Avis de confidentialité pour les employés — Québec (Loi 25)

En vertu de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c P-39.1) telle que modifiée par la Loi 25, les employeurs québécois ne peuvent collecter que les renseignements personnels nécessaires à la gestion de la relation d'emploi. Le principe de minimisation des données (nécessité) est central — les employeurs ne peuvent collecter des renseignements au-delà de ce qui est nécessaire. Les catégories de renseignements personnels généralement légitimes comprennent : les renseignements d'identification (nom, NAS, adresse, date de naissance), les renseignements liés à l'emploi (poste, salaire, dossiers de rendement, dossiers disciplinaires), les renseignements de paie et d'avantages sociaux (coordonnées bancaires, inscription aux avantages), les contacts d'urgence, les renseignements médicaux limités à ce qui est nécessaire pour les accommodements ou l'administration des avantages, et les dossiers de formation et de qualifications. Les renseignements personnels sensibles — définis par la Loi 25 comme incluant les données de santé et biométriques — requièrent un consentement explicite et des mesures de sécurité renforcées. Les employeurs ne peuvent exiger des renseignements relatifs aux motifs protégés par la Charte québécoise (casier judiciaire avec pardon, religion, opinions politiques, etc.) sauf s'ils sont directement pertinents à une exigence professionnelle justifiée. La collecte de données biométriques des employés (empreintes digitales, reconnaissance faciale pour la présence) nécessite une évaluation des facteurs relatifs à la vie privée (EFVP) et une notification à la Commission d'accès à l'information (CAI) avant la mise en œuvre.

En vertu de la Loi 25 du Québec et de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c P-39.1), les employés disposent de plusieurs droits importants. Le droit d'accès (art. 27) : les employés peuvent demander l'accès à tous les renseignements personnels détenus à leur sujet par l'employeur et en recevoir une copie dans les 30 jours suivant la demande, dans un format technologique couramment utilisé. Le droit à la rectification (art. 28) : les employés peuvent demander que les renseignements personnels inexacts, incomplets ou équivoques soient corrigés ou mis à jour. Le droit à la désindexation (art. 28.1) : les employés peuvent, dans certaines circonstances, demander la désindexation de tout hyperlien donnant accès à leurs renseignements personnels si leur divulgation leur cause un préjudice sérieux. Le droit à la portabilité (art. 27.1) : les employés peuvent demander que leurs renseignements personnels soient communiqués à un tiers (tel qu'un nouvel employeur) dans un format technologique structuré et couramment utilisé, lorsque techniquement réalisable. Le droit de retirer son consentement : lorsque l'employeur se fonde sur le consentement comme base juridique du traitement, les employés peuvent le retirer en tout temps, sous réserve des conséquences légales pour la relation d'emploi. Le droit de porter plainte : les employés peuvent déposer une plainte auprès de la Commission d'accès à l'information (CAI) s'ils estiment que l'employeur a violé leurs droits à la vie privée.

Un employeur québécois ne peut communiquer des renseignements personnels d'employés à des tiers que dans des circonstances définies en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c P-39.1, Loi 25). La communication exige : (1) le consentement de l'employé — généralement requis pour les communications à des tiers sans lien avec la relation d'emploi ; (2) une autorisation législative — obligations légales de communication (p. ex., autorités fiscales, CNESST, tribunaux par ordonnance) ; (3) des prestataires de services légitimes — la communication à des prestataires de services tiers (traiteurs de paie, administrateurs d'avantages sociaux, fournisseurs d'infonuagique) est permise sans consentement si le prestataire est lié par un accord écrit l'obligeant à assurer le même niveau de protection que l'employeur et à n'utiliser les renseignements que pour le service contracté ; (4) des transferts d'entreprise — la communication dans le cadre d'une acquisition ou fusion d'entreprise, sous réserve de conditions strictes incluant une notification préalable et la conclusion d'un accord de confidentialité. Pour les communications hors Québec (vers d'autres provinces ou pays), la Loi 25 exige une évaluation des facteurs relatifs à la vie privée (EFVP) pour confirmer que la juridiction destinataire offre un niveau de protection adéquat, ou des garanties contractuelles suffisantes. L'employeur doit documenter toutes les communications à des tiers et être en mesure de démontrer sa conformité.

Le non-respect de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c P-39.1) telle que modifiée par la Loi 25 expose les employeurs à des conséquences importantes. Sanctions administratives : la Commission d'accès à l'information (CAI) peut imposer des sanctions pécuniaires administratives allant jusqu'à 10 millions de dollars CA ou 2 % du chiffre d'affaires mondial de l'entreprise, selon le montant le plus élevé, pour les violations moins graves. Amendes pénales : pour les violations plus graves — comme l'utilisation de renseignements personnels contrairement à la finalité déclarée, le défaut de signaler un incident de confidentialité, ou le fait d'empêcher l'accès aux renseignements personnels — la Loi prévoit des amendes allant jusqu'à 25 millions de dollars CA ou 4 % du chiffre d'affaires mondial. Responsabilité civile individuelle : en vertu de l'art. 35 C.c.Q. et de l'art. 49 de la Charte québécoise, un employé dont les droits à la vie privée sont violés peut poursuivre l'employeur en dommages-intérêts compensatoires et punitifs. Signalement des incidents : les employeurs doivent aviser la CAI et les personnes concernées de tout incident de confidentialité comportant un risque de préjudice sérieux — le défaut de signalement constitue lui-même une infraction pénale. Les employeurs devraient effectuer des audits de confidentialité réguliers et maintenir un cadre de gouvernance documenté pour démontrer leur reddition de comptes.

A Privacy Notice for Employees (Quebec) does not legally require a lawyer in Quebec, and individuals and businesses may draft and execute the document independently. The Civil Code of Québec (CCQ), Book Five: Obligations does not mandate legal representation for the creation or signing of this type of document. However, seeking independent legal advice from a qualified Quebec lawyer is recommended for transactions involving substantial financial value, complex regulatory requirements, or cross-border elements where multiple legal jurisdictions may apply. A lawyer can verify that the document complies with all applicable statutory requirements, identify potential risks specific to the transaction, and confirm that the terms adequately protect the interests of all parties involved. The Superior Court of Québec has jurisdiction over disputes arising from this type of document, and Registraire des entreprises du Québec may impose additional compliance obligations depending on the nature of the underlying transaction. Professional legal review is particularly advisable where the document will be submitted to government agencies or used as evidence in legal proceedings.