Rappel à propos de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25)

Nous désirons vous rappeler que, depuis le 22 septembre, votre entreprise doit respecter plusieurs obligations imposées par la Loi 25, par exemple :

1. Établir des politiques et des pratiques encadrant la gouvernance des renseignements personnels, et publier de l’information détaillée sur celles-ci en termes simples et clairs sur le site Internet de l’entreprise (ou par tout autre moyen approprié si vous n’avez pas de site Internet);
2. Publier une politique de confidentialité si vous recueillez des renseignements personnels par un moyen technologique, et aviser les personnes concernées de ses mises à jour;
3. Respecter les nouvelles règles entourant le consentement à la collecte, à la communication ou à l’utilisation des renseignements personnels;
4. Recueillir et utiliser uniquement les renseignements nécessaires aux fins spécifiques et légitimes déterminées avant la collecte;
5. Respecter les nouvelles règles d’utilisation des renseignements personnels;
6. Réaliser une évaluation des facteurs relatifs à la vie privée lorsque la Loi l’exige, par exemple avant de communiquer des renseignements personnels à l’extérieur du Québec;
7. Respecter les nouvelles règles concernant la communication de renseignements personnels à l’extérieur du Québec;
8. Ne pas communiquer de renseignements personnels sans le consentement de la personne concernée, à moins d’une exception prévue par la Loi;
9. Détruire les renseignements personnels lorsque la finalité de leur collecte est accomplie, ou les anonymiser pour les utiliser à des fins sérieuses et légitimes, sous réserve des conditions et d’un délai de conservation prévus par une loi;

Références

Nous vous invitons à consulter le guide Vers la conformité à la Loi sur le privé publié par la Commission d’accès à l’information du Québec ainsi que les articles rédigés par la CMMTQ pour vous aider à vous préparer :

2022

• Protection des renseignements personnels : nouvelles obligations pour les entreprises
• Protection des renseignements personnels : des réponses à vos questions

2023

• Qu'est-ce qu’un renseignement personnel?
• La collecte de renseignements personnels et ses limites
• Règles encadrant la gouvernance des renseignements personnels
• La politique de confidentialité
• Devez-vous procéder à une évaluation des facteurs relatifs à la vie privée?
• Précisions sur le consentement en matière de renseignements personnels
• Conservation et destruction des renseignements personnels

Modèles et gabarits

La CMMTQ n’offre pas de modèle ou de gabarits pour les diverses politiques et procédures exigées par la Loi 25 en raison des particularités propres à chacune des entreprises. Toutefois, plusieurs exemples, guides et modèles disponibles en ligne peuvent vous servir d’inspiration :

• Exemple : Politique de confidentialité – Commission d’accès à l’information du Québec
• Exemple : Politique de gouvernance de gestion des renseignements personnels - Commission d’accès à l’information du Québec
• Modèle : Avis à la Commission d’accès à l’information concernant un incident de confidentialité impliquant des renseignements personnels et qui présente un risque de préjudice sérieux
• Modèle : Rapport générique suite à une évaluation des des facteurs relatifs à la vie privée
• Guide d'accompagnement pour réaliser une évaluation des facteurs relatifs à la vie privée

Une trousse de procédures internes a été publiée par deux entrepreneures en cybersécurité et une avocate afin d’outiller les PME du Québec. Vous pouvez la télécharger gratuitement à mesprocedures.ca. Elle contient les gabarits suivants :

• Procédure de conservation, de destruction et d’anonymisation des renseignements personnels;
• Procédure de demande d’accès aux renseignements personnels et de traitement des plaintes;
• Procédure de demande de désindexation et de suppression des renseignements personnels;
• Procédure de gestion des incidents de sécurité et violations des renseignements personnels;
• Procédure de gestion du roulement du personnel;
• Liste de bonnes pratiques et outils en ligne pour la protection des renseignements personnels;
• Attestation – Remise des biens et des données.

Mise en garde : Le cadre de gouvernance est intimement lié à la situation particulière de l’entreprise. Par conséquent, l’utilisation d’un modèle sans l’adapter à votre contexte n’est pas recommandée.

Enfin, il est aussi possible d’obtenir les conseils et l’accompagnement d’un cabinet de consultants de votre choix.

Retour