Conformité à la Loi 25 du Québec avec ConsentX

Qui doit s'y conformer

La Loi 25 s'applique aux organisations qui traitent des renseignements personnels au Québec. Le cadre du secteur privé s'applique aux personnes qui exploitent une entreprise, tandis que des dispositions distinctes s'appliquent aux organismes publics québécois. La loi peut donc toucher les entreprises qui recueillent ou traitent des renseignements personnels de personnes au Québec, selon leurs activités et le cadre juridique applicable.

Sanctions

La Loi 25 a introduit des sanctions administratives et pénales importantes en cas de non-conformité. Pour les organisations du secteur privé, les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé, dans les cas visés par la loi. Certaines sanctions pénales peuvent également atteindre des montants plus élevés selon la violation et les circonstances.

Obligations clés

• Désigner une personne responsable de la protection des renseignements personnels et rendre ses coordonnées accessibles
• Établir et publier des politiques et pratiques de confidentialité en termes simples et clairs
• Déterminer les fins de la collecte avant de recueillir des renseignements personnels
• Ne recueillir que les renseignements nécessaires aux fins déterminées
• Fournir aux personnes une information claire sur la manière dont leurs renseignements personnels sont recueillis et utilisés
• Obtenir un consentement clair, libre, éclairé et spécifique lorsque le consentement est requis
• Obtenir un consentement exprès pour les renseignements personnels sensibles lorsque cela est exigé
• Assurer une transparence supplémentaire lorsqu'une technologie est utilisée pour identifier, localiser ou profiler une personne
• Réaliser des évaluations des facteurs relatifs à la vie privée (EFVP) pour les projets visés impliquant des renseignements personnels
• Réaliser une EFVP avant de communiquer des renseignements personnels hors du Québec
• Tenir un registre des incidents de confidentialité
• Aviser les personnes concernées et la CAI lorsqu'un incident de confidentialité présente un risque de préjudice sérieux, lorsque cela est exigé
• Mettre en place des mesures de sécurité appropriées selon la sensibilité des renseignements personnels
• Respecter les droits des personnes, notamment l'accès, la rectification et les autres droits applicables en matière de vie privée
• Établir des pratiques de conservation et de destruction des renseignements personnels
• Appliquer des garanties appropriées lors du recours à des prestataires de services ou de la communication de renseignements hors du Québec
• Respecter les exigences supplémentaires concernant le profilage et la prise de décision automatisée

Ces obligations découlent de la législation québécoise sur la protection des renseignements personnels dans le secteur privé et des orientations de la CAI sur la Loi 25.