Loi 25 du Québec expliquée : la plus stricte au Canada

La Loi 25 du Québec est la loi sur la vie privée du secteur privé la plus stricte au Canada. Déployée en trois dates d'entrée en vigueur entre septembre 2022 et septembre 2024, elle remplace la LPRPDE fédérale pour les renseignements personnels traités au Québec.

Qu'est-ce que la Loi 25 du Québec?

La Loi 25 est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, un vaste ensemble de modifications apportées à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (RLRQ c P-39.1). Elle est née sous le nom de projet de loi 64 à l'Assemblée nationale et a reçu la sanction royale le 22 septembre 2021.

Plutôt que d'entrer en vigueur d'un seul coup, la Loi 25 a été déployée délibérément sur trois ans afin que les organisations aient le temps de bâtir des programmes de conformité avant l'arrivée des obligations les plus lourdes. Ce déploiement échelonné est l'élément le plus important à comprendre au sujet de la loi, car une exigence qui ne s'applique pas encore dans une section peut déjà être en vigueur dans une autre.

La réforme québécoise s'accompagne d'une refonte parallèle de la Loi sur l'accès aux documents des organismes publics du secteur public, mais cet article porte sur les règles du secteur privé qui touchent les entreprises, les employeurs et les fournisseurs de services.

La Loi 25 s'applique largement. Toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de l'exploitation d'une entreprise au Québec est visée, qu'il s'agisse d'un grand détaillant national, d'une clinique locale, d'un propriétaire ou d'un travailleur autonome avec une liste de clients. La loi elle-même ne prévoit aucun seuil de revenu ni exemption fondée sur le nombre d'employés, ce qui constitue une différence importante par rapport à d'autres cadres de protection de la vie privée qui exemptent les petites entreprises.

Le déploiement en trois phases de la Loi 25

Chaque phase a ajouté une nouvelle couche d'obligations à celles déjà en vigueur. Le tableau ci-dessous résume ce qui est entré en vigueur à chaque date.

22 septembre 2022 : gouvernance et signalement des incidents

La première phase portait sur l'infrastructure de responsabilisation. Chaque organisation visée par la loi du secteur privé devait nommer une personne précise responsable de la protection des renseignements personnels, par défaut le dirigeant le plus haut placé si personne d'autre n'est désigné, et publier le titre et les coordonnées de cette personne sur demande.

En plus de l'exigence relative au responsable de la protection des renseignements personnels, le signalement obligatoire des atteintes a été instauré. Tout « incident de confidentialité » touchant des renseignements personnels, c'est-à-dire un accès non autorisé, une utilisation, une communication ou une perte, qui présente un risque de préjudice sérieux doit être signalé à la CAI et aux personnes concernées, et consigné dans un registre interne des incidents, que le signalement externe soit déclenché ou non.

22 septembre 2023 : consentement, transparence et protection de la vie privée par défaut

La deuxième phase est celle sur laquelle se concentrent la plupart des guides de conformité, car elle touche presque tous les processus destinés aux consommateurs. Le consentement doit désormais être manifeste, libre et éclairé, et donné pour des fins précises; les demandes de consentement doivent être présentées séparément des autres conditions et dans un langage clair et simple. La collecte ou l'utilisation de renseignements personnels sensibles, comme les données de santé, les données biométriques ou les renseignements révélant l'origine ethnique ou l'orientation sexuelle, nécessite désormais un consentement exprès.

Les organisations doivent également publier une politique de confidentialité en termes clairs et simples et intégrer la protection de la vie privée par défaut à toute technologie, tout produit ou tout service qui recueille des renseignements personnels, ce qui signifie que le paramètre de confidentialité le plus élevé s'applique automatiquement à moins que la personne n'en décide autrement. Certains projets impliquant la collecte ou l'utilisation de renseignements personnels, notamment à l'extérieur du Québec ou en lien avec de nouveaux systèmes d'information, exigent désormais une évaluation des facteurs relatifs à la vie privée documentée.

Cette phase a également introduit la version québécoise du droit à la désindexation (parfois appelé droit à l'oubli dans ce contexte), qui permet à une personne de demander que certains renseignements soient désindexés ou que leur diffusion cesse dans des circonstances définies, des obligations de divulgation lorsqu'une décision concernant une personne repose exclusivement sur un traitement automatisé, et l'obligation d'aviser la CAI avant de mettre en service des banques de données d'identification ou de vérification biométriques.

