Loi 25
Protection des renseignements personnels
La Loi 25 au Québec, mise en application depuis septembre 2022, renforce la responsabilité des entreprises dans la protection des données personnelles.
Qu’est-ce que la loi 25,
et quand s’applique-t-elle ?
Qui est impacté par la loi 25,
et comment fonctionnent les amendes ?
La Loi 25 s’applique à toutes les entreprises privées et tous les organismes publics qui collectent, traitent ou partagent des renseignements personnels. À partir du 22 septembre 2023, cette loi exige que toutes les organisations obtiennent un consentement explicite des individus pour la collecte, l’utilisation et la communication de leurs renseignements personnels.
La réforme introduit des pénalités considérables pour les entreprises en cas de non-respect du texte législatif, similaire à ce qui s’est produit avec le Règlement sur la protection des données (RGPD) en Europe. En cas de non-conformité à la Loi 25, les entreprises risquent des amendes et des sanctions. La Commission d’accès à l’information (CAI) aura la possibilité d’imposer des sanctions administratives pécuniaires jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial ainsi que des sanctions pénales allant jusqu’à 25 000 000 $ ou 4 % du chiffre d’affaires mondial.
Qu’est-ce que l’entreprise doit faire et comment se mettre en conformité ?
Avec les nouvelles responsabilités et obligations en matière de protection des renseignements personnels qui sont imposées aux entreprises, voici cinq points clés à retenir pour que l’entreprise soit en conformité avec la loi :
1. Nommer un responsable de la protection des renseignements personnels et publier ses coordonnées sur le site web de l’entreprise ou par d’autres moyens appropriés.
2. Mettre en œuvre des mesures visant à prévenir ou à réduire les impacts d’un incident de confidentialité impliquant des informations personnelles, notifier la Commission et les personnes concernées en cas de préjudice sérieux, et tenir un registre des incidents.
3. Recenser les données personnelles détenues par votre entreprise et évaluer leur degré de sensibilité.
4. Informer la Commission au préalable en cas d’utilisation d’une technique biométrique (ex. : empreinte digitale, reconnaissance faciale ou vocale).
5. Détruire les renseignements personnels lorsque la finalité de leur collecte est accomplie, ou les anonymiser pour les utiliser à des fins sérieuses et légitimes, sous réserve des conditions et d’un délai de conservation prévus par une loi.
Comment puis-je protéger les renseignements personnels des citoyens ?
La préparation d’un plan de traitement et de conservation des données est vivement recommandée dans le cadre de la Loi 25. Ce plan fixe une date à laquelle les données collectées doivent être détruites ou anonymisées de manière irréversible.
L’anonymisation, un processus qui rend les informations personnelles irréversiblement anonymes pour divers usages tels que le support, l’analyse, le test ou la sous-traitance, est particulièrement mise en avant par cette loi.
Pour se conformer à la Loi 25 tout en préservant l’exploitabilité des données, DOT Anonymizer offre une solution efficace. Elle est compatible avec diverses plateformes et bases de données, répondant ainsi aux critères stricts de la loi.
