Loi 25 : assurer la conformité de votre site web

Quelle est la différence entre la Loi 25 et le projet de loi 64 ?

Vous avez peut-être entendu parler du projet de loi 64. En réalité, la Loi 25 et le projet de loi 64 désignent le même texte : au Québec, une loi proposée s’appelle « projet de loi » jusqu’à sa sanction. La Loi 25 porte le nom officiel de Loi modernisant des dispositions législatives en matière de protection des renseignements personnels.

À qui s’applique la Loi 25 ?

Comme le RGPD européen, la Loi 25 s’applique non seulement aux entreprises établies au Québec, mais aussi aux entreprises extérieures qui traitent les renseignements personnels de résidents québécois. Contrairement à la plupart des lois américaines sur la vie privée, il n’y a pas de seuil minimal à atteindre : si votre organisation traite les données de l’un des quelque 9 millions de résidents du Québec, vous devez vous y conformer.

Une entrée en vigueur en trois étapes

Les exigences de la Loi 25 sont entrées en vigueur en trois étapes, le 22 septembre 2022, le 22 septembre 2023 et le 22 septembre 2024. Elles s’appliquent donc toutes aujourd’hui.

Depuis le 22 septembre 2022

• Désigner un responsable de la protection des renseignements personnels.
• Mettre en place un plan de gestion des incidents de confidentialité.
• Tenir un registre des incidents de confidentialité.
• Déclarer les incidents présentant un risque de préjudice sérieux à la Commission d’accès à l’information (CAI).
• Déclarer à la CAI, au moins 60 jours à l’avance, la création d’une banque de caractéristiques ou de mesures biométriques.

Depuis le 22 septembre 2023

• Établir des politiques de gouvernance pour la protection des renseignements personnels.
• Publier une politique de confidentialité claire sur votre site web.
• Mettre en place un processus de traitement des plaintes.
• Obtenir un consentement explicite pour la collecte de renseignements personnels.
• Informer clairement les personnes au moment de la collecte.
• Encadrer par contrat la communication de renseignements à des tiers.
• Détruire ou anonymiser les renseignements lorsque leur finalité est accomplie, et respecter le droit à la désindexation.
• Corriger les renseignements inexacts à la demande de la personne concernée.
• Informer la personne lorsqu’une décision est fondée exclusivement sur un traitement automatisé.
• Permettre aux personnes de retirer leur consentement.
• Réaliser des évaluations des facteurs relatifs à la vie privée dans certaines situations.
• Évaluer et encadrer la communication de renseignements à l’extérieur du Québec.

Depuis le 22 septembre 2024

• Communiquer à la personne qui le demande les renseignements personnels informatisés la concernant, dans un format technologique structuré et couramment utilisé (droit à la portabilité).

Les exigences de la Loi 25

Le Canada dispose de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), mais la Loi 25 est plus complète et plus stricte dans la mise en œuvre et l’application des droits relatifs aux données personnelles.

Elle présente de nombreuses similitudes avec d’autres réglementations majeures, comme le RGPD et le CCPA/CPRA californien. Elle comporte toutefois des différences notables, en particulier pour les organisations habituées au modèle des lois américaines.

Le consentement aux témoins et au suivi

Comme le RGPD, la Loi 25 oblige les entreprises à offrir aux utilisateurs le choix d’activer toute technologie permettant de les identifier, de les localiser ou d’établir leur profil. Cela inclut notamment les témoins (cookies) de votre site web. Avant d’offrir ce choix, vous devez informer les personnes des éléments habituellement fournis lors d’une collecte :

• la finalité de la collecte ;
• les moyens utilisés ;
• les droits des personnes concernées ;
• les autres renseignements exigés par la loi.

Les entreprises déjà conformes au RGPD connaissent cette approche. Celles qui sont plus familières avec le CCPA/CPRA doivent retenir qu’elles ne peuvent pas charger automatiquement des témoins ou d’autres technologies de suivi sans l’accord préalable de l’utilisateur.

Désigner un responsable de la protection des renseignements personnels

Le rôle du responsable de la protection des renseignements personnels ressemble, sans être identique, à celui du délégué à la protection des données prévu par le RGPD. Il supervise notamment :

• le traitement des demandes d’accès et de rectification ;
• la déclaration des incidents de confidentialité ;
• la réalisation des évaluations des facteurs relatifs à la vie privée ;
• l’application des politiques de gouvernance.

Par défaut, la personne ayant la plus haute autorité dans l’organisation exerce cette fonction, sauf si elle la délègue par écrit. Si vous ne désignez personne, c’est donc la direction générale qui en porte la responsabilité.

Les responsabilités envers les fournisseurs tiers

La Loi 25 encadre aussi la communication de renseignements personnels à des fournisseurs. Une entente écrite doit préciser les mesures de protection qu’ils appliquent : hébergeur, outil d’analyse, plateforme d’infolettre ou de formulaire sont directement concernés.

Les exemptions

Certaines situations échappent à la loi, par exemple :

• les renseignements recueillis à des fins strictement personnelles ou familiales ;
• les renseignements recueillis à des fins journalistiques, historiques ou généalogiques destinées à l’information légitime du public ;
• d’autres cas prévus par la loi.

Comment savoir si votre organisation doit se conformer à la Loi 25 ? Si vous traitez des renseignements personnels de résidents du Québec, vous y êtes très probablement assujetti, sauf si vous relevez de l’une de ces exemptions.

Conclusion

Toutes les dispositions de la Loi 25 sont désormais en vigueur. Leur mise en œuvre demande un investissement opérationnel et stratégique, et la non-conformité peut s’avérer coûteuse. Pour un site web, les priorités sont claires : une politique de confidentialité à jour, une bannière de consentement qui bloque les témoins non essentiels avant l’accord de l’utilisateur, et des ententes avec les fournisseurs qui reçoivent vos données.

Notre équipe peut analyser vos pratiques de collecte, vous orienter vers un gestionnaire de consentement adapté et l’intégrer à votre site. Parlons de votre situation.

Cet article offre des renseignements de référence et ne remplace pas un avis juridique. Chaque organisation demeure responsable de sa propre conformité à la Loi 25.