Certaines modifications à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, apportées par le projet de loi 64, entrent en vigueur le 22 septembre 2022. Un projet de Règlement précisant les exigences de ces nouvelles dispositions a été publié le 29 juin 2022, sujet à 45 jours de consultation, pour entrer en vigueur le 22 septembre 2022.

Ces nouvelles dispositions, inspirées du Règlement européen sur la protection des données (RGPD), peuvent faire l’objet d’amendes de plusieurs millions de dollars et s’appliquent à toute organisation ou personne, établie au Québec ou non, qui exerce une activité économique organisée, commerciale ou non, visant la production ou la réalisation de biens, leur administration ou leur vente, ou la prestation de services.

Voici une liste de contrôle pour que les organisations se préparent à être conformes d’ici le 22 septembre :

1. En ce qui a trait à la gouvernance :

• La personne exerçant la plus haute autorité dans l'organisation devient la personne chargée d'assurer la mise en œuvre et le respect de la loi. Cette personne est-elle prête à s'en charger?
• Si non, une personne a-t-elle été désignée pour qu’on lui délègue tout ou une partie de cette fonction?
• Si oui, la délégation est-elle constatée par écrit?
• Les coordonnées du délégué sont-elles prêtes à être affichées sur le site Web ou rendues publiques autrement?

