Projet de loi no° 64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25)

 Impacts pour les membres

• La Loi 25 s’adresse aux organismes publics et aux entreprises, et c’est pourquoi les orthophonistes et les audiologistes pratiquant en clinique privée doivent y porter une attention particulière afin de s’y conformer.

• Depuis septembre 2022, les membres exerçant dans le secteur privé doivent se conformer aux nouvelles exigences en matière de gestion des renseignements personnels. Ainsi, elles et ils doivent :

  • désigner une personne responsable de la protection des renseignements personnels et publier ses coordonnées sur le site Web de l’entreprise;

  • informer les personnes concernées ainsi que la Commission d’accès à l’information (CAI) lors de la survenance d’un incident de confidentialité pouvant causer un préjudice sérieux (ex. : l’accès, la communication ou l’utilisation non autorisée par la Loi d’un renseignement personnel ou encore la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement);

  • conserver un registre des incidents et en fournir une copie à la CAI sur demande.

• Depuis septembre 2023, les membres dans le secteur privé doivent aussi :

  • obtenir un consentement manifeste, libre et éclairé pour la collecte, l’utilisation et le traitement des renseignements personnels;

  • élaborer un cadre de gouvernance en matière de protection des renseignements personnels (notamment, pour la collecte, l’utilisation, la communication, l’accès et la rectification des renseignements personnels);

  • avoir une politique de confidentialité disponible sur leur site Web si des renseignements personnels sont recueillis par un moyen technologique;

  • détruire ou rendre anonymes les renseignements personnels dans certaines circonstances, notamment lorsque les fins pour lesquelles ils ont été recueillis ou utilisés sont accomplies (sous réserve de l’obligation de conserver les dossiers professionnels pendant au moins cinq ans);

  • évaluer les risques en matière de vie privée lors de certaines utilisations ou de communications de renseignements personnels, comme lors d’un projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.