Loi 25 : ce que votre courriel et vos fichiers ont à y voir

Où sont vos renseignements personnels

Listes de membres, dossiers d’employés, courriels de clients, formulaires numérisés : dans la plupart des organismes, ils vivent dans le courriel et le partage de fichiers. Savoir ce qui s’y trouve est le point de départ de presque toutes les obligations.

Ce que la loi demande

La Loi 25 a modifié la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur par étapes :

• Depuis septembre 2022 : une personne responsable de la protection des renseignements personnels, et un registre des incidents de confidentialité, avec avis à la Commission d’accès à l’information et aux personnes touchées quand un incident présente un risque de préjudice sérieux.
• Depuis septembre 2023 : des politiques et une politique de confidentialité publiée, une évaluation des facteurs relatifs à la vie privée avant d’acquérir ou de refondre un système d’information, et une évaluation avant de communiquer des renseignements à l’extérieur du Québec.
• Depuis septembre 2024 : le droit d’une personne d’obtenir ses renseignements dans un format technologique structuré et couramment utilisé.

Où l’hébergement entre en jeu

Quand vos courriels et vos fichiers sont hébergés hors du Québec, la loi vous demande d’évaluer cette communication : la sensibilité des renseignements, la fin poursuivie, les mesures de protection et le régime juridique de l’endroit où ils vont. Un hébergement au Québec, chez un fournisseur que vous connaissez, rend cette évaluation plus simple à mener et à documenter.

Par où commencer

1. Désignez la personne responsable et publiez ses coordonnées.
2. Faites la liste des endroits où vivent vos renseignements personnels : courriel, fichiers, sauvegardes.
3. Pour chacun, notez le pays d’hébergement et la société qui l’exploite.
4. Ouvrez un registre des incidents, même vide.

À retenir

Cet article résume des obligations pour vous aider à vous situer. Ce n’est pas un avis juridique : pour votre situation précise, consultez la Commission d’accès à l’information ou un professionnel du droit.