Loi 25 – protection des renseignements personnels

Les nouvelles obligations de la Loi 25 s’appliquent aux renseignements personnels collectés et utilisés par les ergothérapeutes du secteur public et du secteur privé (ex : travailleurs autonomes, propriétaires ou gestionnaires d’une clinique offrant des services d’ergothérapie). 

Les renseignements présentés ci-après concernent principalement les ergothérapeutes œuvrant dans le secteur privé. Les ergothérapeutes œuvrant dans le secteur public sont pour leur part invités à s’informer auprès de leur employeur afin de connaitre les changements qui les concernent.

Les nouvelles obligations de la Loi 25 entrent en vigueur en trois phases distinctes, à savoir une première phase le 22 septembre 2022, une seconde phase le 22 septembre 2023 et une troisième et dernière phase le 22 septembre 2024.

Vous trouverez ci-dessous un aperçu des nouvelles obligations de la Loi 25. Veuillez consulter le site de la Commission d’accès à l’information afin de connaitre l’ensemble des nouvelles obligations.

 Aperçu des changements qui sont entrés en vigueur le 22 septembre 2022 

•  Responsable de la protection des renseignements personnels
  • Chaque entreprise doit obligatoirement avoir un responsable de la protection des renseignements personnels qui est responsable d’assurer le respect de la Loi sur le secteur privé au sein de l’entreprise;
  • Le titre et les coordonnées du responsable de la protection des renseignements personnels doivent être accessibles au public, sur un site Internet ou par tout autre moyen approprié. 
•  Incident de confidentialité impliquant des renseignements personnels 
  • Une personne qui exploite une entreprise et qui a des motifs de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel qu’elle détient doit prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.
    • Fiche Incident de confidentialité;
    • Schéma du processus qui détermine si une atteinte constitue un événement de sécurité ou un incident de confidentialité.
  • Si l’incident présente un risque qu’un préjudice sérieux soit causé, elle doit, avec diligence, aviser la Commission d’accès à l’information (CAI) ainsi que la personne concernée.
    • Détails pour la transmission d’avis et la tenue d’un registre
  • Elle devra de plus consigner l’incident dans un registre tenu à cette fin et dont copie devra être transmise à la CAI, sur demande.
    • Modèle de registre
  • Les paramètres relatifs aux avis à donner et au registre à tenir sont énoncés dans le Règlement sur les incidents de confidentialité
  • Voir le Schéma sur le traitement d’un incident de confidentialité impliquant un renseignement personnel
•  Biométrie
  • La Loi prévoit un nouveau délai pour divulguer à la Commissionla création d’une banque de caractéristiques ou de mesures biométriques. À compter du 22 septembre 2022, celle-ci devra être divulguée à la Commission au plus tard 60 jours avant sa mise en service;
  • De manière plus générale, il sera également obligatoire après cette date d’aviser la Commission avant d’utiliser toute technique biométrique permettant de vérifier ou de confirmer l’identité d’une personne. Cette technique ne peut être utilisée sans le consentement exprès de la personne.
    
    

Aperçu des changements entrants en vigueur le 22 septembre 2023

D’ici le 22 septembre 2023, les entreprises devront notamment : 

• Établir, mettre en œuvre et publier des politiques et des pratiques encadrant leur gouvernance à l’égard des renseignements personnels (politique de confidentialité, processus de traitement des plaintes, destruction des renseignements personnels, formation du personnel, etc.);
• S’assurer de respecter les nouvelles règles encadrant le consentement des personnes à la collecte, à la communication ou à l’utilisation de leurs renseignements personnels;
• Procéder à une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet visant l’acquisition, le développement ou la refonte de systèmes d’information ou la prestation électronique de services impliquant des renseignements personnels, ou encore lorsque la communication des renseignements personnels à l’extérieur du Québec est envisagée;
• S’assurer de détruire les renseignements personnels détenus par l’entreprise lorsque les fins pour lesquelles ils ont été recueillis ou utilisés sont accomplies (sous réserve de l’obligation de conserver vos dossiers professionnels pendant au moins 5 ans) – ou envisager l’anonymisation;
• Respecter les nouvelles règles de communication des renseignements personnels à l'extérieur du Québec;
• Prévoir, par défaut, les paramètres assurant le plus haut niveau de confidentialité du produit ou du service technologique offert au public;
• Respecter les nouvelles règles relatives à l’obtention du consentement du mineur de moins de 14 ans.
  
  

 Aperçu des changements entrants en vigueur le 22 septembre 2024

•  Droit à la portabilité
  
  

Toute entreprise qui fait défaut de respecter les dispositions applicables en matière de protection des renseignements personnels s’expose à des sanctions administratives pécuniaires   ainsi qu’à une poursuite de la part de la personne lésée.

• Espace évolutif – Modernisation des lois de la Commission à l’accès à l’information;
• Aide mémoire sur les nouvelles responsabilités et obligations des entreprises, les pistes d’action et les bonnes pratiques;
• Guide de conformité pour les entreprises publié par Borden Ladner Gervais LLP;
• Formation destinée aux professionnels offerte par le CIQ 
• Formation destinée aux professionnels offerte par l’Ordre des conseillers en ressources humaines agréés du Québec

Le gouvernement du Québec a de plus publié différents outils en lien avec la Loi 25. Plusieurs de ces outils sont cités dans le présent texte. Bien que la plupart de ces outils s’adressent aux organismes publics et non aux entreprises privées, ils peuvent tout de même s’avérer pertinents pour les entreprises privées puisque les dispositions applicables à ces deux entités sont très similaires. Voir :

• Protection des renseignements personnels;
• Publications.