La Loi 25 a modernisé les règles de protection des renseignements personnels au Québec. Ses obligations sont entrées en vigueur progressivement entre 2022 et 2024, et elles s’appliquent aussi aux PME.
Un responsable désigné
Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise. Cette fonction peut être déléguée par écrit. Son titre et ses coordonnées doivent être publiés sur votre site web.
La gestion des incidents
En cas d’incident de confidentialité (perte, accès non autorisé, vol de données), vous devez évaluer le risque, tenir un registre des incidents, et aviser la Commission d’accès à l’information et les personnes concernées si le risque de préjudice est sérieux.
Des politiques claires
Vous devez adopter des règles de gouvernance des renseignements personnels et publier une politique de confidentialité en termes simples, notamment si vous collectez des renseignements par un moyen technologique comme un site web.
Le consentement
Le consentement doit être manifeste, libre, éclairé et donné à des fins précises. Les paramètres de confidentialité de vos outils doivent offrir le plus haut niveau de protection par défaut.
La conservation et la destruction
Ne conservez pas les renseignements plus longtemps que nécessaire, et détruisez-les de façon sécuritaire.
Par où commencer
- Désignez votre responsable et publiez ses coordonnées.
- Faites l’inventaire des renseignements que vous collectez.
- Mettez à jour votre politique de confidentialité.
- Créez votre registre des incidents.
Consultez le site de la Commission d’accès à l’information du Québec pour les détails. Cet article est informatif et ne constitue pas un avis juridique.
