Loi 25 : EFVP, incidents, accès et portabilité documentés

La Loi 25, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, a introduit la refonte la plus importante de la législation provinciale sur la vie privée au Canada depuis des décennies. Elle est pleinement en vigueur depuis septembre 2023 et la Commission d'accès à l'information (CAI) a commencé ses premières mesures d'application. Elle s'applique aux entreprises qui recueillent des renseignements personnels au Québec, et ses obligations diffèrent sensiblement de celles de la LPRPDE fédérale.

Repères

• Septembre 2023 : pleine entrée en vigueur ; toutes les obligations, dont l'EFVP, la notification des incidents et la portabilité, s'appliquent.
• 30 jours : délai de réponse aux demandes d'accès et de rectification.
• EFVP : évaluation des facteurs relatifs à la vie privée requise avant tout projet impliquant des renseignements personnels et avant toute communication hors Québec.
• CAI : notification des incidents de confidentialité présentant un risque de préjudice sérieux, avec diligence, et registre des incidents.

Ce que la Loi 25 exige

La Loi 25 a introduit certaines des obligations de protection des renseignements personnels les plus strictes au Canada.

1. Désignation d'une personne responsable de la protection des renseignements personnels, dont le titre et les coordonnées sont publiés
2. Évaluation des facteurs relatifs à la vie privée avant tout projet impliquant des renseignements personnels et avant toute communication hors Québec
3. Consentement : collecte, utilisation et retrait documentés ; confidentialité par défaut et collecte limitée à ce qui est nécessaire
4. Incidents de confidentialité : notification à la CAI et aux personnes concernées en cas de risque de préjudice sérieux, registre des incidents
5. Droits des personnes : accès et rectification dans les 30 jours, retrait du consentement, cessation de diffusion
6. Portabilité : renseignements personnels informatisés recueillis auprès de la personne, communiqués dans un format technologique structuré

Ce que Sentrix fournit pour la Loi 25

Évaluation des facteurs relatifs à la vie privée (EFVP)

Sentrix fournit des gabarits d'EFVP bilingues alignés sur les lignes directrices de la CAI, achemine les évaluations aux bons réviseurs, consigne les approbations, suit la remédiation des risques identifiés et conserve chaque évaluation comme preuve d'audit. Une alerte se déclenche lorsqu'un nouveau projet exige une EFVP.

Réponse aux incidents de confidentialité

Flux de notification à la CAI, modèles de lettre aux personnes concernées en français et en anglais, registre des incidents maintenu automatiquement et documentation conservée dans le format que la CAI attend. Une notation de gravité intégrée évalue chaque incident selon les critères de la loi.

Gestion des demandes des personnes concernées

Demandes d'accès, de rectification et de portabilité suivies avec un délai de réponse de 30 jours. Journal des demandes maintenu comme preuve, rappels avant les échéances, documentation des réponses archivée.

Confidentialité par défaut

Sentrix surveille vos pratiques de collecte, signale les intégrations qui recueillent des renseignements personnels non nécessaires et documente vos paramètres de confidentialité par défaut.

Documentation bilingue

Toutes les EFVP, politiques, avis d'incident et dossiers d'audit sont disponibles en français et en anglais, comme l'exigent les organisations québécoises et les organismes publics régis par la loi.

Imputabilité envers la CAI

La CAI dispose de vastes pouvoirs pour enquêter, auditer et sanctionner. Sentrix fournit le référentiel de preuves, les pistes d'audit et les tableaux de bord dont le responsable a besoin pour démontrer l'imputabilité sur demande.

Correspondances

• LPRPDE : correspondance entre les obligations de la Loi 25 et les dix principes fédéraux, pour les organisations assujetties aux deux régimes.
• RGPD : chevauchement important (consentement, EFVP et AIPD, notification des incidents, droits des personnes) pour les organisations qui ont des clients dans l'UE.
• TGV : le domaine PRP de la TGV partage les exigences de la Loi 25 pour les fournisseurs du réseau de la santé.
• HIPAA : classification des incidents pour les organisations de santé actives au Québec et aux États-Unis.
• ISO 27001 : de nombreux contrôles de l'Annexe A répondent aux objectifs de protection des renseignements personnels de la loi.

Aller plus loin

Article : Loi 25, le bilan. Organisme public ou municipalité : solution Secteur public.

Voyez votre conformité à la Loi 25 en temps réel.

Nous contacter