La Loi 25 du Québec, sanctionnée le 22 septembre 2021, ne crée pas un régime ex nihilo. Elle modifie deux lois existantes : la Loi sur la protection des renseignements personnels dans le secteur privé et la Loi concernant le cadre juridique des technologies de l’information. Son objectif principal est de moderniser la protection des renseignements personnels en renforçant simultanément les droits des personnes concernées et les obligations des organisations qui collectent, traitent ou communiquent ces données.
Architecture législative de la loi 25 : deux textes, un seul véhicule
La plupart des guides présentent la loi 25 comme un texte autonome. En réalité, elle fonctionne comme un véhicule législatif qui vient greffer des modifications sur des dispositions déjà en vigueur. Cette structure a une conséquence directe : les obligations varient selon que l’organisation relève du secteur privé ou du secteur public.
A voir aussi : Quel est un exemple de discrimination justifiée ?
Pour le secteur privé, les changements touchent principalement les règles de consentement, la transparence des politiques de confidentialité et la gestion des incidents. Pour les organismes publics, la réforme ajoute des exigences de gouvernance interne et renforce les mécanismes de reddition de comptes auprès de la Commission d’accès à l’information du Québec.
Cette double portée explique pourquoi la conformité ne peut pas se résumer à un gabarit unique. Nous constatons que les organisations qui appliquent un modèle calqué sur le RGPD européen sans adapter leurs processus au cadre québécois spécifique passent à côté de plusieurs obligations locales.
A lire également : C'est quoi la loi 64 ?
Sanctions administratives et pénales : le levier dissuasif de la loi 25
Avant la réforme, la Commission d’accès à l’information disposait de pouvoirs d’intervention limités. La loi 25 change radicalement cette dynamique en introduisant un mécanisme de sanctions administratives pécuniaires et en rehaussant significativement les sanctions pénales.
Le régime distingue deux niveaux. Les sanctions administratives pécuniaires peuvent être imposées directement par la Commission, sans passer par les tribunaux. Les sanctions pénales, plus lourdes, visent les infractions graves et supposent une poursuite judiciaire. Ce double mécanisme donne à la Commission un pouvoir de contrainte comparable à celui d’autorités de protection des données dans d’autres juridictions.
L’enjeu pour les entreprises n’est pas seulement financier. Une sanction publique affecte la réputation et peut déclencher des recours individuels ou collectifs en vertu du droit à la portabilité et du droit de désindexation introduits par la réforme.
Consentement et droits des personnes : ce que la loi 25 change concrètement
Le consentement constitue le pivot de la réforme. La loi 25 exige un consentement manifeste, libre et éclairé pour la collecte et l’utilisation de renseignements personnels. Les cases pré-cochées, les formulations ambigües ou les consentements enfouis dans des conditions générales ne satisfont plus aux exigences légales.
Au-delà du consentement, la réforme élargit les droits individuels :
- Le droit à la portabilité permet à toute personne de récupérer ses renseignements dans un format technologique structuré et couramment utilisé, puis de les transmettre à une autre organisation.
- Le droit à la désindexation oblige les organisations à cesser de diffuser des renseignements personnels lorsqu’une personne en fait la demande et que la diffusion contrevient à la loi ou à une ordonnance judiciaire.
- Le droit d’être informé en cas d’incident de confidentialité impose à l’organisation de notifier la personne concernée et la Commission lorsqu’un incident présente un risque de préjudice sérieux.
Ces droits ne sont pas de simples déclarations de principe. La Commission peut intervenir directement si une organisation refuse ou néglige d’y donner suite.
Évaluation des facteurs relatifs à la vie privée : obligation technique sous-estimée
Tout projet impliquant la collecte, la communication ou la conservation de renseignements personnels doit faire l’objet d’une évaluation des facteurs relatifs à la vie privée (ÉFVP). Cette obligation s’applique dès la phase de conception, pas uniquement au moment du déploiement.
L’ÉFVP n’est pas un simple formulaire administratif. Elle exige une analyse proportionnée à la sensibilité des renseignements et au contexte d’utilisation. Pour un système de profilage ou de prise de décision automatisée, le niveau de détail attendu est nettement plus élevé que pour une collecte basique de coordonnées.
Un point souvent négligé : la loi impose aussi cette évaluation lors de la communication de renseignements personnels à l’extérieur du Québec. Le transfert transfrontalier de données déclenche automatiquement une ÉFVP, même si le destinataire opère dans une juridiction disposant d’un cadre de protection comparable.
Responsable de la protection des renseignements personnels : un rôle à ne pas confondre avec le DPO européen
La loi 25 exige la désignation d’un responsable de la protection des renseignements personnels au sein de chaque organisation. Par défaut, cette fonction est exercée par la personne ayant la plus haute autorité dans l’entreprise. Elle peut être déléguée, mais la responsabilité ultime reste au sommet de la hiérarchie.
Ce mécanisme diffère du modèle européen du DPO (Data Protection Officer), qui repose sur l’indépendance fonctionnelle du titulaire. Au Québec, le responsable peut cumuler cette fonction avec d’autres rôles opérationnels, ce qui crée un risque de conflit d’intérêts si la gouvernance interne n’est pas clairement structurée.
Les coordonnées de ce responsable doivent être publiées sur le site web de l’organisation, et la politique de confidentialité doit être rédigée en termes simples et clairs, accessibles sans jargon juridique excessif.
La loi 25 du Québec restructure l’équilibre entre les droits des personnes et les pratiques de collecte des organisations. Son régime de sanctions donne à la Commission d’accès à l’information les moyens concrets de faire respecter ces nouvelles règles. Les organisations qui traitent des renseignements personnels de résidents québécois, y compris depuis l’extérieur de la province, ont intérêt à vérifier leur conformité sur chacun de ces volets.
