Loi 25 : les principales obligations des entreprises et les erreurs à éviter
Loi 25 : les principales obligations des entreprises et les erreurs à éviter
La protection des renseignements personnels n’est plus seulement une préoccupation réservée aux grandes organisations. Toute entreprise qui recueille, utilise, communique ou conserve des renseignements sur ses clients, ses employés, ses fournisseurs ou ses partenaires doit adopter des pratiques rigoureuses.
Au Québec, la Loi 25 a considérablement renforcé les responsabilités des entreprises en matière de protection de la vie privée. Ses dispositions sont entrées en vigueur progressivement entre 2022 et 2024. Les organisations doivent maintenant être en mesure de démontrer qu’elles protègent adéquatement les renseignements personnels pendant tout leur cycle de vie, de leur collecte jusqu’à leur destruction. (Cai Québec)
Pour plusieurs PME, le principal défi n’est pas le manque de volonté, mais plutôt la difficulté à comprendre les obligations, à déterminer les priorités et à transformer les exigences légales en actions concrètes.
Qu’est-ce qu’un renseignement personnel?
Un renseignement personnel est une information qui concerne une personne physique et qui permet, directement ou indirectement, de l’identifier.
Il peut notamment s’agir :
d’un nom;
d’une adresse;
d’un numéro de téléphone;
d’une adresse courriel personnelle;
d’une date de naissance;
de renseignements financiers;
d’informations médicales;
d’un numéro d’identification;
d’une adresse IP ou de certaines données de navigation;
de renseignements concernant les employés.
Une entreprise n’a donc pas besoin de gérer une importante base de données pour être concernée. Une liste de clients, un formulaire de contact, un dossier d’employé ou une infolettre peuvent contenir des renseignements personnels devant être protégés.
1. Désigner un responsable de la protection des renseignements personnels
La personne ayant la plus haute autorité dans l’entreprise est, par défaut, responsable de la protection des renseignements personnels. Cette fonction peut être déléguée, en tout ou en partie, mais la délégation doit être faite par écrit.
Le titre et les coordonnées du responsable doivent être publiés sur le site Internet de l’entreprise ou être rendus accessibles par un autre moyen approprié lorsque l’entreprise ne possède pas de site. (Légis Québec)
Le responsable ne doit pas être nommé uniquement pour satisfaire une formalité administrative. Il doit disposer des connaissances, de l’autorité et des ressources nécessaires pour intervenir dans les décisions touchant les renseignements personnels.
2. Établir des politiques et des pratiques de gouvernance
Les entreprises doivent établir et mettre en œuvre des politiques encadrant leur gestion des renseignements personnels.
Ces politiques doivent notamment préciser :
les rôles et les responsabilités des membres du personnel;
les règles de collecte et d’utilisation;
les mesures de sécurité;
les périodes de conservation;
les méthodes de destruction ou d’anonymisation;
le processus de traitement des plaintes;
la procédure à suivre lors d’un incident de confidentialité.
Les informations détaillées concernant ces politiques et pratiques doivent être présentées dans un langage simple et clair et être accessibles au public. Elles doivent également être adaptées à la nature et à l’importance des activités de l’entreprise. (Légis Québec)
3. Recueillir uniquement les renseignements nécessaires
Une entreprise ne devrait pas recueillir des renseignements simplement parce qu’ils pourraient éventuellement être utiles.
La collecte doit répondre à un objectif déterminé et légitime. L’organisation doit pouvoir expliquer pourquoi chaque renseignement est nécessaire à ses activités.
Avant la collecte, la personne concernée doit notamment être informée des objectifs poursuivis, des moyens utilisés, de ses droits et, lorsque cela s’applique, de la possibilité que ses renseignements soient communiqués à des tiers ou traités à l’extérieur du Québec.
Cette approche permet de réduire les risques. Moins une entreprise conserve de renseignements inutiles, moins elle s’expose aux conséquences d’une fuite, d’une erreur ou d’un accès non autorisé.
4. Obtenir un consentement valable
Le consentement occupe une place importante dans la protection des renseignements personnels.
Il doit être manifeste, libre, éclairé et donné à des fins précises. Une demande de consentement ne devrait donc pas être dissimulée dans un long contrat ou formulée de manière ambiguë. (Cai Québec)
L’entreprise doit également être capable de démontrer ce à quoi la personne a consenti. Lorsque de nouvelles utilisations sont envisagées, il peut être nécessaire d’obtenir un nouveau consentement.
Pour les renseignements sensibles, les exigences sont encore plus importantes. L’organisation doit s’assurer que la personne comprend clairement la nature des renseignements recueillis et l’utilisation qui en sera faite.