22 septembre 2024 : le droit à la portabilité des données

La dernière phase a accordé aux personnes un droit à la portabilité des données. Sur demande, une organisation doit fournir les renseignements personnels informatisés qu'elle a recueillis auprès de la personne dans un format technologique structuré et couramment utilisé et, lorsque cela est techniquement possible, transmettre directement ces renseignements à une autre organisation désignée par la personne. Il s'agit de la disposition qui a complété le déploiement sur trois ans et c'est celle qui risque le plus d'avoir une incidence sur les systèmes opérationnels à l'avenir, puisqu'elle exige que les organisations puissent exporter les données personnelles dans un format utilisable plutôt que de simplement les supprimer ou les communiquer.

Comment la Loi 25 est appliquée

La Commission d'accès à l'information (CAI) est l'organisme de réglementation de la vie privée du Québec pour les secteurs public et privé. Contrairement au Commissariat fédéral à la protection de la vie privée, qui doit s'adresser à la Cour fédérale pour obtenir des ordonnances contraignantes, la CAI peut imposer directement des sanctions administratives pécuniaires et peut aussi transmettre des dossiers pour poursuite pénale, avec des amendes qui peuvent atteindre des dizaines de millions de dollars ou un pourcentage du chiffre d'affaires mondial pour les plus grandes organisations.

La Loi 25 a également créé un droit d'action civile : une personne dont les droits prévus par la loi sont violés en raison d'une atteinte illicite peut poursuivre, et les tribunaux québécois peuvent accorder des dommages-intérêts punitifs en plus des dommages-intérêts compensatoires. Cette combinaison, un organisme de réglementation bien doté en ressources avec un pouvoir de sanction direct, ainsi qu'un recours civil pour les personnes, explique pourquoi la Loi 25 est constamment décrite comme le régime de protection de la vie privée le plus rigoureux au Canada.

Loi 25 c. LPRPDE : quelle loi s'applique au Québec?

La loi fédérale sur la protection de la vie privée dans le secteur privé, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), continue de s'appliquer partout au pays par défaut. Mais la loi québécoise du secteur privé est reconnue depuis longtemps par le gouvernement fédéral comme étant essentiellement similaire à la LPRPDE, tout comme les lois équivalentes de l'Alberta et de la Colombie-Britannique. Cela signifie que les organisations qui traitent des renseignements personnels entièrement au Québec, dans le cadre d'une activité commerciale, suivent généralement la loi québécoise (telle que modifiée par la Loi 25) plutôt que la LPRPDE.

La LPRPDE ne disparaît pas complètement. Elle continue de régir les renseignements personnels traités par les organisations sous réglementation fédérale (banques, transporteurs aériens, entreprises de télécommunications et autres entreprises et ouvrages fédéraux) qui exercent des activités au Québec, et elle continue de s'appliquer aux flux interprovinciaux et internationaux de renseignements personnels. Pour une comparaison complète des principes de consentement de la LPRPDE et de ses règles de signalement des atteintes, voir Explication de la LPRPDE et le régime provincial parallèle dans la PIPA de l'Alberta et de la C.-B..

Enregistrement, surveillance et la loi québécoise sur la vie privée

La Loi 25 régit la façon dont les organisations recueillent, utilisent et communiquent des renseignements personnels, et non la question distincte de savoir s'il est légal d'enregistrer une conversation. Le droit relatif à l'enregistrement au Québec suit le même cadre fédéral que dans le reste du Canada : le Canada est un pays à consentement d'une seule partie, de sorte qu'une personne partie à une conversation peut l'enregistrer à l'insu de l'autre participant en vertu de l'exception relative à l'écoute électronique du Code criminel.

Ce que la Loi 25 ajoute au Québec, c'est une seconde couche que le droit de l'enregistrement à lui seul n'aborde pas : une fois qu'un enregistrement contient des renseignements personnels sur une personne, la façon dont cet enregistrement est conservé, utilisé ou communiqué par la suite peut déclencher les mêmes obligations de consentement, de transparence et de signalement des atteintes décrites ci-dessus, en plus des délits civils relatifs à la vie privée comme l'atteinte à la vie privée par intrusion. Pour un portrait complet des règles de consentement pour l'enregistrement de conversations partout au Canada, voir Lois sur l'enregistrement au Canada.

Avis : Cet article est fourni à titre informatif général seulement et ne constitue pas un avis juridique. Le droit de la vie privée au Québec et au Canada évolue fréquemment. Consultez un avocat québécois autorisé ou la Commission d'accès à l'information pour obtenir des conseils sur une situation précise.