Dans notre publication du 12 octobre 2021<\/a>, nous faisions \u00e9tat de la sanction du projet de loi 64, intitul\u00e9 Loi modernisant les dispositions l\u00e9gislatives en mati\u00e8re de protection des renseignements personnels<\/em> du Qu\u00e9bec. Comme nous l\u2019indiquions \u00e0 ce moment, la majeure partie des modifications entrera en vigueur le 22 septembre 2023. Il y a toutefois plusieurs dispositions qui entrent en vigueur d\u00e8s le 22 septembre 2022<\/strong>.<\/p>\n Certaines de ces modifications sont moins critiques, incluant des changements au niveau du fonctionnement et des pouvoirs de la Commission d\u2019acc\u00e8s \u00e0 l\u2019information (la \u00ab\u00a0Commission\u00a0\u00bb), qui est l\u2019organe de r\u00e9gulation charg\u00e9 de l\u2019application des diverses lois sur la protection des renseignements personnels au Qu\u00e9bec.<\/p>\n Le pr\u00e9sent bulletin souligne quatre changements d\u2019importance qui auront un impact sur les entreprises priv\u00e9es faisant affaires au Qu\u00e9bec, lesquels sont en vigueur d\u00e8s le 22 septembre 2022.<\/p>\n La personne ayant la plus haute autorit\u00e9 doit veiller \u00e0 assurer le respect et la mise en \u0153uvre de la Loi sur les protections des renseignements personnels dans le secteur priv\u00e9<\/em>.<\/p>\n Cette personne exerce la fonction de responsable de la protection des renseignements personnels, \u00e0 moins qu\u2019elle d\u00e9l\u00e8gue cette fonction par \u00e9crit, en tout ou en partie, \u00e0 toute autre personne. Cette personne n\u2019a pas \u00e0 \u00eatre un membre du personnel de l\u2019entreprise.<\/p>\n Par ailleurs, le titre et les coordonn\u00e9es de la personne responsable de la protection des renseignements personnels doivent \u00eatre publi\u00e9s sur le site Internet de l\u2019entreprise ou si elle n\u2019a pas de tel site, rendus accessibles par tout autre moyen appropri\u00e9.<\/p>\n Les nouvelles dispositions portant sur les incidents de confidentialit\u00e9 entrent \u00e9galement en vigueur le 22 septembre 2022. Il existe d\u00e9j\u00e0 des dispositions au m\u00eame effet dans la loi f\u00e9d\u00e9rale portant sur la protection des renseignements personnels et dans la loi de l\u2019Alberta sur la protection des renseignements personnels. Les dispositions qu\u00e9b\u00e9coises sont similaires, sans toutefois \u00eatre identiques aux dispositions f\u00e9d\u00e9rales (dans la loi f\u00e9d\u00e9rale, l\u2019expression consacr\u00e9e est \u00ab\u00a0atteinte aux mesures de s\u00e9curit\u00e9\u00a0\u00bb).<\/p>\n Un incident de confidentialit\u00e9 signifie l\u2019acc\u00e8s non autoris\u00e9, l\u2019utilisation non autoris\u00e9e ou la communication non autoris\u00e9e d\u2019un renseignement personnel. Un incident de confidentialit\u00e9 inclut \u00e9galement la perte d\u2019un renseignement personnel ou toute autre atteinte \u00e0 la protection d\u2019un tel renseignement.<\/p>\n Une personne qui exploite une entreprise et qui a des motifs de croire que s\u2019est produit un incident de confidentialit\u00e9 impliquant un renseignement personnel qu\u2019elle d\u00e9tient doit prendre des mesures \u00ab\u00a0raisonnables\u00a0\u00bb pour diminuer les risques qu\u2019un pr\u00e9judice soit caus\u00e9 et \u00e9viter que de nouveaux incidents du m\u00eame genre ne se produise.