Loi 25 : Comment cette nouvelle loi va impacter votre entreprise?

Nous assistons au cours des dernières années à un virage des entreprises vers « le citoyen corporatif parfait ». On voit se déployer sur le web et dans les médias une panoplie d’actions prises par les organisations afin de mettre de l’avant leurs efforts à contribuer activement à l’avancement social et à la collectivité. Des dons, du bénévolat et des actions communautaires sont faits par plusieurs afin d’ajouter leur grain de sel au bien-être de la société et de la communauté.

Maintenant incorporé dans les stratégies de rétention et d’attractivité de talents, les entreprises sont prêtes à miser gros sur la philosophie du citoyen parfait. C’est une évidence surtout quand le rapport intitulé Bénéfices, objectifs et employés qualifiés : tendances et motivations relatives aux dons et au bénévolat des entreprises en 2019 démontraient que 84% des employés qui pensent que leur entreprise est fortement engagée dans la collectivité sont extrêmement ou très satisfaits de leur emploi. Il y a donc un impact direct entre le citoyen corporatif et l’appartenance des employés à une entreprise.

Toutefois, tout n’est pas rose dans le monde des citoyens corporatifs. L’authenticité est devenue un facteur primordial à l’adhésion et à la loyauté d’une marque. Les employés sont de plus en plus sensibles aux actions vides de sens, aux actions faites plus dans une optique de relation publique que pour répondre aux valeurs de l’entreprise.

Le citoyen corporatif numérique dans tout ça ?

Transposons les actions prises par les entreprises pour devenir un bon citoyen corporatif et numérique. Pendant que plusieurs organisations veulent redorer leur image en proposant d’actions civiles, beaucoup de ces mêmes entreprises ne sont pas en mesure de respecter le minimum requis par la loi 25, loi québécoise qui apporte des changements à la manière de comment les entreprises doivent traiter les informations personnelles récolter dans leur processus d’affaires.

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, anciennement Projet de loi n° 64) a été adoptée le 21 septembre 2021 et sanctionnée le 22 septembre.

Il est prévu que les nouvelles dispositions de la Loi sur l’accès entreront en vigueur dans les deux (2) ans de la sanction de la Loi 25, soit le 22 septembre 2023, à l’exception des dispositions suivantes :

Entrée en vigueur dès le 22 septembre 2022 :

• Responsable de l’accès aux documents et responsable de la protection des renseignements personnels;
• CAIPRP;
• Responsabilité des organismes publics;
• Incidents de confidentialité;
• Communications à des fins d’étude, de recherche ou de production de statistiques.

Ce que la loi 25 change pour vous ?

Parmi les dispositions modernisant la Loi sur l’accès, plusieurs concordent avec les modifications apportées à la Loi sur la protection des renseignements personnels dans le secteur privé. Il en va ainsi, notamment :

• de la définition de renseignement personnel (art. 54) ou de ce qu’il convient d’entendre par renseignements personnels sensibles (art. 59 al. 3), dépersonnalisés (art. 65.1) ou anonymisés (art. 73);
• du consentement (art. 53.1) et des informations qu’un organisme public doit transmettre, par exemple, en ce qui a trait,
• au nom des tiers qui recueillent les renseignements personnels en son nom, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements personnels recueillis (art. 65);
• à la possibilité que les renseignements personnels recueillis soient communiqués à l’extérieur du Québec (art. 65);
• aux fonctions permettant d’identifier la personne concernée, de la localiser ou d’effectuer un profilage de celle-ci (art. 65.0.1);
• au fait qu’une décision rendue à l’endroit de la personne concernée soit fondée exclusivement sur un traitement automatisé de ses renseignements personnels (art. 65.2);
• de l’obligation de s’assurer que, lorsqu’un organisme public recueille des renseignements personnels en offrant au public un produit ou un service technologique disposant de paramètres de confidentialité, ce dernier assure, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée (art. 63.6.1);
• de l’obligation de déclarer les incidents de confidentialité impliquant les renseignements personnels détenus par un organisme public qui présentent un risque qu’un préjudice sérieux soit causé (art. 63.7);
• du droit à la portabilité (art. 84);
• de la communication afin d’aider le demandeur dans son processus de deuil (art. 88.0.1);
• de l’octroi de dommages-intérêts punitifs d’au moins 1 000 $ lorsqu’une atteinte illicite à un droit cause un préjudice et que cette atteinte est intentionnelle ou résulte d’une faute lourde (art. 167).