Le cadre légal
La loi 25, adoptée en 2021, a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Elle est entrée en vigueur par étapes : responsable de la protection des renseignements personnels et notification des incidents en 2022, consentement et transparence en 2023, portabilité en septembre 2024. Au niveau fédéral, la LPRPDE s'applique aux entreprises hors Québec.
Les points clés
| Texte | Loi 25 (Québec) ; LPRPDE au niveau fédéral |
|---|---|
| Autorité | Commission d'accès à l'information du Québec (CAI) |
| Consentement | Doit être manifeste, libre, éclairé et donné à des fins spécifiques ; consentement explicite exigé pour les renseignements sensibles |
| Incidents de confidentialité | Notification obligatoire à la CAI et aux personnes concernées en cas de risque de préjudice sérieux |
| Portabilité | Droit d'obtenir ses renseignements dans un format technologique structuré, depuis septembre 2024 |
| Sanctions | Sanctions administratives pécuniaires et amendes pouvant atteindre 4 % du chiffre d'affaires mondial |
| Décisions automatisées | Obligation d'informer et de permettre une intervention humaine |
| Transparence des algorithmes | Obligation d'informer en cas de décision entièrement automatisée |
| Évaluation des facteurs | Obligatoire avant certains projets impliquant des renseignements personnels |
En pratique
- Adresser une demande écrite au responsable de la protection des renseignements personnels de l'organisation : ses coordonnées doivent être publiées.
- Le délai de réponse est de trente jours.
- En cas de refus, demander une révision à la Commission d'accès à l'information.
- Pour une entreprise hors Québec, la plainte peut relever du Commissariat à la protection de la vie privée du Canada.
- Le responsable de la protection des renseignements personnels doit être identifié publiquement : commencez par lui.
Coût et prise en charge
Gratuit dans la plupart des cas ; des frais raisonnables peuvent être exigés pour la reproduction de documents.
Évolutions récentes
La loi 25 a inspiré les projets de réforme fédéraux et fait du Québec un cas rare en Amérique du Nord : un régime aussi contraignant que le RGPD sur plusieurs points, notamment la portabilité et les décisions automatisées.
Où s'adresser
- Commission d'accès à l'information du Québec.
- Commissariat à la protection de la vie privée du Canada pour les entreprises fédérales.
- Option consommateurs et autres associations pour les recours collectifs.
À savoir
Le droit à la portabilité, entré en vigueur en septembre 2024, permet de récupérer ses données dans un format réutilisable — utile pour quitter un service sans tout perdre.
Sources et liens officiels
- Québec.ca — portail officiel du gouvernement du Québec
- LégisQuébec — lois et règlements en vigueur
- Éducaloi — le droit expliqué en langage clair, organisme sans but lucratif