La Loi 25 modifie la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (LAI), la Loi sur la protection des renseignements personnels dans le secteur privé (LPRP) ainsi que plusieurs autres lois.

Elle oblige les entreprises à mettre en place différentes mesures pour assurer la protection des renseignements personnels. Cette Loi est progressivement entrée en vigueur depuis septembre 2022 et les dernières dispositions entreront en application en septembre 2024. Pour plus d’informations, nous vous référons à notre infolettre de juillet 2022 qui traitait de la Loi 25 et des obligations à mettre en place depuis l’année dernière.

Depuis septembre 2022

Les membres exerçant dans le secteur privé doivent se conformer aux nouvelles exigences en matière de gestion des renseignements personnels. Ainsi, elles et ils doivent :

  • désigner une personne responsable de la protection des renseignements personnels et publier ses coordonnées sur le site Web de l’entreprise;
  • informer les personnes concernées ainsi que la Commission d’accès à l’information (CAI) lors de la survenance d’un incident de confidentialité pouvant causer un préjudice sérieux (ex. : l’accès, la communication ou l’utilisation non autorisée par la Loi d'un renseignement personnel ou encore la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement);
  • conserver un registre des incidents et en fournir une copie à la CAI sur demande.

D’ici septembre 2023

Les obligations suivantes sont notamment à mettre en place :

  • obtenir un consentement manifeste, libre et éclairé pour la collecte, l’utilisation et le traitement des renseignements personnels;
  • élaborer un cadre de gouvernance en matière de protection des renseignements personnels (notamment, pour la collecte, l’utilisation, la communication, l’accès et la rectification des renseignements personnels);
  • avoir une politique de confidentialité disponible sur votre site Web si vous y recueillez, par un moyen technologique, des renseignements personnels;
  • détruire ou rendre anonymes les renseignements personnels dans certaines circonstances, notamment lorsque les fins pour lesquelles ils ont été recueillis ou utilisés sont accomplies (sous réserve de l’obligation de conserver vos dossiers professionnels pendant au moins 5 ans);
  • évaluer les risques en matière de vie privée lors de certaines utilisations ou de communications de renseignements personnels, comme lors d’un projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. Nous vous référons au guide produit par la CAI à ce sujet.

Pour en savoir plus

Une formation est offerte par le Conseil interprofessionnel du Québec pour les membres des ordres professionnels relativement à leurs obligations en vertu de la Loi 25. Cette formation peut être inscrite à votre registre Socrate et comptabilisée dans vos 30 heures de développement professionnel obligatoires, en vertu de la politique de développement professionnel de l’OOAQ.

Nous vous référons à l’espace évolutif sur la Loi 25 de la CAI qui est responsable de l’application de cette nouvelle loi. Vous y trouverez un survol des principales modifications apportées par la Loi ainsi que de nombreux outils s’adressant notamment aux membres qui ont des cliniques privées.

Enfin, pour vous assurer de respecter les nouvelles dispositions en matière de protection des renseignements personnels, il peut être judicieux de consulter des expertes ou experts juridiques ou des spécialistes en technologie de l’information.