La Loi 25 pour les petites entreprises qui utilisent la signature électronique

Ce qu’est la Loi 25

La Loi 25, adoptée en 2021, a apporté des modifications importantes aux lois québécoises sur la protection des renseignements personnels, dont la Loi sur la protection des renseignements personnels dans le secteur privé, qui s’applique aux entreprises. La Commission d’accès à l’information (CAI) en surveille l’application et peut imposer des sanctions administratives pécuniaires pouvant atteindre 2 % du chiffre d’affaires mondial ou 10 millions de dollars.

La taille de l’entreprise ne change rien. Selon la CAI, la définition d’entreprise de la Loi vise notamment l’entreprise individuelle (travailleur autonome), la société par actions et les sociétés de personnes, et une organisation située à l’extérieur du Québec qui traite des renseignements personnels dans le cadre des activités de son entreprise au Québec est aussi assujettie.

1. Désigner le responsable

• Par défaut, la personne ayant la plus haute autorité dans l’entreprise, par exemple son propriétaire ou son dirigeant, exerce la fonction de responsable de la protection des renseignements personnels (article 3.1).
• Elle peut déléguer cette fonction par écrit, en tout ou en partie. La CAI recommande de choisir une personne qui a les compétences requises et un pouvoir décisionnel important, et rappelle que la personne ayant la plus haute autorité demeure imputable.
• Publiez le titre et les coordonnées du responsable sur votre site Web ou, si vous n’en avez pas, rendez-les accessibles par un autre moyen approprié. Vous n’avez pas à en informer la CAI.
• Le responsable approuve vos politiques et pratiques, répond aux demandes d’accès et de rectification dans les 30 jours, et est consulté lors des évaluations des facteurs relatifs à la vie privée et des incidents de confidentialité.

2. Gérer les incidents de confidentialité

• Un incident de confidentialité est l’accès, l’utilisation ou la communication d’un renseignement personnel non autorisés par la loi, ou sa perte ou toute autre atteinte à sa protection (article 3.6). Parmi les exemples de la CAI figure la communication de renseignements personnels au mauvais destinataire, ce qui, dans un outil de signature électronique, peut vouloir dire envoyer une entente à la mauvaise adresse courriel.
• Si vous avez des motifs de croire qu’un incident s’est produit, prenez des mesures raisonnables pour diminuer les risques de préjudice et éviter de nouveaux incidents (article 3.5).
• Si l’incident présente un risque de préjudice sérieux, avisez avec diligence la CAI et les personnes dont les renseignements sont concernés (article 3.5). Pour évaluer ce risque, tenez compte de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu’ils soient utilisés à des fins préjudiciables, et consultez le responsable (article 3.7).
• Tenez un registre de tous les incidents de confidentialité, y compris ceux qui ne présentent pas de risque de préjudice sérieux, et transmettez-en une copie à la CAI sur demande (article 3.8). Selon la CAI, les renseignements du registre doivent être conservés au moins cinq ans après la date où vous avez pris connaissance de l’incident.
• Vous demeurez responsable des incidents touchant des renseignements personnels qu’un tiers, comme un fournisseur de services, conserve pour vous.

3. Évaluer d’abord les risques pour la vie privée

L’évaluation des facteurs relatifs à la vie privée (EFVP) est une analyse structurée des risques qu’un projet pose pour la vie privée des personnes et des moyens de les réduire. Elle doit être proportionnée à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements.

• Avant que des renseignements sortent du Québec. Avant de communiquer un renseignement personnel à l’extérieur du Québec, ou de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de le recueillir, de l’utiliser, de le communiquer ou de le conserver pour vous, réalisez une EFVP qui tient compte de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection (y compris contractuelles) et du régime juridique de l’endroit où il serait communiqué (article 17). La communication doit faire l’objet d’une entente écrite. La CAI précise que l’extérieur du Québec comprend les autres provinces canadiennes, et pas seulement les autres pays.
• Lorsque vous adoptez un nouveau système. L’article 3.3 exige une EFVP pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services impliquant des renseignements personnels, et le responsable doit être consulté dès le début. Parmi les exemples de la CAI figurent les logiciels de collaboration et les dossiers électroniques; considérez donc un nouvel outil de signature électronique comme un projet visé.
• La CAI publie un guide d’accompagnement et un modèle de rapport d’EFVP.

4. Publier une politique de confidentialité

• Si vous recueillez des renseignements personnels par un moyen technologique, publiez sur votre site Web une politique de confidentialité rédigée en termes simples et clairs, et diffusez-la par tout moyen propre à atteindre les personnes concernées (article 8.2).
• Selon la CAI, elle devrait expliquer ce que vous recueillez et pourquoi, les tiers à qui les renseignements pourraient être communiqués, vos mesures de protection, votre recours aux témoins de connexion le cas échéant, les droits et recours des personnes et toute modification de la politique.
• Publiez aussi, séparément, des renseignements détaillés sur vos politiques et pratiques de gouvernance : règles de conservation et de destruction, rôles du personnel et traitement des plaintes relatives à la protection des renseignements personnels (article 3.2). Elles doivent être proportionnées à la nature et à l’importance de vos activités.

5. Demander le consentement correctement

• Lorsque vous recueillez des renseignements personnels, informez les personnes des fins de la collecte, des moyens utilisés, de leurs droits d’accès et de rectification et de leur droit de retirer leur consentement. S’il y a lieu, nommez aussi les tiers ou les catégories de tiers concernés et indiquez la possibilité que les renseignements soient communiqués à l’extérieur du Québec (article 8).
• Le consentement doit être manifeste, libre et éclairé, être donné à des fins spécifiques et être demandé pour chacune de ces fins, en termes simples et clairs. Une demande de consentement écrite doit être présentée distinctement de toute autre information (article 14).
• La CAI demande d’évaluer d’abord la nécessité : ne recueillez que les renseignements personnels nécessaires à vos fins, avant même de demander le consentement. Le simple fait de voir les renseignements d’une pièce d’identité constitue une collecte; ne demandez donc des pièces jointes aux signataires que si vous en avez besoin.

6. Encadrer votre fournisseur par contrat

• Vous pouvez communiquer des renseignements personnels à un fournisseur de services sans consentement lorsque c’est nécessaire au service, mais le contrat doit être écrit et préciser comment le fournisseur protège la confidentialité, n’utilise les renseignements que pour le contrat et ne les conserve pas ensuite (article 18.3).
• Le fournisseur doit aviser sans délai votre responsable de toute violation ou tentative de violation de la confidentialité, et lui permettre d’effectuer des vérifications.