Conformité à la Loi 25 et à la LPRPDE pour les PME

Quelles entreprises sont visées par la Loi 25 et la LPRPDE

La Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la loi de 2021 qu’on appelle Loi 25, vise toute personne qui recueille, détient, utilise ou communique des renseignements personnels dans l’exploitation d’une entreprise au Québec, quelle que soit sa taille.¹ Une PME de cinq personnes à Gatineau y est soumise, avec des politiques proportionnées à la nature et à l’ampleur de ses activités.

La LPRPDE, la loi fédérale, s’applique aux organisations du secteur privé qui traitent des renseignements personnels dans le cadre d’activités commerciales.⁶ Le Québec, l’Alberta et la Colombie-Britannique ont des lois jugées essentiellement similaires; la LPRPDE y demeure applicable aux entreprises fédérales et aux renseignements qui franchissent une frontière provinciale ou nationale.¹⁰ En Ontario, elle est la loi générale des entreprises privées. Une firme d’Ottawa qui sert des clients de Gatineau peut donc relever des deux régimes.

Les renseignements sur la santé en Ontario suivent leur propre loi, traitée sur notre page LPRPS. Cette page vulgarise les deux lois pour planifier le travail. L’avis juridique sur votre situation et la rédaction juridique de vos politiques relèvent d’un avocat; nous réalisons le volet sécurité et tenons les registres à jour.

Loi 25 en entreprise : les obligations qui touchent vos systèmes

La Loi 25 en entreprise se traduit par quatre obligations concrètes : un responsable désigné et connu du public, des politiques de gouvernance publiées, une évaluation des facteurs relatifs à la vie privée (EFVP) pour certains projets et un registre des incidents de confidentialité.¹ Elles sont entrées en vigueur par étapes, à compter du 22 septembre 2022 pour le responsable et les incidents, puis le 22 septembre 2023, et les dernières en 2024.⁵

• Politiques et pratiques de gouvernance approuvées par le responsable, encadrant la conservation et la destruction, les rôles du personnel et le traitement des plaintes, publiées en termes simples sur le site Web.¹
• EFVP pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui traite des renseignements personnels, en consultant le responsable dès le début.¹
• EFVP et entente écrite avant de communiquer des renseignements à l’extérieur du Québec, y compris à un fournisseur infonuagique ou à un sous-traitant situé ailleurs.¹
• Mesures de sécurité raisonnables selon la sensibilité, la finalité, la quantité, la répartition et le support des renseignements.¹

LPRPDE : dix principes et des mesures de sécurité

La LPRPDE impose dix principes relatifs à l’équité dans le traitement de l’information, énoncés à l’annexe 1 de la Loi : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l’utilisation, de la communication et de la conservation, exactitude, mesures de sécurité, transparence, accès et possibilité de porter plainte.¹⁰

Le principe des mesures de sécurité demande de protéger les renseignements contre la perte, le vol, l’accès, la communication, la copie, l’utilisation ou la modification non autorisés, par des moyens matériels, administratifs et techniques : classeurs verrouillés, accès réservé au personnel qui en a besoin, mots de passe et chiffrement.⁸ Le niveau de protection suit la sensibilité des renseignements; un cabinet dentaire et une quincaillerie n’arrivent donc pas aux mêmes mesures.

Incident de confidentialité et atteinte aux mesures de sécurité : quoi déclarer

Un incident de confidentialité, au sens de la Loi 25, est l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, ou sa perte.¹ L’entreprise prend d’abord des mesures raisonnables pour diminuer le risque de préjudice, évalue le risque avec son responsable et, si le risque de préjudice sérieux est présent, avise avec diligence la Commission d’accès à l’information et les personnes concernées.

L’avis écrit à la Commission contient onze éléments, des renseignements visés aux mesures prises, et le registre des incidents de confidentialité en contient huit, à conserver au moins cinq ans.² La Commission cite en exemple un employé qui consulte un dossier sans autorisation, ou une attaque par hameçonnage ou par rançongiciel.⁴ Du côté fédéral, la LPRPDE exige de déclarer au Commissariat toute atteinte présentant un risque réel de préjudice grave et de consigner chaque atteinte, même mineure.¹¹

Les deux lois demandent des faits que peu de PME ont réunis : quels systèmes contiennent des renseignements personnels, qui y avait accès, depuis quand et combien de personnes sont touchées. Notre travail prépare ces réponses avant l’incident. Si un incident est en cours, commencez par la page réponse aux incidents.

Responsable de la protection des renseignements personnels : qui, et avec quel appui

Le responsable de la protection des renseignements personnels est, par défaut, la personne ayant la plus haute autorité dans l’entreprise; elle peut déléguer la fonction par écrit, en tout ou en partie, et son titre et ses coordonnées doivent être publiés sur le site Web.¹ La Commission recommande de choisir une personne compétente, dotée d’un réel pouvoir décisionnel, et précise que la haute direction demeure imputable.³

Cette fonction reste dans votre entreprise, comme les deux lois le prévoient. Nous lui fournissons les outils du rôle : un inventaire à jour des renseignements personnels, un registre tenu en ordre, la liste datée des mesures de sécurité en place et des réponses claires quand la Commission, le Commissariat, un assureur ou un client pose des questions.

Ce que nous faisons pour votre conformité Loi 25 et LPRPDE

Notre part de la conformité est la protection technique et administrative des renseignements personnels, de l’inventaire à une réponse aux incidents éprouvée. Tout commence par une conversation de 30 minutes et une lettre de mandat qui précise les systèmes visés, les dates et ce que nous avons le droit de toucher.

Ce que votre entreprise a en main à la fin

À la fin du mandat, votre responsable dispose de documents utilisables dès la semaine suivante, rédigés en langage simple, avec une annexe technique pour la personne qui gère votre informatique. Le rapport vous appartient.

• La carte des renseignements personnels : où ils se trouvent et où ils circulent
• Un rapport sur les mesures de sécurité en place et les écarts, avec priorités
• Un registre des incidents de confidentialité prêt à remplir, tenu par votre entreprise
• Un plan de correction avec responsables et dates, et la trace de ce qui a été corrigé
• Une note de points à soumettre à votre avocat : libellé des politiques, consentement, contrats avec les fournisseurs