Plusieurs obligations entreront en vigueur le 22 septembre 2023 dans la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) en raison des effets de la Loi modernisant les dispositions législatives en matière de protection des renseignements personnels (L.Q., 2021, c. 25, la Loi 25).
Parmi celles-ci, notons l’obligation pour toute personne qui exploite une entreprise d’effectuer une évaluation des facteurs relatifs à la vie privée de tout projet d’acquisition, de développement et de refonte d’un système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.[1] Mais que signifie cette obligation?
La loi ne définit pas les types de projets impliquant un système d’information ou une prestation électronique de services, de même que le sens à donner aux termes « évaluation des facteurs relatifs à la vie privée ». Par contre, considérant que la loi vise à protéger les personnes, tout projet qui concerne les renseignements personnels nécessitera une évaluation des facteurs relatifs à la vie privée et une consultation auprès du responsable de la protection des renseignements personnels au sein de l’entreprise.
Imaginons le cas où une entreprise veut implanter ou moderniser un système de paie accessible à ses employé.e.s via une plateforme sur Internet. Pour les fins du projet, l’entreprise doit déterminer les renseignements personnels qui seront nécessaires et prendre les mesures de sécurité pour assurer la protection de ces renseignements. La démarche doit être préventive, raisonnable et sécuritaire.
Aussi, les renseignements informatisés recueillis devront être communiqués aux employé.e.s concerné.e.s dans un format technologique structuré et couramment utilisé, par exemple, un logiciel reconnu.
Enfin, la réalisation d’une évaluation des facteurs relatifs à la vie privée doit être proportionnée à la sensibilité des renseignements concernés (ex. : âge, date de naissance, numéros d’assurance sociale, numéros carte de crédit et de débit), à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.[2] Plus les renseignements personnels collectés, utilisés et conservés sont sensibles et nombreux, plus le processus devra être réalisé avec rigueur.
Si vous avez des questions concernant la protection des renseignements personnels, nous vous invitons à communiquer avec les Services juridiques de l’APCHQ aux numéros suivants : 438 315-6888 ou 1 800 468-8160.
Pour en connaître davantage au sujet de la protection des renseignements personnels, vous pouvez consulter les articles suivants :
La protection des renseignements personnels : êtes-vous prêt à faire face à vos obligations?
Quels sont les types de renseignements prévus par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels?
Serez-vous prêt à exercer la fonction de responsable de la protection des renseignements personnels?
Quels sont les critères à respecter avant de collecter un renseignement personnel?
Quelles sont vos obligations lorsqu’un incident de confidentialité présente un risque de préjudice sérieux?
Registre des incidents de confidentialité : quels renseignements doit-il contenir?
Dois-je adopter des politiques et des pratiques en matière de protection des renseignements personnels?
Loi 25 : obligation d’information en matière de renseignements personnels
Loi 25 : consentement et exceptions
Quelles sont les conditions pour communiquer un renseignement personnel sans le consentement de la personne concernée dans le cadre d’un mandat ou contrat?
Loi 25 : la politique de confidentialité
[1] Art. 3.3 de la Loi 25.
[2] Art. 3.3 al. 4 de la Loi 25.
