Consultez notre page dédiée à la Loi 25 pour les obligations principales.
Vous devez être conforme à la Loi 25, mais vous ne savez pas comment faire?
Afin de vous faciliter la vie, notre équipe a pris le temps de démystifier cette loi, qui peut sembler complexe, en raison de certaines zones grises.
D’entrée de jeu, sachez que les nouvelles responsabilités et obligations relatives à cette loi s’échelonnent graduellement, et ce, jusqu’en septembre 2024.
1. C’est quoi, un renseignement personnel (RP)?
C’est un renseignement qui peut être utilisé seul ou en combinaison avec d’autres données et qui permet d’identifier une personne physique, directement ou indirectement.
Est-ce que le nom, adresse, no de téléphone et courriel de nos clients sont considérés comme des RP?
Les renseignements personnels incluent généralement des éléments tels que le nom, l'adresse, le numéro de téléphone, l'adresse électronique, la date de naissance, le numéro de sécurité sociale, l'adresse IP, et d'autres informations similaires.
Est-ce que les informations d'un représentant des ventes d'une entreprise (Courriel, # de téléphone,) consiste en des RP?
Certains renseignements permettant d’identifier directement des personnes sont publics. Les renseignements concernant l’exercice d’une fonction d’une personne au sein d’une entreprise ne sont pas soumis aux lois protégeant les renseignements personnels :
Quelles sont les règles par rapport aux identifiants (permis de conduire, carte d’assurance maladie et carte d’assurance sociale)?
Si la collecte est réellement nécessaire, il est essentiel d’informer votre client des motifs qui la justifient. Consulter la fiche suivante pour plus d’information.
2. Quels renseignements sont considérés comme des renseignements personnels sensibles?
Ce sont des informations personnelles qui sont considérées comme particulièrement confidentielles ou délicates en raison de leur nature. Ces types de données peuvent être plus sensibles que les renseignements personnels généraux en raison des risques accrus qu'ils présentent en cas de collecte, de traitement ou de divulgation non autorisés. Un renseignement est considéré comme sensible s’il est de nature :
3. Existe-t-il des gabarits qui peuvent être utilisés comme modèle et adapté à notre entreprise?
Plusieurs dépliants, guides et fiches d’information sont disponibles en ce moment. Communiquez avec les Ressources aux entreprises de la FCEI pour vous outiller afin de vous préparer à être conformes aux nouvelles obligations.
4. Comment fait-on pour anonymiser les RP des clients passés?
Un renseignement concernant une personne physique est anonymisé lorsqu’il est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne. Tel qu’indiqué dans notre webinaire par Maitre Diane Poitras, selon la Commission il est pratiquement impossible d’anonymiser les RP d’une personne, sauf si on parle de renseignements qui ont été agrégés, comme des statistiques. La Loi di que les RP doivent être anonymiser selon des modalités prévues par règlements du gouvernement, et ceux-ci n’existent pas encore. Vous pouvez toutefois détruire les RP. Pour plus d’information par rapport à la destruction des RP, veuillez consulter la page: Procédure de destruction.
5. Comment fait-on pour établir le risque du préjudice? Y'a-t-il un modèle d'analyse?
Les lois applicables obligent les organisations publiques ou privées, quelle que soit leur taille, à la réalisation d’une Évaluation des facteurs relatifs à la vie privée (EFVP). Pour tout incident de confidentialité, l’organisation doit évaluer la gravité du risque de préjudice pour les personnes concernées. Pour ce faire, elle doit considérer, notamment :
Cette analyse d’impact permet de considérer tous les facteurs ayant un effet positif ou négatif sur le respect de la vie privée des personnes concernées :
6. Est-ce qu'une entreprise peut avoir des informations qui sont considérés comme étant des renseignements personnels?
Oui. Voici quelques exemples :
7. Dans le cas où on utilise un service externe (compagnie) de paie, doit-on inclure dans nos documents la politique du service de paie?
