Protégez la confidentialité sur votre site Web pour être en conformité avec la loi 25 du Québec

La nouvelle Loi 25 du Québec a été promulguée le 22 septembre 2021, ses dispositions sont déployées par étapes selon un calendrier s'étalant sur trois ans. Certaines dispositions sont en vigueur depuis septembre 2022, tandis que des articles supplémentaires entreront en vigueur le 22 septembre 2023, et la troisième phase entrera en vigueur à partir de septembre 2024.

L'autorité chargée de la protection des données au Québec, la Commission d'accès à l'information (CAI) du Québec, est l'organisme d'application de la Loi 25.

Selon la Loi 25 du Québec, les « renseignements personnels concernent une personne physique et permettent d'identifier celle-ci. Ils sont confidentiels. Sauf exception, ils ne peuvent être communiqués sans le consentement de la personne concernée. »

Ces données peuvent inclure un large éventail d'informations telles que le nom, l'adresse, le sexe, les numéros d'identification officiels, l'adresse de courriel, un nom d'utilisateur, le mot de passe, les informations financières ou d'autres identifiants en ligne.

La Loi 25 et le projet de loi 64 du Québec ne font qu'un. Dans le système juridique canadien, un projet de loi devient officiellement une loi une fois celui-ci approuvé par le lieutenant-gouverneur. Le Québec a introduit le projet de loi 64 en 2020 et il a été officiellement adopté le 22 septembre 2021 sous le nom de Loi 25.

La Loi sur la protection des renseignements personnels et les documents électroniques ou LPRPDE est une loi fédérale régissant la manière dont les organisations du secteur privé collectent, utilisent et divulguent des renseignements personnels à des fins commerciales.

La Loi 25 du Québec régit la manière dont les organisations publiques et privées traitent les renseignements personnels des résidents du Québec. La loi s'applique aussi bien aux organisations à but non lucratif qu'aux organisations à but lucratif. La Loi 25 est nettement plus complète et plus exigeante dans ses obligations et l'application des droits à la confidentialité des données.

La deuxième phase des modifications réglementaires de la Loi 25 entrera en vigueur le 22 septembre 2023. Les exigences de la nouvelle Loi 25 du Québec sont les suivantes:

• Politiques de protection des renseignements personnels accessibles
• Mise en place de la gouvernance et d'un programme de protection des renseignements personnels
• Nouveaux droits des consommateurs – droit à restreindre le traitement et droit à l'effacement
• Évaluations des facteurs relatifs à la vie privée
• Exigences de consentement améliorées et exceptions au consentement
• Confidentialité par défaut

La Loi 25 exige que les organisations obtiennent un consentement libre et éclairé à la collecte et l'utilisation des renseignements personnels, incluant l'utilisation de dispositifs d'identification en ligne tels que les témoins.

Le consentement doit être obtenu pour une finalité précise et doit constituer une indication claire de l'accord de la personne (c.-à-d. un consentement volontaire). Les demandes de consentement doivent également être fournies séparément de toute autre information, c.-à-d. qu'elles ne peuvent pas être regroupées avec la politique de protection des renseignements personnels ou les conditions d'utilisation du site Internet.

Consentement aux témoins du Québec

En tant qu'éditeur de site Internet, si vous recueillez un consentement pour l'utilisation de témoins, vous êtes tenu de le faire par le biais d'une bannière de consentement et de fournir des informations sur l'objectif de ce recueil, la manière dont les renseignements seront utilisés et partagés, où ils seront stockés et le droit de l'utilisateur à retirer son consentement.

Selon la Loi 25 du Québec, les organisations sont tenues d'informer les personnes si leurs renseignements personnels seront utilisés pour prendre une décision basée uniquement sur un traitement automatisé de ces données. Elles doivent être informées soit lors de la collecte des données, soit avant le début du traitement automatisé.

La personne doit également être informée :

• des renseignements personnels utilisés pour la prise de décision automatisée
• des motifs et des principaux facteurs et paramètres ayant conduit à la décision et
• de son droit à corriger tout renseignement personnel utilisé pour prendre la décision

Selon la Loi 25 du Québec, les personnes disposent du droit de demander à une organisation de cesser de diffuser des renseignements personnels les concernant. Cela inclut la désindexation de tout hyperlien donnant accès aux renseignements de la personne ou la réindexation de tout lien hypertexte donnant accès à ceux-ci (sous réserve que certaines conditions soient remplies).