi 25 s’applique à toute entreprise qui recueille, stocke ou traite des renseignements personnelles sur ses clients résidant au Québec. Cela comprend les entreprises physiquement établies au Québec, ainsi que les entreprises de commerce électronique et les entreprises numériques.
L’objectif de la loi 25 est de protéger le droit à la vie privée des consommateurs face à la multiplication des vols d’identité et aux innovations technologiques hâtives. Pour ce faire, les entreprises doivent respecter des exigences de sécurité plus strictes, notamment :
- Divulgation complète et la nécessité de demander le consentement explicite de l’utilisateur avant de collecter ses données ;
- Transparence totale sur l’utilisation que vous ferez avec les données des utilisateurs, la manière dont vous les stockerez et pendant combien de temps ;
- La nécessité de mettre en place des mesures de cybersécurité pour protéger les données des clients contre tout accès non autorisé ;
- Donner aux consommateurs la possibilité d’accéder, de modifier et de transférer leurs données personnelles après les avoir partagées ;
- L’obligation d’informer les personnes des violations de données les concernant.
Les entreprises qui ne se conforment pas à la loi 25 s’exposent à de graves conséquences juridiques et financières, surtout maintenant qu’elle est entièrement mise en œuvre depuis septembre 2024. Nous en parlerons dans les sections suivantes.
Loi 25: principales étapes de mise en œuvre
En raison de l’ampleur des changements réglementaires, la loi 25 est entrée en vigueur en trois phases annuelles, toutes ayant lieu au mois de septembre. Cette période a débuté en 2022 et s’est achevée en 2024.
Les premières dispositions clés mises en œuvre lors de la phase initiale ont été les suivantes :
- Nomination d’un responsable de la protection de la vie privée :Les organisations doivent désigner une personne chargée de veiller à la conformité. Le PDG assumera ce rôle par défaut, mais il peut déléguer cette fonction à quelqu’un d’autre. Ses coordonnées doivent être publiées sur le site Web de l’entreprise.
- Déclaration obligatoire des violations :Les entreprises doivent informer à la fois le Commission d’accès à l’information(CAI) et les personnes concernées de toute violation de données concernant leurs informations personnelles. Ils doivent également tenir un journal de tous les incidents de données.
La deuxième phase, correspondant à septembre 2023, a mis en œuvre la plupart des dispositions de la loi 25. Les plus importantes sont les suivantes :
- Établir un cadre de protection de la vie privée :Les entreprises doivent établir un cadre transparent de confidentialité et de confidentialité pour la collecte et le traitement des données, et mettre en place des procédures pour traiter les plaintes.
- Transparence accrue :Les entreprises doivent être totalement transparentes sur la manière dont elles utilisent les données des utilisateurs : quelles données spécifiques collectent-elles ? Un tiers est-il impliqué dans leur traitement ? Quels sont les droits des personnes concernées ? Tout cela doit être articulé dans une politique de confidentialité claire et facilement accessible.
- Évaluation des facteurs relatifs à la vie privée (EFVP) :Les organisations sont désormais tenues de réaliser une EFVP pour tout projet impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de données personnelles. Les EFVP sont obligatoires lors de l’acquisition de systèmes numériques, du partage de données à des fins de recherche sans consentement ou du traitement de renseignements personnels au-delà des frontières, à l’extérieur du Québec. Cela s’applique également aux activités de traitement à haut risque menées dans la province. Des lignes directrices internes et des procédures de communication claires doivent également être établies afin que le personnel de l’organisation puisse s’assurer de la conformité.
- Droits de désindexation :En plus du droit à l’oubli, la Loi 25 du Québec permet aux personnes concernées de demander la déréférencement de leurs renseignements personnels. Les entreprises doivent également déréférencer tout lien Internet rattaché au nom de l’utilisateur.
- Transferts transfrontaliers de données personnelles :Les transferts transfrontaliers sont soumis à des ÉIPV pour déterminer la sécurité du transfert, auquel cas les entreprises seront autorisées à transférer des données au-delà des frontières du Québec.
- Confidentialité par défaut et par conception :Cela oblige les entreprises à intégrer par défaut le plus haut niveau de confidentialité à leurs produits et services. Cela inclut la désactivation des options interférant avec la confidentialité des utilisateurs, qui nécessitent désormais le consentement préalable. Cela ne s’appliquera pas aux cookies du navigateur.
- Conservation et destruction des données:Les entreprises doivent mettre en place des politiques de destruction et d’anonymisation des données personnelles une fois que l’objectif initial pour lequel elles ont été collectées est atteint. Il s’agit d’une exigence pour obtenir l’autorisation d’utiliser ces informations à des fins légitimes. Les entreprises doivent également cartographier et créer un inventaire de leurs données utilisateur et établir des périodes de conservation avec des protocoles de suppression et d’anonymisation.
