Loi 25 : Les pénalités pour atteinte à la vie privée augmentent

Lorsque la loi 25 entrera en vigueur au Québec le 22 septembre 2022, les entreprises qui omettront de signaler un incident de confidentialité s’exposent à des amendes allant jusqu’à 25 M dollars.

Alors que les entreprises faisant affaire dans la province s’apprêtent à se conformer à la nouvelle législation, Gowling WLG a choisi de préparer une série d'articles et d'autres ressources afin de guider et d'informer les organisations sur le point de prendre le virage. Ce texte en fait partie.

Si une organisation a des motifs de croire qu'un incident de confidentialité impliquant des renseignements personnels s'est produit, elle devra prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature se produisent.

Les organisations devront aviser sans délai la Commission d'accès à l'information (la «CAI») et toute personne dont les données sont concernées par un incident de confidentialité impliquant des renseignements personnels qui « présente un risque qu’un préjudice sérieux soit causé », ainsi que toute personne ou organisme qui pourrait réduire ce risque. Le contenu de l'avis sera précisé par un règlement qui entrera en vigueur le 22 septembre 2022.

Les organisations devront obligatoirement tenir un registre de tous les incidents de confidentialité.

En vertu d’un projet de règlement en la matière, ce registre doit être conservé pendant cinq ans à partir de la date à laquelle l'organisation a pris connaissance de l'incident, ce qui constitue un changement par rapport au délai de deux ans exigé par la loi fédérale sur la protection des renseignements personnels pour le secteur privé (la Loi sur la protection des renseignements personnels et les documents électroniques ou « LPRPDE »).

À nouveau, une organisation qui omet de signaler un incident de confidentialité à la CAI ou à toute personne concernée pourrait s'exposer à des sanctions pénales et administratives pécuniaires sans précédent, notamment des amendes pouvant atteindre 25 M$ (ou, si plus élevé, le montant correspondant à 4 pour cent du chiffre d'affaires mondial de l'exercice financier précédent), ou des sanctions administratives pécuniaires pouvant atteindre 10 M$ (ou, si plus élevé, 2 pour cent du chiffre d'affaires mondial de l'exercice financier précédent).

La Loi prévoit également l'octroi de dommages-intérêts punitifs d'au moins 1 000 $ pour les atteintes qui causent un préjudice et qui sont intentionnelles ou résultent d'une faute lourde.