Loi 25 (anciennement Projet de loi 64 – Nouvelle loi du Québec en matière de protection des renseignements personnels
Le 12 juin 2020, le gouvernement du Québec a déposé un projet de loi visant à moderniser la législation provinciale en matière de protection des renseignements personnels, qui s’appliquera aux organismes publics et aux entreprises privées établis au Québec ainsi qu’à toute entreprise ayant une présence numérique au Québec.
La Loi 25 (anciennement projet de loi 64) aura une incidence sur la façon dont les entreprises recueillent et stockent des données personnelles concernant leurs clients, leurs employés, etc. Toute entreprise qui a une présence numérique au Québec pourrait se voir imposer une amende si elle ne répond pas aux nouvelles exigences de la loi 25 (anciennement projet de loi 64), surtout en cas d’atteinte à la sécurité. Les entreprises pourraient se voir imposer des amendes allant jusqu’à 25 millions de dollars ou 4 % de leur chiffre d’affaires mondial de l’année précédente. La non-conformité pourrait aussi nuire à la réputation d’une organisation.
CE QUE VOUS DEVEZ SAVOIR
La Loi 25 (anciennement projet de loi 64) propose un certain nombre de nouvelles exigences. Par défaut, il incombe à la personne ayant la plus haute autorité au sein de l’entreprise de veiller à assurer le respect et la mise en œuvre de la présente loi. Cette personne peut déléguer cette fonction, en tout ou en partie, au chef de la protection de la vie privée.
QUELLES SONT LES EXIGENCES PROPOSÉES?
La Loi 25 (anciennement projet de loi 64) propose plusieurs nouvelles exigences qui s’appliquent à toutes les entreprises de tous les secteurs si elles ont une présence numérique au Québec :
- Nouvelles exigences en matière de signalisation des atteintes : c’est-à-dire la signalisation en temps opportun de tout incident de confidentialité à la Commission d’accès à l’information (CAI).
- Nouveaux droits individuels: le droit à l’oubli, le droit de s’opposer à la prise de décisions automatisées, le droit au déréférencement, etc.
- Nouvelles exigences relatives à l’impartition: des ententes écrites doivent être en place en cas d’impartition afin de présenter les mesures prises par le tiers pour assurer la confidentialité des données personnelles.
- Analyse des répercussions sur la confidentialité: peut être requise pour évaluer si vos projets comportent des données personnelles et déterminer la meilleure façon de protéger ces données.
- Les autres exigences, comprennent (sans s’y limiter) les suivantes : les politiques et les pratiques encadrant la gouvernance, les politiques de confidentialité des données, la sensibilisation et la formation des employés et de l’organisation, ainsi que les contraintes de temps.
ÊTES-VOUS PRÊT À VOUS CONFORMER À LA LOI 25 (ANCIENNEMENT PROJET DE LOI 64)?
Six questions que les propriétaires d’entreprise devraient se poser.
- Où et comment les données de votre entreprise sont-elles stockées?
- Quel type de données personnelles est stocké ou utilisé par votre entreprise?
- Combien de tiers ont accès aux données personnelles de votre entreprise?
- Disposez-vous de politiques de protection des données personnelles?
- Quelles mesures votre entreprise a-t-elle adoptées pour protéger les données personnelles de vos employés et de vos clients?
- Avez-vous mis en place des pratiques et des contrôles internes efficaces pour assurer la sécurité des données personnelles?
COMMENT RICHTER PEUT-IL VOUS AIDER?
Le processus de conformité est long, il exige de nombreuses évaluations, des ressources et une compréhension approfondie de la loi. Nos experts multidisciplinaires peuvent vous aider pour toutes les mesures stratégiques menant à la conformité de la Loi 25 (anciennement projet de loi 64) et pour toutes les mesures tactiques servant à veiller à ce que votre entreprise continue de s’y conformer à l’avenir.
