Loi 25 | Protection des renseignements personnels : nouvelles obligations pour les entreprises

Oui. Il n’y a pas de restrictions par rapport à la taille de l’entreprise et à la forme juridique. Si vous êtes seuls, vous êtes la personne qui doit assurer la protection des renseignements personnels et vous êtes le responsable de la protection des renseignements personnels.

Oui. Elles s’appliquent à toutes les personnes physiques ou morales exploitant une entreprise, peu importe leur taille ou leur forme juridique (ex. : entreprise individuelle, sociétés par actions, société en nom collectif, etc.).

La Loi définit un renseignement personnel comme étant tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier. Il est possible d’identifier une personne indirectement par inférence ou par croisement de différents jeux de données. Par exemple : nom, date d’anniversaire, numéro d’assurance sociale, adresse du domicile, adresse courriel personnelle, etc.

Les renseignements personnels sont confidentiels. Sauf exception, ils ne peuvent pas être communiqués sans le consentement de la personne concernée.

La Loi considère que les quatre types d’événements suivants constituent des incidents de confidentialité :

1. L’accès non autorisé à un renseignement personnel. Par exemple :

• Un employé qui consulte des renseignements personnels non nécessaires à l’exercice de ses fonctions en outrepassant ses droits d’accès;
• Un employé qui reçoit par courriel des renseignements personnels sur un dossier qui ne le concerne pas;
• Un pirate informatique ou toute autre personne qui s’infiltre ou s’immisce dans votre système informatique (banque de données, boîtes de courriels ou espace de stockage infonuagique).

2. L’utilisation non autorisée d’un renseignement personnel. Par exemple, un employé qui usurpe l’identité d’une personne physique en utilisant des renseignements personnels auxquels il a accès dans le cadre de ses fonctions.

3. La communication non autorisée d’un renseignement personnel. Par exemple, par l’envoi d’un courriel contenant des renseignements personnels à un mauvais destinataire.

4. La perte d’un renseignement personnel ou une atteinte à la protection d’un tel renseignement. Par exemple :

• La perte ou le vol de documents contenant des renseignements personnels;
• La perte ou le vol d’une clé USB ou d’un ordinateur portable contenant des renseignements personnels.

Rappelons que tous ces incidents doivent être consignés au registre des incidents de confidentialité. Voir plus bas pour plus de détails sur le contenu du registre.

Plusieurs facteurs doivent être considérés pour évaluer s’il y a un risque de préjudice à une personne dont un renseignement personnel est concerné par un incident de confidentialité, notamment :

• La sensibilité du renseignement concerné. Par exemple, un renseignement financier ou un renseignement d’identité;
• Les conséquences appréhendées de son utilisation, notamment en matière d’atteinte à la vie privée;
• La probabilité qu’il soit utilisé à des fins préjudiciables;
• Les utilisations malveillantes possibles. Par exemple, en cas de vol d’identité, de fraude financière ou d’atteinte importante à la vie privée;

En outre, vous devrez consulter le RPRP.

Selon le gouvernement du Québec, un préjudice sérieux correspond à un acte ou à un événement susceptible de porter atteinte à la personne concernée ou à ses biens et de nuire à ses intérêts de manière non négligeable. Par exemple, il peut conduire à :

• L’humiliation;
• Une atteinte à la réputation;
• Une perte financière;
• Un vol d’identité;
• Des conséquences négatives sur un dossier de crédit;
• Une perte d’emploi.

La Commission d’accès à l’information a mis à la disposition des entreprises un formulaire de déclaration d’un incident de confidentialité portant atteinte à des renseignements personnels sur son site Web.

Cet avis doit inclure les renseignements suivants :

1. le nom de votre entreprise et, le cas échéant, le numéro d’entreprise du Québec (NEQ) attribué par le registraire des entreprises du Québec;

2. le nom et les coordonnées de la personne à contacter au sein de votre entreprise pour avoir plus d’information concernant l’incident de confidentialité;

3. une description des renseignements personnels visés par l’incident de confidentialité ou, si cette information est inconnue, la raison justifiant l’impossibilité de fournir une telle description;

4. une brève description des circonstances de l’incident et, si elle est connue, la cause de l’incident;

5. la date ou la période où l’incident a eu lieu ou, si cette information est inconnue, une approximation de cette période;

6. la date ou la période au cours de laquelle votre entreprise a pris connaissance de l’incident;

7. le nombre de personnes concernées par l’incident et, parmi celles-ci, le nombre de personnes qui résident au Québec, s’ils sont inconnus, une approximation de ces nombres;

8. une description des éléments qui amènent votre entreprise à conclure qu’il existe un risque qu’un préjudice sérieux soit causé aux personnes concernées;

9. les mesures que votre organisation a prises ou entend prendre afin d’aviser les personnes dont un renseignement personnel est concerné par l’incident;

10. les mesures (et les délais) que votre organisation a prises ou entend prendre à la suite de la survenance de l’incident pour :

• diminuer les risques qu’un préjudice soit causé;
• atténuer le préjudice;
• éviter que de nouveaux incidents de même nature ne surviennent de nouveau.

11. Le cas échéant, une mention précisant qu’une personne ou un organisme situé à l’extérieur du Québec et exerçant des responsabilités semblables à celles de la Commission d’accès à l’information à l’égard de la surveillance de la protection des renseignements personnels a été avisé de l’incident.

Cet avis doit inclure les renseignements suivants :

1. une description des renseignements personnels visés par l’incident de confidentialité ou, si cette information est inconnue, la raison justifiant l’impossibilité de fournir une telle description;
2. une brève description des circonstances de l’incident;
3. la date ou la période où l’incident a eu lieu ou, si cette information est inconnue, une approximation de cette période;
4. une brève description des mesures que votre organisation a prises ou entend prendre à la suite de la survenance de l’incident, afin de diminuer les risques qu’un préjudice soit causé;
5. les mesures que votre organisation suggère à la personne concernée de prendre afin de diminuer le risque qu’un préjudice lui soit causé ou afin d’atténuer le préjudice;
6. les coordonnées permettant à la personne concernée de se renseigner davantage relativement à l’incident.

Le registre des incidents de confidentialité doit inclure les renseignements suivants :

1. Une description des renseignements personnels visés par l’incident de confidentialité ou, si cette information est inconnue, la raison justifiant l’impossibilité de fournir une telle description;
2. Une brève description des circonstances de l’incident;
3. La date ou la période où l’incident a eu lieu ou, si cette information est inconnue, une approximation de cette période;
4. La date ou la période au cours de laquelle votre entreprise a pris connaissance de l’incident;
5. Le nombre de personnes concernées par l’incident, s’il est inconnu, une approximation de ce nombre;
6. Une description des éléments qui amènent votre entreprise à conclure qu’il existe un risque qu’un préjudice sérieux soit causé aux personnes concernées;
7. Si l’incident présente un risque qu’un préjudice sérieux soit causé, les dates de transmission des avis à la Commission d’accès à l’information et aux personnes concernées, de même qu’une mention indiquant si des avis publics ont été donnés par l’organisation et la raison pour laquelle ces avis publics ont été donnés, le cas échéant;
8. Une brève description des mesures prises par votre organisation à la suite de la survenance de l’incident, afin de diminuer les risques qu’un préjudice soit causé.