Il serait prudent de prendre connaissance de la politique de confidentialité de votre service de paie et de la prendre en considération quand vous formulez votre propre politique de confidentialité. Il est aussi recommandé de partager la politique de confidentialité de cette tierce partie avec vos employés, par exemple en annexe avec la vôtre, puisque vous demeurez responsables des informations personnelles qui vous ont été fournies.Les entreprises qui recueillent des renseignements personnels en offrant des produits ou des services technologiques disposant de paramètres de confidentialité doivent :
S’assurer que les paramètres de confidentialité par défaut assurent le plus haut niveau de confidentialité, et ce, sans aucune intervention de la personne concernée. Vous devrez fournir des informations supplémentaires aux personnes concernées si vous collectez leurs renseignements en utilisant une technologie comprenant des fonctions permettant :
La « collecte et l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques d’une personne physique, notamment à des fins d’analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement de la personne ».
Dans un tel cas, vous devrez informer les personnes :
Par conséquent, vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement. Pour plus d’information sur les obligations de transparence qui doivent être respectées. Consultez la page Informations à fournir avant une collecte de renseignements personnels.
8. Sommes-nous responsables des RP fournis par les appliquant à travers les sites de recrutement (nom, adresse, courriel, âge, etc.) et devons-nous gérer leur confidentialité?
En principe, une entreprise doit limiter l’utilisation des RP afin de respecter le droit à la vie privée des citoyens.
9. Comment devons-nous garder les CV des appliquant? Ceux-ci contiennent tous des RP.
Voici quelques-unes des meilleures pratiques de conservation des RP :
10. Est-ce que cette loi touche tous les types d’entreprises? B2B, OBSL, publiques, etc.?
La Loi s’applique aux RP que toute entreprise : Recueille, détient, utilise, et/ou communique à des tiers. Elle vise à protéger tous les RP, que la nature de leur support ou de leur forme soit : Écrite, graphique, sonore, visuelle, et/ou informatisée. La Loi s’applique aussi aux ordres professionnels, aux congrégations religieuses et aux partis politiques, députés indépendants ou candidats indépendants.
La Loi ne s’applique pas à la collecte, à la détention, à l’utilisation ou à la communication de matériel journalistique, historique ou généalogique faite dans un but d’information légitime du public.
11. Existe-t-il une formation pour sensibiliser nos employés?
La FCEI offre une formation aux membres et à leurs employés sur la cybersécurité et la prévention de la fraude. Visitez l’Académie de la cybersécurité de la FCEI en accédant au portail aux membres.
La FCEI offre aussi à ses membres des formations en ligne gratuites VUBIZ, dont un cours abrégé sur la protection des renseignements personnels (P1143FR), auquel vos employés peuvent aussi avoir accès.
12. Si nos employés utilisent des applications externes (par exemple pour les assurances médicales ou leurs talons de paye) devons-nous les aviser qu'il y a des informations prises sur eux sur ces sites?
La publication d’une politique de confidentialité est obligatoire si vous recueillez des renseignements personnels à l’aide d’une technologie. Cette politique doit être publiée dans votre site Web ou diffusée par tout autre moyen permettant aux personnes concernées d’en prendre connaissance. Il faut se souvenir que pour obtenir un consentement valide, les entreprises doivent s'assurer qu'il respecte 8 critères listés dans la loi:
13. Advenant le cas qu’un employé ne donne pas son consentement pour fournir un RP requis, devons-nous lui annoncer qu'il peut perdre son emploi?
Il serait prudent de consulter un avis juridique avant de congédier un employé qui refuse de donner son consentement. Souvenez-vous que le consentement doit être libre (sans contraintes ou pression) et éclairé (donné en toute connaissance de cause).
En principe, un consentement ne peut être libre s’il constitue une condition obligatoire d’accès à un service, à un produit ou à un emploi. Les organisations doivent donc permettre aux personnes de refuser les finalités secondaires sans influence sur l’entente initiale. Cependant, il arrive qu’une utilisation ou une communication de renseignements soit essentielle à la fourniture d’un service ou d’un bien ou à l’accès à un emploi. Elle est alors en lien avec la finalité primaire de l’organisation. Si l’organisation respecte son obligation de transparence, les personnes consentent à l’utilisation ou à la communication nécessaire à cette fin primaire en fournissant leurs renseignements. Si elles ne fournissent pas ces renseignements, l’organisation ne peut pas leur fournir le service ou le bien ou leur permettre l’accès à l’emploi et est donc dans son droit de le refuser.
