Vos renseignements personnels sont-ils bien protégés ?
AFFAIRES. La Loi modernisant des dispositions législatives en matière de renseignements personnels, aussi appelée Loi 25, offre un meilleur contrôle aux citoyens de leurs informations privées. Quelles sont les obligations des entreprises, organismes publics et syndicats de condos face à cette nouvelle législation ?
Me Daphné Lemaire, avocate chez Bernier Beaudry, a donné une conférence sur ce sujet le jeudi 23 novembre au Georgesville, à l’invitation de la Chambre de commerce de Saint-Georges.
« Certains renseignements demandent un niveau de protection plus élevé. Le consentement de la clientèle et des employés est obligatoire pour collecter, utiliser et détruire ces informations. Lors d’une urgence, une autorisation n’est toutefois pas nécessaire », mentionne la conférencière.
Par définition, un renseignement personnel permet d’identifier une personne physique directement ou indirectement. Parmi les exemples cités par Daphné Lemaire, on retrouve le nom, l’âge, l’adresse, les numéros de téléphone, l’état matrimonial, les données médicales ou bancaires, ainsi que les revenus et habitudes de consommation.
« La dernière refonte de la loi remonte à 1993. Le gouvernement modernise le cadre législatif pour l’adapter à la nouvelle réalité technologique. Dès qu’il existe une collecte de renseignements personnels, la loi est applicable », dit Me Lemaire.
Calendrier des modifications
Les modifications à la Loi 25 s’étalent sur trois phases. En vigueur depuis septembre 2022, la première étape obligeait la désignation d’un responsable à la protection des renseignements personnels. Elle incluait aussi la déclaration des incidents de confidentialité, comme la perte ou le vol des infos personnelles.
D’autres obligations ont cours légal depuis septembre dernier. Cela comprend la rédaction d’une politique encadrant la gouvernance des renseignements personnels par les entreprises, organismes publics et syndicats de condos. Elle doit être publiée sur le site Internet de l’entité ou transmise à la demande du citoyen impliqué.
« Si on possède un site Internet, c’est également interdit d’activer automatiquement les profilages (cookies) sans le consentement de la personne. La Commission d’accès à l’information (CAI) impose des sanctions sévères, en cas de non-conformité », précise Me Daphné Lemaire.
En septembre 2024, chaque organisation aura l’obligation de communiquer les infos personnelles, dans un format technologique, à la personne auprès de qui ont été recueillis ces renseignements si elle en fait la demande.
« Il faut s’assurer d’avoir des ententes de confidentialité auprès de nos employés, clients et fournisseurs. Le fardeau de la preuve revient aux organisations, qui peuvent se faire accompagner pour être conforme à la loi », rappelle Me Lemaire.
Pour en savoir plus sur la Loi 25 et ses obligations, visitez cai.gouv.qc.ca.