2. En ce qui a trait à une réponse à un incident de sécurité :

• Un plan de réponse en cas d’incident de sécurité a-t-il été adopté afin d'avoir un processus clair pour promptement :
• Déterminer si un incident qui affecte des renseignements personnels s'est produit?
• Identifier et prendre des mesures raisonnables pour réduire le risque de préjudice et prévenir de nouveaux incidents?
• Évaluer si l’incident présente un risque de préjudice sérieux?
• Un processus a-t-il été mis en place pour :
• Dans le cas où l’incident présente un risque de préjudice sérieux, aviser sans délai la Commission d'accès à l'information (CAI) et toute personne dont les renseignements personnels sont affectés?
• Communiquer les renseignements personnels nécessaires à toute personne ou organisme pouvant réduire le risque de préjudice?
• Enregistrer la communication de ces renseignements?
• Tenir un registre de tous les incidents de sécurité?
• Répondre à une demande de la CAI d'avoir une copie du registre, le cas échéant?
• Une politique a-t-elle été adoptée pour interdire toutes représailles ou menaces de représailles contre un individu pour avoir, de bonne foi, déposé une plainte auprès de la Commission ou coopéré à une enquête de la CAI?
• Le projet de Règlement précise le contenu des avis qui devront être transmis, par écrit, à la CAI et aux personnes dont un renseignement personnel est concerné par un incident à la sécurité. Les entreprises devront être en mesure de fournir, dans l’avis à la CAI, l’information suivante :
• Le nom de l’organisation et, le cas échéant, le numéro d’entreprise du Québec qui lui est attribué;
• Le nom et les coordonnées de la personne à contacter au sein de l’organisation relativement à l’incident;
• Une description des renseignements personnels visés par l’incident, ou, si cette information n’est pas connue, la raison justifiant l’impossibilité de fournir une telle description;
• Une brève description des circonstances de l’incident, et, si elle est connue, sa cause;
• La date ou la période où l’incident a eu lieu, ou, si cette dernière n’est pas connue, une approximation de cette période;
• La date ou la période au cours de laquelle l’organisation a pris connaissance de l’incident;
• Le nombre de personnes concernées par l’incident et, parmi celles-ci, le nombre de personnes qui résident au Québec, ou, s’ils ne sont pas connus, une approximation de ces nombres;
• Une description des éléments qui amènent l’organisation à conclure qu’il existe un risque qu’un préjudice sérieux soit causé aux personnes concernées, tel que la sensibilité des renseignements personnels concernés, les utilisations malveillantes possibles de ces renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables;
• Les mesures que l’organisation a prises, ou entend prendre, afin d’aviser les personnes dont un renseignement personnel est concerné par l’incident, de même que la date où les personnes ont été avisées ou le délai d’exécution envisagé;
• Les mesures que l’organisation a prises, ou entend prendre, à la suite de la survenance de l’incident, notamment celles visant à diminuer les risques qu’un préjudice soit causé ou à atténuer un tel préjudice, et celles visant à éviter que de nouveaux incidents de même nature ne se produisent, de même que le délai dans lequel les mesures ont été prises ou le délai d’exécution envisagé;
• Le cas échéant, une mention précisant qu’une personne ou un organisme situé à l’extérieur du Québec et exerçant des responsabilités semblables à celles de la CAI a été avisé de l’incident.
• L’avis aux personnes concernées devra contenir :
• Une description des renseignements personnels visés par l’incident, ou, si cette information n’est pas connue, la raison justifiant l’impossibilité de fournir une telle description;
• Une brève description des circonstances de l’incident;
• La date ou la période où l’incident a eu lieu, ou, si cette dernière n’est pas connue, une approximation de cette période;
• Une brève description des mesures que l’organisation a prises, ou entend prendre, à la suite de la survenance de l’incident, afin de diminuer les risques qu’un préjudice soit causé;
• Les mesures que l’organisation suggère à la personne concernée de prendre afin de diminuer le risque qu’un préjudice lui soit causé, ou afin d’atténuer un tel préjudice;
• Les coordonnées permettant à la personne concernée de se renseigner davantage relativement à l’incident.
• L’avis peut être donné au moyen d’un avis public dans l’une ou l’autre des circonstances suivantes :
• Lorsque le fait de transmettre l’avis individuellement est susceptible de causer un préjudice accru à la personne concernée;
• Lorsque le fait de transmettre l’avis individuellement est susceptible de représenter une difficulté excessive pour l’organisation;
• Lorsque l’organisation n’a pas les coordonnées de la personne concernée; ou
• Afin d’agir rapidement pour diminuer le risque qu’un préjudice sérieux soit causé ou afin d’atténuer un tel préjudice, en plus de transmettre, « avec diligence », un avis à la personne concernée.
• Quant au registre des incidents de confidentialité, quelle que soit leur gravité, il devra contenir les renseignements suivants qui doivent être tenus à jour et conservés pendant une période minimale de cinq ans après la date ou la période au cours de laquelle l’organisation a pris connaissance de l’incident :
• Une description des renseignements personnels visés par l’incident ou, si cette information n’est pas connue, la raison justifiant l’impossibilité de fournir une telle description;
• Une brève description des circonstances de l’incident;
• La date ou la période où l’incident a eu lieu, ou, si cette dernière n’est pas connue, une approximation de cette période;
• La date ou la période au cours de laquelle l’organisation a pris connaissance de l’incident;
• Le nombre de personnes concernées par l’incident, ou, s’il n’est pas connu, une approximation de ce nombre;
• Une description des éléments qui amènent l’organisation à conclure qu’il existe ou non un risque qu’un préjudice sérieux soit causé aux personnes concernées, tel que la sensibilité des renseignements personnels concernés, les utilisations malveillantes possibles de ces renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu’ils soient utilisés à des fins préjudiciables;
• Si l’incident présente un risque qu’un préjudice sérieux soit causé, les dates de transmission des avis à la CAI et aux personnes concernées, ainsi qu’une mention indiquant si des avis publics ont été donnés et la raison pour laquelle ils l’ont été, le cas échéant;
• Une brève description des mesures prises par l’organisation, à la suite de la survenance de l’incident, afin de diminuer les risques qu’un préjudice soit causé.

3. En ce qui a trait aux transactions commerciales :

• Un modèle d’entente a-t-il été élaboré pour communiquer des renseignements personnels dans le cadre d'une transaction commerciale de façon conforme à la Loi?

Pour les organisations qui communiquent des renseignements personnels sans consentement à des fins d'étude ou de recherche, ou pour la production de statistiques :

• Un modèle et un processus ont-ils été adoptés pour effectuer une évaluation des facteurs relatifs à la vie privée?
• Un processus est-il en place pour obtenir par écrit les détails de la recherche prescrits dans la Loi?

Une plus importante préparation sera nécessaire pour l'essentiel des nouvelles dispositions de la loi québécoise qui entreront en vigueur le 22 septembre 2023. Pour l'instant, chaque tâche applicable dans cette liste de contrôle devrait être complétée d'ici le 22 septembre 2022 pour être conforme à la Loi.

Si vous avez des questions concernant cette nouvelle loi et les changements qui seront requis au sein de votre organisation pour vous y conformer, veuillez communiquer avec Chantal Bernier ou un autre membre du groupe Cybersécurité et protection de la vie privée et des renseignements personnels.