Loi 25 : La fin du buffet de la donnée

Focus sur la Loi 25 visant à renforcer la protection des renseignements personnels…

Quand il est question de nouvelles technologies, les lois délimitant le champ des possibles dans lequel on peut s’aventurer sont souvent définies au fur et à mesure qu’on se bute à des obstacles. Aujourd'hui, au Québec, tant les clients, les propriétaires d’une PME et les dirigeants d’une multinationale sont affectés par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, aussi appelée la Loi 25.

D’abord un peu de contexte : Largement inspirée du Règlement général sur la protection des données de l’Union européenne (le fameux « RGPD »), la Loi 25 vise à renforcer et à unifier la protection des données personnelles au Québec, notamment en modifiant de manière substantielle la Loi sur la protection des renseignements personnels dans le secteur privé. Cette Loi accorde aux individus un plus grand contrôle sur leurs données personnelles et impose des obligations strictes aux entreprises qui les traitent.

Les principaux points de la Loi 25 incluent le consentement explicite pour le traitement des données, le droit à l’oubli, la notification des violations de données et la désignation d’un délégué à la protection des données pour les organisations traitant des données. La mise en œuvre de la Loi se déploie en 3 étapes.

La première phase imposait les concepts d’imputabilité et de responsabilité pour les entreprises, tandis que la phase actuelle force une réflexion poussée et la mise sur pied de protocoles adaptés à chaque entreprise, sans égard à sa taille, quant à la collecte, le traitement, l’utilisation, la sécurisation et la destruction des renseignements personnels, en plus de nombreux droits des usagers, comme le droit à l’oubli.

La dernière phase ira un pas plus loin, créant le droit à la portabilité pour les usagers, imposant aux entreprises le devoir de fournir une copie, à ceux qui en feront la demande, des renseignements personnels que l’entreprise détient sur eux, leur donnant ainsi la possibilité de partir avec ceux-ci pour les importer et les utiliser ailleurs.

La reddition de compte est désormais la responsabilité de l’entreprise

Chaque entreprise a dès lors l’obligation de faire preuve de transparence et de bienveillance à l’égard des données qu’elle collecte. Elle doit identifier les données personnelles qui lui sont nécessaires et définir et encadrer ses engagements face à celles-ci.

Parmi toutes les informations qu’elle peut ou veut recueillir, elle se doit d’énoncer la raison pour laquelle elle le fait. Si elle peine à justifier l’usage, c’est que cette information ne devrait pas être recueillie. Par ailleurs, si elle s’en tient au strict nécessaire, les risques d’incidents de confidentialité s’amenuisent.

Qu’en est-il pour le citoyen ?

La Loi 25 permet de poursuivre la réflexion concernant les données que l’on partage parfois sans trop se poser de questions. Elle engendre une plus grande responsabilisation ainsi qu’une reprise de pouvoir sur ce que l’on désire individuellement partager. Elle favorise d’ailleurs la création de valeur et un sentiment de confiance bilatérale entre l’entreprise et son client.

Maintenant que la table est mise, comment s’attaquer à ce défi ?

Faire face aux exigences complexes de conformité peut sembler ardu, mais notre approche proactive offre une stratégie solide. Nous visons à simplifier les étapes nécessaires en fournissant un accompagnement personnalisé couvrant toute la documentation utile et la formation requise par votre organisation. Notre équipe spécialisée en protection des données offre notamment la prise en charge, à titre d'exemples, de :

• La rédaction d'une Politique de protection des renseignements personnels ou de vie privée;
• La mise en place d'une Politique de conservation et de destructions des données;
• La révision des clauses touchant le traitement des données dans vos contrats de fournisseurs ou clients;
• La préparation de guides pour les gestionnaires ou les employés;
• L'élaboration d'un guide relatif aux démarches à suivre en cas de fuites des données.

À propos de l’auteur

Me Julien Ruchon pratique en droit des affaires et en propriété intellectuelle, plus particulièrement auprès d’entreprises technologiques, au sein du cabinet LJT Avocats.

Dans le cadre de sa pratique, il est appelé à accompagner des entreprises de toute taille dans leurs différentes activités quotidiennes, notamment dans la réalisation de tous types de transactions, d’ententes de commercialisation ou de licences d’exploitation.