Dans un monde rythmé par le développement technologique rendant toute information facilement accessible et disponible, la question de la protection des renseignements personnels, propre à chacun, est devenue une préoccupation primordiale pour chaque État.
En effet, afin d’établir une confiance mutuelle entre les citoyens et l’État, ce dernier se doit de prévoir un arsenal légal à la hauteur des progrès technologiques.
Le Canada, et plus spécifiquement le Québec, adhère à ce développement et le soutient. En effet, une modernisation de la loi 25 a été prévue à travers l’entrée en vigueur de nouvelles dispositions.
Cette démarche représente un pas majeur vers la protection des renseignements personnels dans l’ère du numérique.
Qu’est-ce que la loi 25 ?
Également connue sous le nom de loi sur la gouvernance des renseignements personnels, cette loi élargit le champ d’application de la protection des renseignements personnels en incluant les organismes publics et les entreprises privées. Elle encadre la collecte, l’utilisation et le partage des informations personnelles par les entreprises et les organismes publics.
Elle instaure aussi, un cadre juridique, promouvant la transparence, la confidentialité et la sécurité des données personnelles.
Pour faire simple, cette loi est le “gardien” des données numériques en matière de renseignements personnels, elle est son gage de sécurité. Elle peut être considérée comme le coffre-fort de l’identité numérique de chacun.
Pour assurer une telle responsabilité, une autorité a été promue pour veiller à sa bonne application.
L’autorité veillant à la bonne application de la loi 25
Afin de garantir la bonne application de cette loi et son respect auprès des entreprises, la Commission d’accès à l’information du Québec est désignée comme l’autorité habilitée à veiller sur le respect des dispositions de la loi 25.
Elle est également chargée d’évaluer les facteurs liés à la protection des renseignements personnels, de traiter les plaintes et d’assurer le respect des droits d’accès des individus. Elle évalue, entre autres, les types de manquements et les qualifie selon leurs gravités.
Cependant, cette loi a une spécificité, son entrée en vigueur est échelonnée sur plusieurs années.
L’entrée en vigueur de la loi 25
Une démarche progressive a été adoptée pour la mise en œuvre de la loi 25. Pleinement conscient de l’impact de cette nouvelle loi sur les entreprises, le législateur a opté pour un changement « en douceur ». En effet, trois dates importantes sont à retenir s’agissant des nouvelles obligations apportées par la loi 25 :
- Le 22 septembre 2022 :
1. La désignation d’un responsable pour la protection des renseignements personnels devient une obligation légale pour les entreprises.
Cette personne est l’équivalent de la commission d’accès à l’information du Québec mais à l’échelle microscopique. En effet, elle devra veiller à la conformité de l’entreprise avec les dispositions législatives et réglementaires en matière de protection des renseignements personnels. Il est important de noter que les coordonnées de la personne responsable de la protection des renseignements personnels doivent être publiées sur le site web de l’entreprise.
2. Les entreprises doivent prendre des mesures préventives afin de prévenir les potentiels incendies de confidentialités. Un registre des incendies doit être tenu à cet égard. Elles devront également signaler rapidement, tout événement qui touche à la confidentialité des renseignements personnels à la Commission d’accès à l’information du Québec.
- Le 22 septembre 2023 :
1. Tenir une politique de gouvernance à jour : les entreprises doivent mettre en place une politique interne propre, claire et solide sur la gestion des renseignements personnels et rendre ce document disponible sur leurs sites internet.
Ce document doit non seulement être compréhensible, accessible et simple, mais doit également comprendre certaines mentions à l’instar :
- Des coordonnées pour joindre une personne de l’entreprise
- Types d’informations collectées sur le site Web et les finalités pour lesquelles elles sont collectées
- Combien de temps ces données seront-elles conservées et comment leur sécurité sera-t-elle assurée ?
2. Évaluation des risques plus élevée s’agissant de la transmission de données hors Québec.
3. Consentement et transparence : de nouvelles règles qui concernent le consentement à la collecte de données sont mises en place.
4. Destruction des renseignements : l’entreprise a le choix entre anonymiser les données ou les supprimer, une fois leurs finalités atteintes.
- Le 22 septembre 2024 :
Cette dernière ligne concernera la portabilité des données. En effet, les citoyens pourront demander la communication de leurs renseignements personnels, ainsi que la possibilité d’effectuer des corrections sur ces données.
Les mois de septembre se succèdent, tous porteurs de promesses, révélant les prouesses d’un pays à la hauteur de ses ambitions.
Ameni EL AMRI
M2 Cyberjustice – Promotion 2023/2024
Sources :