<\/p>\n Au surplus, dans un tel cas, si l\u2019incident pr\u00e9sente un \u00ab\u00a0risque qu\u2019un pr\u00e9judice s\u00e9rieux soit caus\u00e9\u00a0\u00bb, l\u2019entreprise ayant subi l\u2019incident\u00a0:<\/p>\n Alors que la loi f\u00e9d\u00e9rale r\u00e9f\u00e8re \u00e0 un \u00ab\u00a0risque r\u00e9el de pr\u00e9judice grave\u00a0\u00bb, la loi qu\u00e9b\u00e9coise pr\u00e9voit plut\u00f4t le concept de \u00ab\u00a0risque qu\u2019un pr\u00e9judice soit caus\u00e9\u00a0\u00bb. Pour \u00e9valuer un tel risque, il est n\u00e9cessaire de consid\u00e9rer notamment la sensibilit\u00e9 du renseignement, les cons\u00e9quences appr\u00e9hend\u00e9es de son utilisation et la probabilit\u00e9 qu\u2019il soit utilis\u00e9 \u00e0 des fins pr\u00e9judiciables.<\/p>\n Si un incident de confidentialit\u00e9 ne pr\u00e9sente pas un risque qu\u2019un risque s\u00e9rieux ne soit caus\u00e9, il demeure n\u00e9anmoins obligatoire pour l\u2019entreprise de l\u2019inscrire dans un registre des incidents de confidentialit\u00e9, lequel peut \u00eatre consult\u00e9 par la Commission.<\/p>\n Le 29 juin 2022, le gouvernement du Qu\u00e9bec a publi\u00e9 un projet de R\u00e8glement sur les incidents de confidentialit\u00e9<\/em>. \u00c0 la date du pr\u00e9sent bulletin, la version d\u00e9finitive n\u2019a toujours pas \u00e9t\u00e9 publi\u00e9e.<\/p>\n Ce r\u00e8glement pr\u00e9voit le contenu de ce qui suit en cas d\u2019incident de confidentialit\u00e9\u00a0:<\/p>\n Les modalit\u00e9s de ce projet de r\u00e8glement ressemblent beaucoup \u00e0 celles pr\u00e9vues en vertu de la loi f\u00e9d\u00e9rale, mais il existe n\u00e9anmoins certaines diff\u00e9rences. Par voie de cons\u00e9quence, si un incident de confidentialit\u00e9 se produit, il sera alors n\u00e9cessaire de faire les distinctions qui s\u2019imposent entre les obligations qu\u00e9b\u00e9coises et les obligations f\u00e9d\u00e9rales.<\/p>\n Il y a \u00e9galement lieu de garder \u00e0 l\u2019esprit que la Commission pourra, lorsqu\u2019un incident de confidentialit\u00e9 sera apport\u00e9 \u00e0 son attention, ordonner \u00e0 toute personne, apr\u00e8s lui avoir fourni l\u2019occasion de pr\u00e9senter ses observations, l\u2019application de toute mesure qu\u2019elle juge n\u00e9cessaire pour prot\u00e9ger les droits des personnes concern\u00e9es.<\/p>\n La loi f\u00e9d\u00e9rale pr\u00e9voit d\u00e9j\u00e0 la possibilit\u00e9 de communiquer des renseignements personnels n\u00e9cessaires aux fins de la conclusion d\u2019une transaction commerciale, mais on ne trouvait pas une disposition similaire dans la loi qu\u00e9b\u00e9coise. Cela est maintenant permis, sans le consentement des personnes concern\u00e9es, \u00e0 compter du 22 septembre 2022.<\/p>\n Les r\u00e8gles applicables sont similaires \u00e0 celles qui sont pr\u00e9vues dans la loi f\u00e9d\u00e9rale, avec quelques nuances toutefois. Dans tous les cas, une entente doit \u00eatre pr\u00e9alablement convenue pr\u00e9voyant plusieurs obligations de la part de la partie qui re\u00e7oit les renseignements.<\/p>\n Tout comme dans la loi f\u00e9d\u00e9rale, si la transaction commerciale est conclue, il est n\u00e9cessaire d\u2019aviser les personnes concern\u00e9es, dans un d\u00e9lai raisonnable apr\u00e8s la conclusion de la transaction commerciale, que la nouvelle partie d\u00e9tient maintenant les renseignements personnels.<\/p>\n Une transaction commerciale signifie l\u2019ali\u00e9nation ou la location de tout ou partie d\u2019une entreprise ou des actifs dont elle dispose, une modification de sa structure juridique par fusion ou autrement, l\u2019obtention d\u2019un pr\u00eat ou de toute autre forme de financement par celle-ci ou d\u2019une s\u00fbret\u00e9 prise pour garantir l\u2019une de ses obligations.