Aller au contenu
Souverain Technologie
EN Nous joindre
Menu
Retour aux articles

Loi 25 et PME : ce que la loi vous impose depuis 2022, et par quoi commencer

Par Vincent Savard Droit et conformité

Un cabinet comptable de 8 personnes et une entreprise de rénovation de 30 employés ont les mêmes obligations de base. La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), modifiée par la Loi 25 en 2021, s’applique à toute personne qui exploite une entreprise, sans seuil de taille. Ce qui change avec la taille, c’est l’ampleur attendue : les politiques internes doivent être « proportionnées à la nature et à l’importance des activités de l’entreprise » (art. 3.2).

Les nouvelles règles sont entrées en vigueur en trois temps, le 22 septembre 2022, 2023 et 2024 (art. 175 de la Loi 25). Nous les reprenons dans cet ordre, avec les numéros d’articles.

Septembre 2022 : un responsable et un registre des incidents

Dans votre entreprise, la personne qui a la plus haute autorité est d’office responsable de la protection des renseignements personnels (art. 3.1). Dans une PME, c’est souvent le président ou la propriétaire. Cette personne peut déléguer la fonction par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l’entreprise. La loi parle du titre, pas du nom : une page qui donne le titre et une adresse de courriel n’a pas à être refaite à chaque départ.

La même date a fait entrer en vigueur les règles sur les incidents de confidentialité. Un incident, au sens de l’article 3.6, c’est l’accès, l’utilisation ou la communication d’un renseignement personnel sans autorisation de la loi, ou sa perte. Quelques exemples types : un ordinateur portable non chiffré qui contient la liste de paie est volé dans une voiture ; un relevé de compte part par courriel au mauvais client ; un employé tombe dans un piège d’hameçonnage et quelqu’un lit sa boîte de courriel pendant deux jours.

Devant un incident, l’entreprise doit prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter que cela se reproduise (art. 3.5). Si l’incident présente un risque de préjudice sérieux, elle doit aviser « avec diligence » la Commission d’accès à l’information (CAI) et les personnes touchées. Pour juger du risque, l’article 3.7 renvoie notamment à la sensibilité des renseignements et à la probabilité qu’ils servent à des fins préjudiciables.

Tous les incidents vont au registre, y compris ceux qui ne présentent pas de risque sérieux (art. 3.8). La CAI peut en demander une copie. Selon la Commission, le registre décrit entre autres les renseignements visés, le nombre de personnes touchées et les motifs de la décision d’aviser ou non ; il est conservé au moins cinq ans.

Septembre 2023 : politiques, EFVP et consentement

L’article 3.2 exige des politiques et des pratiques de gouvernance des renseignements personnels. Elles prévoient au minimum les règles de conservation et de destruction, les rôles du personnel tout au long du cycle de vie des renseignements et un processus de traitement des plaintes. Le responsable les approuve, et des informations détaillées à leur sujet sont publiées sur le site Web. Si vous recueillez des renseignements par un moyen technologique, l’article 8.2 ajoute une politique de confidentialité publiée sur votre site, et un avis à chaque modification.

L’évaluation des facteurs relatifs à la vie privée (EFVP) est requise dans deux situations. La première : tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services qui touche des renseignements personnels (art. 3.3). Changer de logiciel de paie, implanter un outil de gestion de la clientèle ou ouvrir un portail client en font partie. Le responsable est consulté dès le début du projet, et l’évaluation est proportionnée, entre autres, à la sensibilité et à la quantité des renseignements : l’EFVP d’une PME n’a pas l’épaisseur de celle d’une banque.

La seconde : avant de communiquer un renseignement personnel à l’extérieur du Québec, ou de confier à quelqu’un hors du Québec la tâche de le recueillir, de l’utiliser, de le communiquer ou de le conserver pour vous (art. 17). Un service infonuagique hébergé en Ontario ou aux États-Unis tombe dans ce cas. L’évaluation tient compte, entre autres, du régime juridique de l’État de destination ; la communication peut se faire si l’évaluation démontre une protection adéquate, et elle exige une entente écrite. Nous avons détaillé la question du régime juridique américain dans un article sur le CLOUD Act.

Le consentement a aussi changé. L’article 14 le veut manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé pour chaque fin, en termes simples et clairs, et, s’il est demandé par écrit, séparément de toute autre information. Il ne vaut que pour la durée nécessaire. Une demande de consentement noyée dans les conditions d’utilisation ne respecte donc pas l’exigence de présentation distincte. Dans ses lignes directrices 2023-1 (31 octobre 2023), la CAI range la case déjà cochée parmi les formes de consentement implicite ; or, selon la Commission, le consentement visant un renseignement sensible, comme un renseignement médical, doit être exprès.