14. Est-ce que la géolocalisation dans les camions est considérée comme un RP?
Les données de géolocalisation en elles-mêmes ne sont généralement pas considérées comme des renseignements personnels, car elles ne révèlent pas directement l'identité d'une personne. Cependant, si ces données sont associées à des informations sur un conducteur ou un propriétaire de véhicule spécifique, elles pourraient être considérées comme des renseignements personnels. Vous devrez fournir des informations supplémentaires aux personnes concernées si vous collectez leurs renseignements en utilisant une technologie comprenant des fonctions permettant :
Pour plus d’informations, veuillez consulter la page: Collecte par moyens technologiques.
15. Doit-on afficher une Politique de confidentialité sur un site web qui est seulement informatif (affichage de photos et renseignements sur la compagnie)?
Toute entreprise exploitée au Québec par une personne ou une société doit se conformer à la loi dès l’instant où elle recueille, détient, utilise ou communique les renseignements personnels de ses clients (des individus) ou de ses employés. Une des nouvelles obligations est de publier une politique de confidentialité. Si vous recueillez des renseignements personnels à l’aide d’une technologie, cette politique doit être publiée sur votre site Web.
Son objectif est de fournir aux personnes concernées toutes les informations nécessaires à une prise de décision éclairée lors de la collecte et de la circulation de leurs renseignements.
16. Est-ce que le consentement distinct s’applique aux envois par courriel cryptés des bordereaux de paie, Relevé d'emploi et des feuillets T4, T3 et autres feuillets similaires?
Le consentement de la personne concernée est obligatoire afin de de communiquer des RP a un tiers. La nécessité de collecter, d’utiliser ou de communiquer des renseignements personnels pour atteindre vos objectifs doit être évaluée avant même d’obtenir un consentement valide.
Dès le 22 septembre 2023, le consentement devra être manifesté de façon expresse pour ce qui concerne les RP sensibles (suscite un haut degré́ d’attente raisonnable en matière de vie privée). C’est-à-dire que le consentement doit être explicitement exprimé par un geste ou une déclaration (orale ou écrite) témoignant de l’acceptation par la personne concernée. Un consentement exprès ne laisse aucun doute sur la volonté réelle de la personne.
Une organisation est libre de développer des mécanismes de consentement qui conviennent à ses activités, tant qu’ils sont conformes à la loi. Ces mécanismes devraient être adaptés aux personnes visées, au contexte et au type d’interface utilisée. Voici des exemples selon la forme de consentement :
Pour plus de détails sur le consentement, consultez la page: Consentement et collecte de RP. Afin de faciliter la compréhension des critères de validité du consentement, la CAI a publier des lignes directrices sur les critères de validité du consentement.
17. Pour les professionnels de la santé qui doivent communiquer des informations personnelles avec des organismes externes (RAMQ, CNESST, et autres organismes publics), sommes-nous tenu d'obtenir le consentement? Ces informations sont obligatoires pour la constitution d'un dossier selon l’ordre professionnel et sont donc obligatoire pour effectuer un service de notre part.
En principe, les entreprises doivent obtenir le consentement des personnes pour communiquer leurs renseignements personnels. Le consentement exprès est obligatoire lorsque l’organisation veut utiliser ou communiquer un renseignement sensible. Il n’est toutefois pas requis si cette utilisation ou cette communication est nécessaire à la fin primaire et est annoncée lors de la collecte. Ce consentement peut être retiré ultérieurement.
Puisqu’il ne nécessite pas de geste actif et positif, le consentement implicite devrait quant à lui être utilisé seulement lorsque les critères supplémentaires suivants sont respectés :
Dans certaines situations, la Loi vous autorise toutefois à communiquer un renseignement personnel sans l’obtention du consentement de la personne concernée. Vous pouvez, entre autres, le faire :
Les obligations de la Loi sur l’accès s’appliquent aussi aux ordres professionnels, concernant les documents et les renseignements qu’ils détiennent, dans la mesure prévue par le Code des professions.
Pour plus d'information par rapport aux exceptions, consulter la page exceptions en matière de consentement.
18. Les contrats existants doivent-ils être adaptés ou modifiés pour se conformer à la loi à compter du 22 septembre 2023?
Il est important de vérifier et de réviser vos contrats actuels pour assurer la conformité aux nouvelles obligations du gouvernement québécois. Veuillez consulter notre page dédiée à ce sujet pour vous familiariser avec celles-ci.