5. Protéger adéquatement les renseignements
La conformité ne repose pas seulement sur la rédaction d’une politique de confidentialité.
Les entreprises doivent mettre en place des mesures de sécurité raisonnables en fonction de la sensibilité, de la quantité, de l’utilisation et du support des renseignements détenus.
Ces mesures peuvent comprendre :
la gestion des accès et des mots de passe;
l’authentification multifacteur;
le chiffrement;
les copies de sauvegarde;
la mise à jour des logiciels;
la sécurisation des appareils mobiles;
la gestion des départs d’employés;
la formation du personnel;
l’encadrement des fournisseurs technologiques.
Les mesures techniques sont indispensables, mais elles doivent être accompagnées de règles internes et d’une sensibilisation régulière. Une grande partie des incidents commence par une erreur humaine, un courriel frauduleux, un mauvais destinataire ou un accès qui aurait dû être désactivé.
6. Gérer les incidents de confidentialité
Un incident de confidentialité peut notamment correspondre à un accès, une utilisation ou une communication non autorisée, à la perte d’un renseignement personnel ou à toute autre atteinte à sa protection.
Lorsqu’une entreprise a des raisons de croire qu’un incident s’est produit, elle doit prendre des mesures raisonnables pour réduire les risques et éviter qu’un incident semblable se reproduise.
Lorsque l’incident présente un risque de préjudice sérieux, l’entreprise doit aviser avec diligence la Commission d’accès à l’information ainsi que les personnes concernées. Elle doit également tenir un registre de ses incidents de confidentialité. (Légis Québec)
Une bonne procédure d’intervention devrait permettre de répondre rapidement aux questions suivantes :
Que s’est-il passé?
Quels renseignements sont touchés?
Combien de personnes sont concernées?
Les renseignements sont-ils sensibles?
Quelles mesures doivent être prises immédiatement?
Qui doit être informé?
Quel message doit être communiqué aux employés, aux clients et au public?
Un incident informatique peut rapidement devenir une crise de réputation. La réponse doit donc combiner cybersécurité, gestion opérationnelle et communication.
7. Réaliser des évaluations des facteurs relatifs à la vie privée
Une évaluation des facteurs relatifs à la vie privée, souvent appelée EFVP, doit être réalisée pour certains projets impliquant des renseignements personnels.
Elle est notamment exigée lors de l’acquisition, du développement ou de la refonte d’un système d’information ou d’un service électronique comportant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.
Le responsable de la protection des renseignements personnels doit être consulté dès le début du projet. L’évaluation doit être proportionnelle à la sensibilité, à la quantité et à l’utilisation des renseignements concernés. (Légis Québec)
Une EFVP peut également être nécessaire avant de communiquer des renseignements personnels à l’extérieur du Québec. Cette analyse permet d’évaluer les risques, les mesures contractuelles et le niveau de protection applicable.
8. Respecter les droits des personnes
Les entreprises doivent être en mesure de traiter les demandes des personnes qui souhaitent notamment accéder à leurs renseignements personnels ou les faire rectifier.
Depuis septembre 2024, le droit à la portabilité permet également, dans certaines circonstances, d’obtenir des renseignements personnels informatisés dans un format technologique structuré et couramment utilisé. (Cai Québec)
Une procédure interne devrait préciser :
qui reçoit les demandes;
comment l’identité du demandeur est vérifiée;
où les renseignements sont recherchés;
qui autorise la réponse;
comment les délais sont suivis;
comment les décisions sont documentées.
Les erreurs les plus fréquentes
Penser que la Loi 25 concerne uniquement les grandes entreprises
La taille de l’organisation n’élimine pas ses responsabilités. Une petite entreprise qui recueille les coordonnées de ses clients ou conserve des dossiers d’employés traite déjà des renseignements personnels.
Copier une politique de confidentialité trouvée en ligne
Une politique générique peut donner une fausse impression de conformité. Elle risque de décrire des pratiques qui ne correspondent pas aux opérations réelles de l’entreprise.
La politique doit refléter les renseignements véritablement recueillis, les technologies utilisées, les fournisseurs impliqués et les périodes de conservation appliquées.
Nommer un responsable sans lui donner les moyens d’agir
Inscrire un nom sur un site Internet ne suffit pas. Le responsable doit participer aux projets, pouvoir poser des questions, recommander des correctifs et obtenir les ressources nécessaires.
