Loi 25: sanctions pour 2023 et étapes de conformité

Non, pas automatiquement. La majorité des obligations qui découlent de la Loi 25 entreront en vigueur le 22 septembre 2023. Ces dernières représentent un défi d’envergure pour les entreprises faisant affaires au Québec, qu’elles soient privées ou publiques, avec but lucratif ou non et peu importe leur taille.

À partir de cette date, la Commission d’accès à l’information (« CAI »), soit l’organe administratif chargé de la surveillance en matière de protection des renseignements personnels, détiendra désormais des pouvoirs importants de sanction.

Outre ses pouvoirs d’enquête, la CAI aura la possibilité d’imposer des sanctions pénales allant jusqu’à 25 000 000 $ ou 4 % du chiffre d’affaires mondial, ainsi que des sanctions administratives pécuniaires jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial.

Toutefois, la CAI a plusieurs fois réitéré qu’elle entendait adopter une attitude éducative pour commencer, afin de permettre aux entreprises de s’adapter. Si une entreprise est proactive dans sa mise en conformité de la Loi 25, nous pouvons anticiper que les sanctions ne seront pas si lourdes, du moins au départ.

Si une entreprise n’a pas encore entamé son processus de conformité, il est temps de s’y mettre. Voici les 7 étapes d’un plan de conformité que les entreprises peuvent entreprendre seules ou mieux, en groupe, à moindre coût :
#Nomination de la personne responsable de la protection des renseignements personnels et définition de ses tâches et des comités qui l’accompagnent
#Gestion des incidents de confidentialité
#Mise en place de politiques de confidentialité, politiques de protection des renseignements personnels et de formulaires de consentement
#Encadrement du transfert des données et évaluations des facteurs relatifs à la vie privée
#Gestion des données et des accès à l’information
#Mise en place de politiques et de processus de sécurité de l’information
#Formation des employés