Il est aussi important de noter que la FCEI ne peut pas fournir d’avis ou d’expertise légale, et si vous avez besoin de conseils juridiques ou de représentation légale dans le cadre des opérations de votre entreprise, il est bien sûr recommandé de consulter un avocat. Bien que nous ne puissions pas vous recommander une firme ou un avocat spécifique, les options suivantes pourraient peut-être vous être utiles :
19. Si des RP nous ont été partagées par nos clients (nom, âge et emploi), avons-nous une obligation par rapport au consentement ou pouvons-nous assumer que le consentement avait été obtenu par notre client, avant le partage?
En principe, les entreprises doivent obtenir le consentement des personnes pour communiquer leurs renseignements personnels. Toutefois, il serait prudent pour les entreprises privées de s’en assurer auprès du fournisseur ou de l’organisation qui les fournis avant de collecter ceux-ci.
Voici les informations à fournir au moment de l’obtention du consentement :
20. Existe-t-il des normes minimales établies par rapport au niveau de sécurité (par exemple protection d’un serveur, firewall, anti-virus, encryptions, etc.) jugé suffisant pour protéger les RP?
Les normes minimales de sécurité pour protéger les renseignements personnels varient en fonction des lois et réglementations en vigueur dans chaque juridiction et domaine. Vous devez mettre en place des mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits. Ces mesures doivent être raisonnables compte tenu, notamment, de la sensibilité, de la finalité, de la quantité, de la répartition et du support des renseignements personnels. Il vous appartient de déterminer les mesures de sécurité qui répondent à cette obligation selon le contexte de votre entreprise.
Voici quelques pratiques générales qui sont considérées comme des normes minimales de sécurité pour protéger les renseignements personnels :
Il est important de noter que ces normes minimales de sécurité peuvent varier d'un endroit à l'autre et évoluer avec le temps en réponse aux menaces de sécurité en constante évolution. Il est donc essentiel de rester informé des lois et des meilleures pratiques en matière de sécurité des données dans votre région et votre industrie pour garantir une protection adéquate des renseignements personnels.
La FCEI offre une formation aux membres et à leurs employés sur la cybersécurité et la prévention de la fraude. Visitez l’Académie de la cybersécurité de la FCEI en accédant au portail aux membres.
21. Peut-on obtenir un consentement seulement pour la collecte, l’utilisation et la communication de RP ou faut-il obtenir un consentement distinct pour chacun?
Une entreprise privée peut recueillir des renseignements personnels afin de constituer un dossier, mais elle doit recueillir que les renseignements nécessaires pour pouvoir s’acquitter de sa tâche, et en assurer la protection.
L’entreprise doit également informer les personnes concernées sur :
Lorsqu’une demande de consentement à l’utilisation secondaire ou à la communication est formulée au moment de la collecte de renseignements, une organisation doit s’assurer de fournir :
Si la demande de consentement est faite par écrit, elle doit être présentée distinctement de toute autre information. Elle doit donc être séparée des conditions d’utilisation, des politiques de confidentialité, des demandes de confirmer la validité des renseignements fournis, des engagements, des signatures, etc.
Pour plus de détails sur le consentement, consultez la page Consentement et collecte de RP.
22. Qu’est-il entendu par la « destruction » des RP et y a-t-il des normes de bases pour effectuer celle-ci?
Utilisez la méthode de destruction choisie pour détruire les renseignements personnels de manière irréversible. Pour les documents papier, cela implique souvent de passer les feuilles par une déchiqueteuse. Pour les supports électroniques, cela peut nécessiter l'utilisation de logiciels de suppression sécurisée ou la destruction physique des dispositifs de stockage. Pour les supports électroniques, il est recommandé de vérifier que les données ont été effacées de manière irréversible. Conservez des dossiers de votre processus de destruction, y compris les dates, les méthodes utilisées, les personnes impliquées, et toute autre information pertinente. Cette documentation peut être utile pour démontrer votre conformité avec les lois sur la protection des données en cas d'audit ou d'enquête.
La destruction sécurisée des renseignements personnels est essentielle pour protéger la vie privée des individus et se conformer aux lois sur la protection des données. Assurez-vous de consulter un expert juridique ou en sécurité des données si vous avez des doutes sur la manière de procéder à la destruction de renseignements personnels de manière appropriée. Pour plus de conseils afin d’assurer la conformité lors de la destruction de documents concernant des renseignements personnels, consultez cette ficheinfo par la CAI.