Oublier les données conservées dans les courriels et les fichiers partagés
Les renseignements personnels ne se trouvent pas uniquement dans les logiciels de gestion. Ils peuvent être dispersés dans les boîtes courriel, les feuilles de calcul, les appareils mobiles, les espaces infonuagiques et les dossiers papier.
Sans inventaire, il est difficile de savoir ce que l’entreprise possède, où les renseignements se trouvent et qui peut y accéder.
Négliger les fournisseurs
Une entreprise demeure responsable des renseignements personnels qu’elle confie à un fournisseur.
Les contrats devraient donc encadrer la confidentialité, la sécurité, l’utilisation des renseignements, la gestion des incidents, la conservation et la destruction des données.
Attendre un incident avant de se préparer
Lorsqu’une fuite survient, il est trop tard pour déterminer qui doit prendre les décisions, trouver les coordonnées du responsable ou préparer les communications.
Un plan d’intervention devrait être établi et testé avant qu’une situation urgente se produise.
Considérer la conformité comme un projet terminé
La conformité n’est pas un document que l’on prépare une seule fois.
Les technologies, les employés, les fournisseurs et les méthodes de travail évoluent. Les politiques doivent donc être révisées, les accès vérifiés et les employés sensibilisés régulièrement.
Comment Doumont 360 peut accompagner votre entreprise
La mise en conformité nécessite une approche qui combine gouvernance, technologie, cybersécurité et communication.
Doumont 360 adopte une vision globale des enjeux organisationnels. Son positionnement réunit notamment les relations publiques, la gestion de crise, la cybersécurité et les solutions infonuagiques au sein d’une même approche stratégique.
Évaluation de votre situation
La première étape consiste à examiner les pratiques existantes :
les renseignements recueillis;
les formulaires et les plateformes utilisés;
les lieux de conservation;
les personnes ayant accès aux données;
les fournisseurs impliqués;
les mesures de sécurité existantes;
les politiques déjà en place.
Cette analyse permet de repérer les écarts et d’établir un plan d’action réaliste selon les priorités de l’organisation.
Inventaire des renseignements et cartographie des données
Doumont 360 peut aider l’entreprise à comprendre comment les renseignements circulent dans ses activités : leur provenance, leur utilisation, leur emplacement, leur communication et leur destruction.
Cette cartographie facilite ensuite la rédaction des politiques, la gestion des accès et l’évaluation des risques.
Élaboration des politiques et procédures
L’accompagnement peut comprendre la préparation ou la révision de documents adaptés à la réalité de l’organisation :
politique de confidentialité;
politique interne de gouvernance;
calendrier de conservation;
procédure de traitement des demandes;
registre des incidents;
procédure de gestion d’un incident;
règles encadrant les fournisseurs et les outils technologiques.
Renforcement de la cybersécurité
La protection des renseignements personnels passe également par la sécurisation des systèmes, des comptes, des appareils et des solutions infonuagiques.
Doumont 360 peut contribuer à l’évaluation des pratiques numériques, à l’identification des risques et à la mise en place de mesures visant à mieux protéger les données.
Formation et sensibilisation des employés
Une politique n’est efficace que si elle est comprise et appliquée.
Des activités de sensibilisation peuvent aider les employés à reconnaître les tentatives d’hameçonnage, à manipuler les renseignements personnels de façon sécuritaire et à signaler rapidement une erreur ou un incident.
Préparation à la gestion de crise
Lorsqu’un incident survient, l’entreprise doit protéger les personnes concernées tout en maintenant la confiance de ses clients, de ses employés et de ses partenaires.
Grâce à une approche réunissant cybersécurité, gestion de crise et relations publiques, Doumont 360 peut aider l’organisation à structurer sa réponse, à déterminer ses messages et à coordonner ses communications.
Transformer une obligation en avantage
La Loi 25 ne devrait pas être perçue uniquement comme une contrainte administrative.
Une entreprise qui gère les renseignements personnels avec transparence et rigueur renforce la confiance de ses clients, réduit ses risques et améliore ses pratiques internes.
La conformité commence par des gestes simples : comprendre les renseignements détenus, déterminer les responsabilités, corriger les risques prioritaires et mettre en place des procédures adaptées.
Doumont 360 accompagne les organisations qui souhaitent passer de l’incertitude à un plan d’action clair, concret et durable.
Votre entreprise est-elle réellement prête à protéger les renseignements personnels qui lui sont confiés?
Communiquez avec Doumont 360 pour discuter de vos pratiques, de vos risques et des prochaines étapes de votre démarche de conformité.
Cet article présente de l’information générale et ne constitue pas un avis juridique. Une entreprise confrontée à une situation juridique particulière devrait consulter un professionnel du droit.