Septembre 2024
La dernière phase de la Loi 25 du Québec vient d’être mise en œuvre en septembre 2024. Elle comprend une dernière disposition, mais très importante, qui complète le nouveau cadre de protection de la vie privée du Québec : le droit à la portabilité des données. Cela donne aux utilisateurs la possibilité de récupérer leurs informations personnelles dans les dossiers d’une entreprise et de les transférer vers un autre responsable du traitement des données.
Les entreprises doivent faciliter l’exercice de ce droit en disposant de la technologie et de la formation nécessaires pour produire une copie numérique de toutes les informations personnelles qu’elles détiennent sur toute personne, au cas où elles en feraient la demande. Ces données doivent être fournies dans un format structuré, couramment utilisé et lisible par machine afin que d’autres personnes ou organisations autorisées puissent les traiter.
Cet aspect spécifique de la loi 25 vise à donner aux individus la possibilité de faire transférer leurs données personnelles de manière transparente entre les fournisseurs de services, tout en obligeant les entreprises à faciliter autant que possible cette opération pour leurs utilisateurs.
Conséquences de la non- conformité avec la loi 25
La Loi 25 du Québec est plus stricte et s’accompagne d’un régime d’application plus rigoureux que la loi précédente. Depuis septembre 2024, toutes les entreprises relevant de la compétence de la Loi 25 sont tenues de se conformer à toutes ses dispositions, y compris le droit à la portabilité des données récemment mis en œuvre.
Les entités qui n’ont pas adhéré à la dernière mise à jour de septembre 2024 peuvent être soumises à des amendes onéreuses imposées par la CAI et par la Cour du Québec. Plus précisément :
- Des amendes pénales pouvant atteindre 100 000 $ CA pour les particuliers et de 15 000 $ à 25 M$ (ou 4 % du chiffre d’affaires mondial annuel de l’exercice précédent, selon le montant le plus élevé) pour les entreprises des secteurs privé et public non conformes et leurs PDG.
- Des sanctions administratives pouvant aller jusqu’à 10 millions de dollars (ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé) pour les entreprises non conformes.
Il existe également un droit d’action devant les tribunaux civils qui permet aux particuliers de porter plainte contre les entreprises pour des dommages-intérêts légaux liés à des violations spécifiques, telles que :
- Utilisation illégale des informations personnelles
- Défaut de fournir des avis de confidentialité
- Défaut de notification des personnes concernées en cas de violation de la confidentialité
Les entreprises qui ne se conforment pas à la loi 25 s’exposent également à la conséquences courantes du non-respect, comme une atteinte à la réputation publique et à la crédibilité, et une perte de confiance des consommateurs. Cela conduit inévitablement à une baisse des ventes et des revenus et peut nécessiter beaucoup de temps et de ressources pour y remédier.
C’est pourquoi il est important pour les entreprises de placer la conformité en tête de leur liste de priorités, et pourquoi il est logique de s’appuyer sur l’aide professionnelle et les conseils d’experts d’un partenaire de conformité accompli.
Mindsec : la voie sans stress vers la conformité à la loi 25
Se conformer à la Loi 25 du Québec est difficile. D’autant plus si vous essayez de tout faire par vous-même. Sans point de départ clair, l’ensemble du processus peut prendre jusqu’à un an, et si vous n’avez aucune expérience préalable des procédures de conformité, il peut être facile d’omettre des informations, de faire des erreurs et de vous retrouver avec une amende pour non-conformité involontaire.
Le logiciel Mindsec et les conseils d’experts bilingues simplifient les exigences afin que vous puissiez mettre à jour vos protocoles de confidentialité en quelques semaines, au lieu de plusieurs mois. Nous vous aiderons à éviter des amendes coûteuses, à maximiser votre retour sur investissement et à faire des affaires en toute tranquillité au Québec, en gérant les informations de ses résidents tout en respectant leur vie privée.
En travaillant avec Mindsec, vous adhérerez rapidement aux cadres de confidentialité des données du Québec, tout en restant en retrait et…
- Bénéficiez d’une conformité facile avec des contrôles et des politiques pré-mappés pour vos équipes de sécurité et informatiques
- Économiser entre 60 et 70 % des coûts de conformité du marché
- Bénéficier du soutien d’experts en sécurité bilingues (EN/FR) pour déposer la documentation dans une autre langue si nécessaire
Réservez une démo gratuite aujourd’hui pour découvrir comment nous pouvons vous aider à rester en conformité avec la loi 25 sans épuiser les ressources de votre entreprise, sans épuiser votre équipe et avec moins de 2 heures de votre contribution par semaine.
