Politique de protection des données — Québec (Loi 25 / LPRPSP / C-11)

La politique de protection des données au Québec est un document organisationnel décrivant comment les renseignements personnels sont recueillis, utilisés, conservés, protégés et partagés. Imposée par la Loi 25 (LPRPSP, modifiée par le projet de loi 64), elle doit être publiée et rendue accessible aux personnes concernées. Elle constitue la pierre angulaire de la conformité à la Loi 25 pour les entreprises québécoises. En vertu de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, RLRQ c P-39.1), toute organisation exerçant ses activités au Québec qui recueille, utilise, communique ou conserve des renseignements personnels doit mettre en place une politique de protection des données. La Loi 25 (modifiée par le projet de loi 64, en vigueur par étapes de 2022 à 2023) a introduit les évaluations des facteurs relatifs à la vie privée (EFVP) obligatoires, des obligations de minimisation des données et la déclaration obligatoire des incidents. La Commission d'accès à l'information (CAI) en surveille le respect. Les art. 35 à 41 du Code civil du Québec (C.c.Q.) consacrent le droit fondamental à la vie privée, et l'art. 5 de la Charte des droits et libertés de la personne (RLRQ c C-12) renforce ces protections au niveau quasi constitutionnel. La Cour supérieure du Québec a compétence sur les recours en application de la loi. L'organisation doit désigner un responsable de la protection des renseignements personnels dont le nom et les coordonnées sont publiés. L'art. 37 C.c.Q. accorde aussi à la personne le droit d'accéder à ses renseignements personnels et de les faire rectifier.

Une politique de protection des données est obligatoire pour toutes les organisations du secteur privé québécois qui collectent, utilisent ou communiquent des renseignements personnels sur des individus. La Loi 25 exige qu'elle soit publiée et accessible. Elle doit être révisée et mise à jour régulièrement.

Les éléments essentiels comprennent : l'identification du responsable de la protection des renseignements personnels, les types de renseignements recueillis, les fins de la collecte, le fondement légal, les durées de conservation, les mesures de sécurité, les règles de transfert hors Québec, les droits de la personne (accès, rectification, suppression), la procédure de plainte, la politique relative aux témoins (cookies) pour les sites Web, et les renvois à la Loi 25 et à la CAI.

Une politique de protection des données québécoise doit couvrir : la désignation du responsable et ses coordonnées; les catégories de renseignements recueillis et les fins; le fondement légal de la collecte sous la Loi 25; les calendriers de conservation; les procédures de partage avec des tiers et de transfert hors Québec; les mesures de sécurité; les droits de la personne concernée (accès, rectification, portabilité, suppression, retrait du consentement) prévus aux art. 37 à 40 de la Loi 25; les procédures de réponse aux incidents de confidentialité (art. 3.5 de la Loi 25); le processus d'EFVP; et le traitement des plaintes devant la CAI. La politique doit être publiée dans un langage clair et accessible à toutes les personnes concernées. La CAI peut ordonner la modification d'une politique non conforme. Forms-legal.com fournit ce modèle de politique de protection des données conforme au droit québécois comme point de départ. L'art. 37 C.c.Q. accorde à la personne le droit d'accéder à ses renseignements personnels et de les faire rectifier. En vertu de l'art. 3.5 de la Loi 25, la déclaration d'un incident de confidentialité à la CAI doit être faite dans un délai de 72 heures. En vertu de l'art. 3.3 de la Loi 25, l'organisation doit réaliser une EFVP avant d'acquérir ou de développer tout système d'information mettant en cause des renseignements personnels. La Cour supérieure du Québec tranche les recours civils en atteinte à la vie privée. La consultation d'un avocat québécois spécialisé en protection des renseignements personnels est conseillée pour les arrangements de gouvernance complexes.