Loi 25 (Québec)
La loi québécoise qui modernise la protection des renseignements personnels et impose des obligations proches du RGPD aux organisations qui traitent des données sur des Québécois.
En bref
- Elle est entrée en vigueur par étapes entre septembre 2022 et septembre 2024.
- Chaque organisation doit avoir un responsable de la protection des renseignements personnels, la personne ayant la plus haute autorité par défaut.
- Les amendes peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les infractions les plus graves.
La Loi 25, adoptée en 2021 sous le nom de projet de loi 64, a modernisé la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Elle s'applique aux entreprises qui recueillent, détiennent, utilisent ou communiquent des renseignements personnels sur des personnes au Québec, y compris les entreprises établies hors de la province.
Les principales obligations
- Responsable : la personne ayant la plus haute autorité est responsable de la protection des renseignements personnels par défaut, et peut déléguer ce rôle par écrit. Son titre et ses coordonnées doivent être publiés.
- Incidents de confidentialité : ceux qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission d'accès à l'information et aux personnes concernées, et tous doivent être consignés dans un registre.
- Politiques de gouvernance : les organisations doivent adopter et publier des règles encadrant le traitement des renseignements personnels.
- Évaluations des facteurs relatifs à la vie privée : exigées avant de communiquer des renseignements hors du Québec et pour certains nouveaux systèmes.
- Consentement et transparence : le consentement doit être manifeste, spécifique et demandé séparément pour chaque fin.
- Portabilité : les personnes peuvent demander leurs renseignements dans un format technologique structuré et couramment utilisé.
Les sanctions
Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales 25 millions ou 4 %, selon le montant le plus élevé.
Pourquoi c'est important pour les finances
Les reçus, les notes de frais, la paie et les dossiers fournisseurs contiennent des renseignements personnels. Choisir des prestataires qui stockent les données de façon sécuritaire, savoir où elles sont hébergées et limiter leur conservation au nécessaire relèvent tous de la Loi 25.
Exemple chiffré
Choisir une plateforme de dépenses
Une entreprise québécoise qui choisit un logiciel de dépenses apprend que les images de reçus seraient stockées aux États-Unis. Avant de signer, elle réalise une évaluation des facteurs relatifs à la vie privée, confirme les mesures de sécurité du fournisseur et ajoute des clauses de confidentialité et de déclaration d'incidents. Elle retient un fournisseur dont les données résident au Canada, ce qui simplifie l'évaluation.