<\/p>\n La Loi concernant le cadre juridique des technologies de l\u2019information<\/em> pr\u00e9voit d\u00e9j\u00e0 quelques dispositions portant sur les caract\u00e9ristiques et les mesures biom\u00e9triques.<\/p>\n \u00c0 compter du 22 septembre 2022, la cr\u00e9ation d\u2019une banque de caract\u00e9ristiques ou de mesures biom\u00e9triques doit \u00eatre divulgu\u00e9e \u00e0 la Commission avec diligence et dans tous les cas, au plus tard soixante (60) jours avant sa mise en service.<\/p>\n De plus, il est maintenant obligatoire d\u2019aviser la Commission avant la mise en place d\u2019une v\u00e9rification ou de la confirmation de l\u2019identit\u00e9 d\u2019une personne au moyen d\u2019un proc\u00e9d\u00e9 permettant de saisir des caract\u00e9ristiques ou des mesures biom\u00e9triques.<\/p>\n Selon la Commission, il existe trois (3) grandes cat\u00e9gories de biom\u00e9trie\u00a0: (1) la biom\u00e9trie morphologique (par exemple, la reconnaissance des empreintes digitales, de la forme de la main, du visage, de la r\u00e9tine et de l\u2019iris de l\u2019\u0153il), (2) la biom\u00e9trie comportementale (par exemple, le trac\u00e9 de la signature, l\u2019empreinte d\u2019une voix, la d\u00e9marche, la fa\u00e7on de taper sur un clavier), et la biom\u00e9trie biologique (par exemple, l\u2019ADN, le sang, la salive, l\u2019urine, les odeurs).<\/p>\n Tel qu\u2019indiqu\u00e9 pr\u00e9c\u00e9demment, des modifications beaucoup plus importantes touchant les entreprises entreront en vigueur le 22 septembre 2023. Les entreprises faisant affaires au Qu\u00e9bec doivent donc entreprendre l\u2019\u00e9tude de la mise en place de ces nouvelles obligations d\u2019ici-l\u00e0. La Commission a commenc\u00e9 \u00e0 publier quelques documents d\u2019information \u00e0 ce sujet (de fa\u00e7on plut\u00f4t limit\u00e9e toutefois), mais on peut s\u2019attendre \u00e0 ce que davantage d\u2019information soit publi\u00e9e dans les prochains mois afin d\u2019assister les entreprises dans leur processus de conformit\u00e9.<\/p>\n Il y a \u00e9galement lieu de garder \u00e0 l\u2019esprit qu\u2019\u00e0 compter du 22 septembre 2023, des sanctions p\u00e9nales et des sanctions administratives p\u00e9cuniaires importantes seront pr\u00e9vues en cas de non-respect de la loi qu\u00e9b\u00e9coise.<\/p>\n Cette publication est fournie \u00e0 titre informatif uniquement. Elle peut contenir des \u00e9l\u00e9ments provenant d’autres sources et nous ne garantissons pas son exactitude. Cette publication n’est ni un avis ni un conseil juridique.<\/p>\n Miller Thomson S.E.N.C.R.L., s.r.l. utilise vos coordonn\u00e9es dans le but de vous envoyer des communications \u00e9lectroniques portant sur des questions juridiques, des s\u00e9minaires ou des \u00e9v\u00e9nements susceptibles de vous int\u00e9resser. Si vous avez des questions concernant nos pratiques d’information ou nos obligations en vertu de la Loi canadienne anti-pourriel, veuillez faire parvenir un courriel \u00e0\u00a0privacy@millerthomson.com.<\/a>.<\/p>\n1. Responsable de la protection des renseignements personnels<\/h2>\n
2. Incidents de confidentialit\u00e9<\/h2>\n
\n
\n
3. Communication de renseignements personnels aux fins de la conclusion d\u2019une transaction commerciale<\/strong><\/h2>\n
4. Caract\u00e9ristiques et mesures biom\u00e9triques<\/strong><\/h2>\n
Conclusion<\/strong><\/h2>\n
\nAvis de non-responsabilit\u00e9<\/h3>\n