Vie privée au Québec - Il est temps de passer à l’action!‎

Le 22 septembre 2023 sera une date charnière pour la protection de la vie privée et des renseignements personnels au Québec. Il s’agit de la date, longuement anticipée, à laquelle la majorité des ‎changements apportés à la Loi sur la protection des renseignements personnels dans le ‎secteur privé du Québec (la « Loi sur le privé ») par la Loi 25 (mieux connue sous son numéro ‎de Projet de loi 64) entreront en vigueur.‎

‎Cette Loi sur le privé réformée s'inspire à certains égards des lois européennes en la ‎matière (y compris le RGPD), et amène plusieurs changements majeurs qui viennent ‎moderniser considérablement le cadre juridique applicable au Québec. ‎

‎Les principaux changements qui entreront en vigueur le 22 septembre 2023 sont les ‎suivants:‎

• ‎Une emphase réaffirmée sur le consentement comme seul fondement juridique pour la collecte, l’utilisation et la communication des renseignements personnels;
• Des exigences de clarté et de transparence sur les pratiques en matière de vie privée;‎
• De nouvelles obligations relatives à l'utilisation de technologies de localisation et de profilage;‎
• Des obligations de transparence lors de prise de décisions au moyen de procédés automatisés (intelligence artificielle);
• L’obligation de procéder à une évaluation des facteurs relatifs à la vie privée dans ‎certaines situations; et
• De nouvelles exigences relatives aux transferts de renseignements personnels à l’extérieur du Québec.‎

‎Ces changements viennent s'ajouter aux amendements amenés par la Loi 25 qui sont entrés en vigueur le 22 ‎septembre 2022, et qui comprennent:‎

• ‎L’exigence de nommer un responsable de la protection des renseignements ‎personnels (l’équivalent de la fonction de « délégué à la protection des données » ou « data protection officer » qui existe ailleurs dans le monde);‎
• Les obligations relatives aux incidents de confidentialité, y compris l’obligation de divulguer les incidents présentant un risque de préjudice sérieux;‎ et
• De nouveaux pouvoirs pour l'autorité responsable de l'application de la loi, la Commission ‎d'accès à l'information.

Les entreprises ne doivent donc plus tarder à réexaminer leurs politiques et pratiques en matière de vie privée. Si ce n’est pas déjà fait, il faut, entre autres, absolument nommer un responsable de la protection des renseignements personnels, faute de quoi ce rôle dévolu automatiquement à la personne ayant la plus haute autorité au sein de l’entreprise, développer des politiques en matière de vie privée qui couvrent l’ensemble des renseignements personnels détenus par votre entreprise (ce qui comprend notamment les renseignements personnels que vous détenez au sujet de vos clients et de vos employés), et procéder à une évaluation des facteurs relatifs à la vie privée dès que vous envisagez transférer ces renseignements hors-Québec et adopter les mesures qui s’imposent afin de leur assurer une protection adéquate. Si des transferts ont lieu dans le cadre de l’exécution d’un contrat de service ou d’entreprise sans le consentement de la personne concernée, il faudra que le mandat ou le contrat soit confié par écrit et qu’il respecte certaines exigences prescrites par la loi.

Ces nouvelles exigences de la Loi sur le privé sont soutenues par un nouveau régime de pénalités administratives et d’amendes sévères, lesquelles peuvent s’élever jusqu’à 25 millions de dollars canadiens ou 4% du chiffre d’affaires global de l’entreprise pour l’année fiscale précédente.

Avec l'entrée en vigueur de ces changements, le Québec est désormais la province dotée du ‎régime le plus strict au Canada en matière de protection de la vie privée et des ‎renseignements personnels.‎ Les entreprises auront donc tout intérêt à revoir leurs pratiques en matière de vie privée et de protection des renseignements personnels afin de pouvoir poursuivre leurs activités en toute conformité avec ce nouveau régime.