Loi 25 (Québec)
| Autre(s) nom(s) | Projet de loi 64 |
|---|
| Titre | Loi modernisant des dispositions législatives en matière de protection des renseignements personnels |
|---|---|
| Référence | RLRQ, chapitre 25 des lois de 2021 |
| Pays |
.svg.png){kind=small} Canada |
| Province | Québec |
| Langue(s) officielle(s) | français |
| Type | Loi provinciale |
| Législature | 42e législature du Québec |
|---|---|
| Gouvernement | Gouvernement Legault |
| Adoption | |
| Sanction | |
| Entrée en vigueur | échelonnée — , et |
| Modifications | Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels ; Loi sur la protection des renseignements personnels dans le secteur privé |
Lire en ligne
La Loi 25, officiellement intitulée Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, est une loi provinciale québécoise sanctionnée le 22 septembre 2021. Anciennement connue sous le nom de projet de loi 64, elle modernise le cadre de protection des renseignements personnels applicable aux entreprises privées et aux organismes publics du Québec[1],[2].
L'entrée en vigueur de la loi s'échelonne sur trois ans, de 2022 à 2024. Elle porte notamment sur la nomination obligatoire d'un responsable de la protection des renseignements personnels, la notification des incidents de confidentialité à la Commission d'accès à l'information du Québec (CAI), l'encadrement des décisions automatisées et l'évaluation préalable des transferts de renseignements personnels hors du Québec[2],[3].
Contexte
Avant l'adoption de la Loi 25, la protection des renseignements personnels au Québec était encadrée principalement par la Loi sur la protection des renseignements personnels dans le secteur privé (1993), aussi appelée « Loi sur le secteur privé », et par la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (1982), aussi appelée « Loi sur l'accès » ou « LAI »[1].
Le projet de loi 64 est déposé à l'Assemblée nationale du Québec le 12 juin 2020 par la ministre Sonia LeBel, alors responsable de l'Accès à l'information et de la Réforme des institutions démocratiques. Il est adopté le 21 septembre 2021 et sanctionné le lendemain[4],[5].
Principales dispositions
Gouvernance et responsable de la protection des renseignements personnels
L'article 3.1 de la Loi sur le secteur privé, tel que modifié, oblige toute entreprise à établir et à mettre en œuvre des politiques et pratiques encadrant la gouvernance des renseignements personnels. L'article 63 impose la désignation, par défaut, de la personne ayant la plus haute autorité de l'entreprise comme « responsable de la protection des renseignements personnels », et la publication de ses coordonnées[1],[2].
Évaluation des facteurs relatifs à la vie privée
L'article 3.3 introduit l'obligation de réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) avant toute acquisition, tout développement ou toute refonte d'un système d'information ou de prestation électronique de services impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels[1],[2].
Consentement
Le consentement requis pour la collecte, l'utilisation ou la communication de renseignements personnels doit être manifeste, libre et éclairé, et être donné à des fins spécifiques (article 14)[1].
Décisions automatisées
L'article 12.1, entré en vigueur le 22 septembre 2023, impose à toute entreprise qui prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels d'en informer la personne concernée et de lui donner la possibilité de présenter ses observations à un membre du personnel. Sur demande, l'entreprise doit communiquer à la personne les renseignements personnels utilisés ainsi que les principaux facteurs ayant mené à la décision[1],[6].
Renseignements biométriques
Les dispositions sur les renseignements biométriques ont été renforcées : déclaration préalable à la Commission d'accès à l'information de toute banque de caractéristiques biométriques, et obligations d'information aux personnes concernées[7].
Transferts hors Québec
L'article 17 impose une analyse documentée avant tout transfert de renseignements personnels hors du Québec[1],[2].
Incidents de confidentialité
Les articles 3.5 à 3.8 introduisent un régime de notification et de tenue de registre des incidents de confidentialité. Toute entreprise doit consigner les incidents au registre, et notifier la Commission d'accès à l'information ainsi que les personnes concernées en cas de risque de préjudice sérieux[8].
Droits des personnes concernées
La loi consacre ou renforce plusieurs droits pour les personnes concernées : droit d'accès, droit de rectification, droit au retrait du consentement, droit à la portabilité (article 27, entré en vigueur le 22 septembre 2024) et droit à la désindexation[1],[2].
Calendrier d'entrée en vigueur
La loi prévoit une entrée en vigueur échelonnée[2] :
- 22 septembre 2022 : nomination du responsable, notification des incidents, encadrement des renseignements biométriques.
- 22 septembre 2023 : majorité des dispositions, dont les obligations sur le consentement, la transparence des décisions automatisées (art. 12.1), les transferts hors Québec, les sanctions administratives et pénales.
- 22 septembre 2024 : droit à la portabilité (article 27).
Sanctions
La loi prévoit des sanctions administratives pécuniaires imposables par la Commission d'accès à l'information, ainsi que des sanctions pénales sur poursuite et après condamnation. Depuis le 22 septembre 2023, un droit privé d'action permet à une personne dont les droits ont été lésés en raison d'une atteinte intentionnelle ou d'une faute lourde d'obtenir des dommages punitifs[1],[2].
Mise en application
La Commission d'accès à l'information du Québec est l'autorité responsable de la surveillance et de l'application de la Loi 25. Ses rapports annuels de gestion détaillent l'activité de la Commission en matière de plaintes, d'enquêtes, de notifications d'incidents et de décisions[9].
Notes et références
- « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, RLRQ chapitre 25 des lois de 2021 », sur LégisQuébec, Gouvernement du Québec (consulté le )
- « Principaux changements apportés par la Loi 25 », sur Commission d'accès à l'information du Québec (consulté le )
- ↑ « Protection des renseignements personnels », sur Gouvernement du Québec (consulté le )
- ↑ « Projet de loi n° 64 — Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », sur Assemblée nationale du Québec (consulté le )
- ↑ « À propos des nouvelles dispositions législatives en matière de protection des renseignements personnels », sur Gouvernement du Québec (consulté le )
- ↑ « Accès et protection des renseignements personnels — décisions fondées sur un traitement automatisé », sur Commission d'accès à l'information du Québec (consulté le )
- ↑ « Biométrie », sur Commission d'accès à l'information du Québec (consulté le )
- ↑ « Incidents de confidentialité et mesures de sécurité — Entreprises », sur Commission d'accès à l'information du Québec (consulté le )
- ↑ « Rapports annuels de gestion », sur Commission d'accès à l'information du Québec (consulté le )
Voir aussi
Articles connexes
- Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels
- Commission d'accès à l'information du Québec
- Règlement général sur la protection des données
- Loi sur la protection des renseignements personnels et les documents électroniques
- Décision automatisée
Liens externes
- « Texte officiel — LégisQuébec », sur Gouvernement du Québec
- « Principaux changements apportés par la Loi 25 », sur Commission d'accès à l'information du Québec
- « Protection des renseignements personnels », sur Gouvernement du Québec
.svg.png)
Portail du Québec 
Portail du droit