La Loi 25, sanctionnée le 22 septembre 2021 et issue du projet de loi 64, modernise en profondeur les obligations en matière de protection des renseignements personnels au Québec. Elle modifie simultanément la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) et la Loi sur l’accès aux documents des organismes publics.
Son entrée en vigueur s’est échelonnée sur trois ans, la dernière phase ayant notamment rendu effectif le droit à la portabilité des données.
A lire en complément : Quel est l'objectif principal de la loi 25 du Québec ?
Biométrie et déclarations obligatoires à la Commission d’accès à l’information
La loi 64 ne se contente pas d’encadrer le consentement classique. Elle impose des obligations distinctes dès qu’un système biométrique entre en jeu. L’utilisation de la biométrie pour identifier une personne doit être déclarée à la Commission d’accès à l’information (CAI).
La création d’une banque de caractéristiques biométriques exige une déclaration au moins 60 jours avant sa mise en service. Ce délai n’est pas négociable et concerne autant le secteur privé que public.
A découvrir également : Puis-je emmener ma femme en voyage d’affaires ?
Un point souvent négligé par les organisations : le refus de la biométrie par une personne doit normalement donner accès à une solution de rechange. Une entreprise ne peut pas conditionner un service à l’acceptation d’un procédé biométrique si la personne retire ou refuse son consentement. Concrètement, un employeur qui installe un lecteur d’empreintes pour le contrôle d’accès doit maintenir un badge ou un code alternatif.
Transfert de renseignements personnels hors Québec : évaluation préalable obligatoire
Avant de communiquer des renseignements personnels à l’extérieur du Québec, toute entreprise doit réaliser une évaluation des facteurs relatifs à la vie privée. Cette obligation vise directement le recours à des fournisseurs infonuagiques situés dans une autre province canadienne ou à l’étranger.
L’évaluation doit tenir compte du cadre juridique applicable dans la juridiction de destination. Si la protection offerte n’est pas jugée équivalente, le transfert peut être bloqué ou conditionné à des mesures contractuelles supplémentaires.
Ce mécanisme distingue la loi 64 de la plupart des cadres provinciaux canadiens. Il crée une contrainte opérationnelle réelle pour les entreprises qui utilisent des plateformes SaaS hébergées aux États-Unis ou en Europe, puisque chaque nouveau fournisseur déclenche potentiellement une nouvelle évaluation.
Consentement et décisions automatisées sous la loi 64
Le consentement, dans le cadre de la loi 64, doit être manifeste, libre et éclairé. Il doit porter sur des finalités précises. L’époque du consentement implicite enfoui dans des conditions générales est révolue pour toute organisation assujettie à la loi québécoise.
La loi encadre aussi les décisions rendues exclusivement par un traitement automatisé. Lorsqu’une entreprise utilise un algorithme ou un système d’intelligence artificielle pour prendre une décision concernant une personne, elle doit :
- Informer la personne, au moment de la décision ou avant, qu’elle fait l’objet d’un traitement automatisé
- Lui permettre de faire valoir ses observations auprès d’un membre du personnel en mesure de réviser la décision
- Lui communiquer les renseignements personnels utilisés dans le processus décisionnel ainsi que les raisons et principaux facteurs ayant mené à la décision
Cette transparence algorithmique concerne des cas concrets : filtrage automatisé de candidatures, score de crédit, tarification dynamique basée sur un profil client. Toute décision automatisée doit pouvoir être contestée par un humain.
Portabilité des données et obligations techniques
La dernière phase d’entrée en vigueur a instauré le droit à la portabilité des renseignements personnels. Une personne peut demander à recevoir ses données dans un format technologique structuré et couramment utilisé. Elle peut aussi demander que ces renseignements soient transmis directement à un autre organisme ou une autre entreprise.
Pour les équipes techniques, cette obligation impose de prévoir des mécanismes d’extraction compatibles avec des formats interopérables. L’absence de processus d’export standardisé expose l’organisation à des plaintes auprès de la CAI.
Sanctions et pouvoirs élargis de la CAI
La loi 64 a considérablement renforcé les pouvoirs de la Commission d’accès à l’information. Les sanctions administratives pécuniaires peuvent atteindre des montants significatifs, et des sanctions pénales s’ajoutent en cas d’infraction grave. Ce volet coercitif change la donne par rapport au régime précédent, où les conséquences financières étaient négligeables.
Les organisations doivent aussi gérer et signaler les incidents de confidentialité. Tout incident présentant un risque sérieux de préjudice doit être notifié à la CAI et aux personnes concernées. Un registre des incidents doit être tenu et conservé.
- Signalement obligatoire à la CAI pour tout incident présentant un risque de préjudice sérieux
- Notification aux personnes touchées avec description de l’incident et des mesures prises
- Tenue d’un registre interne accessible à la CAI sur demande
- Désignation d’un responsable de la protection des renseignements personnels au sein de l’organisation
Loi 64 et conformité : ce qui distingue le cadre québécois
Le Québec est la première province canadienne à avoir adopté un cadre aussi contraignant. La combinaison de l’évaluation préalable au transfert transfrontalier, des obligations biométriques spécifiques et du droit à la portabilité place la loi 64 à un niveau d’exigence comparable au RGPD européen sur plusieurs axes.
La différence majeure reste l’autorité de contrôle unique : la CAI cumule les rôles de surveillance, d’enquête et de sanction. Les entreprises hors Québec qui traitent des données de résidents québécois sont également assujetties, ce qui élargit considérablement le périmètre d’application.
Pour les organisations déjà conformes au RGPD, une partie du travail est transférable. Les écarts portent surtout sur la biométrie, les seuils de déclaration d’incidents et les spécificités procédurales propres à la CAI. Ignorer ces particularités expose à un risque juridique distinct de celui couvert par la conformité européenne.