23. Pendant combien de temps peut-on conserver les RP dans nos dossiers? Est-ce que ceci diffère par industrie (Santé vs. Public vs. Entreprise privée)?
La durée de validité du consentement est un concept différent du délai de conservation des renseignements. Ainsi, la fin de la validité d’un consentement ne coïncide pas toujours avec la destruction du renseignement. La durée pendant laquelle une organisation peut conserver un renseignement dépend ainsi des fins visées, mais aussi des lois applicables dans son contexte. Lorsqu’une organisation demande un consentement pour une très longue durée, elle devrait porter une attention particulière à la transparence de manière continue. Elle pourrait rappeler aux personnes concernées, à intervalle approprié et rappeler qu’il est possible de retirer leur consentement en tout temps.
Veuillez consulter notre tableau des Délais de conservation des renseignements personnels.
24. Est-ce que la FCEI offre ou recommande un service d’accompagnement pour se conformer à cette loi et tout ce qu’elle englobe?
En dehors de nos partenaires commerciaux qui font partie de notre programme Économies, nous ne sommes pas en mesure de recommander d’autres organismes professionnels. Cependant, pour vous faciliter la vie, notre équipe a pris le temps de démystifier cette loi, qui peut sembler complexe. Nos conseillers sont à votre disposition pour vous guider et notre site internet dédié contient également de nombreuses ressources pour vous aider à vous mettre en conformité.
Il est important de noter que la FCEI ne peut pas fournir d’avis ou d’expertise légale, et si vous avez besoin de conseils juridiques ou de représentation légale dans le cadre des opérations de votre entreprise, il est bien sûr recommandé de consulter un avocat. Bien que nous ne puissions pas vous recommander une firme ou un avocat spécifique, les options suivantes pourraient peut-être vous être utiles:
25. Est-ce que les organismes publics avec qui on fait affaires vont nous demander de démontrer notre niveau de protection des RP?
Les ministères et les organismes publics doivent autant faire preuve de transparence en matière de documents publics que de vigilance quant à la protection des renseignements personnels détenus dans le cadre de leurs fonctions. C’est ce que prévoit la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (Loi sur l’accès.)
Il est donc possible que les organismes publics avec lesquels vous travaillez vous interrogent sur les mesures de sécurité que vous prenez.
26. Est-ce que le consentement peut être obtenu lors de la signature de l'entente de service?
Lorsque la demande de consentement est faite par écrit, elle devra être présentée distinctement de toute autre information communiquée à la personne concernée. Le consentement doit être granulaire, c’est-à-dire demandé à chacune des fins visées. La granularité renvoie à l’image d’une matière dont on peut distinguer les parties. La granularité permet d’assurer que le consentement soit réellement libre. Il ne l’est pas si la personne doit autoriser plusieurs finalités ou tiers à qui l’organisation communique ses renseignements en même temps, car son seul choix est alors de refuser ou d’accepter en bloc. De même, la granularité assure que la personne manifeste clairement sa volonté pour chaque finalité spécifique.
27. Est-ce qu’un client peut demander d’effacer les images enregistrées par une caméra de sécurité?
Sauf exceptions, toute personne a le droit d’être informée des renseignements personnels la concernant détenus par une entreprise et, le cas échéant d’en demander la rectification. Ce droit s’exerce quelle que soit la forme sous laquelle ces renseignements sont accessibles : écrite, graphique, sonore, visuelle, informatisée ou autre. Pour plus d’information sur la rectification d’un dossier concernant un renseignement inexact, incomplet ou équivoque vous concernant, veuillez consulter la page: Rectifier vos renseignements personnels.
À compter du 22 septembre 2023, les personnes pourront demander aux entreprises de cesser de diffuser leurs renseignements personnels ou de désindexer tout hyperlien rattaché à leur nom donnant accès à des renseignements si cette diffusion leur cause préjudice ou contrevient à la loi ou à une ordonnance judiciaire (droit à l’effacement ou à l’oubli).
28. Quelles sont les obligations par rapport aux dossiers personnels dans une entreprise privée?
29. Quelles sont les nouvelles obligations en date du 22 Septembre 2023?
30. Quelles seront les nouvelles obligations en date du 22 Septembre 2024?
Répondre aux demandes de portabilité des renseignements personnels, à savoir de transmettre, à la demande d’une personne concernée, ses renseignements personnels.