L’article 8.1 oblige à informer la personne, avant la collecte, du recours à une technologie qui permet de l’identifier, de la localiser ou d’en faire le profilage, et des moyens d’activer ces fonctions. L’article 9.1 vise l’entreprise qui offre au public un produit ou un service technologique doté de paramètres de confidentialité : par défaut, ces paramètres doivent assurer le plus haut niveau de confidentialité. Les paramètres des témoins de connexion (cookies) sont exclus de l’article 9.1. Savoir si vos outils de statistiques de site ou vos pixels publicitaires tombent sous l’article 8.1 est une question d’interprétation à poser à un professionnel.

Septembre 2024 : la portabilité

Le troisième alinéa de l’article 27 donne un droit à la portabilité. Sur demande, un renseignement personnel informatisé recueilli auprès de la personne lui est communiqué dans un « format technologique structuré et couramment utilisé », à moins de difficultés pratiques sérieuses. Le droit vise ce que la personne vous a fourni, pas ce que vous avez créé ou déduit à son sujet. Concrètement : un client qui demande ses coordonnées et son historique de commandes doit pouvoir les recevoir dans un fichier CSV, par exemple, et pas dans une capture d’écran. L’article 3.3 exige d’ailleurs que tout nouveau système le permette.

Ce que vous risquez

La loi prévoit deux régimes.

Les sanctions administratives pécuniaires sont imposées par une personne désignée par la CAI pour les manquements énumérés à l’article 90.1 : ne pas informer les personnes lors de la collecte, recueillir ou utiliser des renseignements en contravention à la loi, ne pas déclarer un incident qui devait l’être, ne pas prendre les mesures de sécurité requises, entre autres. Le plafond est de 10 000 000 $ ou de 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le plus élevé (art. 90.12). Avant d’imposer une sanction, la personne désignée doit avoir notifié un avis de non-conformité et donné à l’entreprise l’occasion de présenter ses observations (art. 90.3 et 90.4).

Le plafond fait les manchettes, mais il ne dit pas grand-chose du cas d’une PME. Le cadre général d’application de la CAI (11 mai 2023) fixe pour une entreprise des montants de base de 1 000 $ pour un manquement mineur à 15 000 $ pour un manquement très grave. Ces montants sont ensuite ajustés selon des facteurs comme la sensibilité des renseignements, le nombre de personnes touchées, la collaboration offerte et la capacité de payer.

Le régime pénal est plus sévère. Une entreprise qui commet une infraction prévue à l’article 91 est passible d’une amende de 15 000 $ à 25 000 000 $, ou de 4 % du chiffre d’affaires mondial si ce montant est plus élevé. Pour une personne physique, l’amende va de 5 000 $ à 100 000 $. Les amendes doublent en cas de récidive (art. 92.1), et la poursuite peut être intentée dans les cinq ans suivant l’infraction (art. 92.2).

Par quoi commencer cette semaine

  1. Décidez qui est responsable de la protection des renseignements personnels. Si ce n’est pas vous, faites la délégation par écrit. Publiez le titre et une adresse de courriel sur votre site.
  2. Ouvrez le registre des incidents. Un tableur suffit pour commencer, avec les colonnes que décrit la CAI. Inscrivez-y les incidents dont vous vous souvenez, même mineurs.
  3. Dressez la liste de vos logiciels et de vos services en ligne qui contiennent des renseignements personnels (paie, comptabilité, courriel, gestion de la clientèle, formulaires du site), avec l’endroit où les données sont hébergées. La loi n’exige pas cet inventaire en tant que tel, mais il vous dira tout de suite quels services sont hors du Québec.
  4. Relisez vos formulaires et votre site : la politique de confidentialité est-elle publiée, et chaque demande de consentement est-elle présentée à part ?
  5. Inscrivez une EFVP au calendrier de votre prochain changement de logiciel, avant la signature du contrat.

La CAI publie des pages d’information pour les entreprises et un formulaire de déclaration d’incident. Pour un cas précis (un incident en cours, une communication hors Québec, un doute sur un consentement), consultez un avocat ou un conseiller en protection des renseignements personnels. Cet article informe ; il n’est pas un avis juridique.

Souverain Technologie accompagne des PME québécoises dans le choix et l’hébergement de leurs outils numériques, notamment pour savoir où se trouvent leurs données. Si l’inventaire de l’étape 3 soulève des questions, vous pouvez nous écrire.

Sources