Loi 25 : quoi faire pour une petite entreprise (résumé en 10 points)

La Loi 25 modernise la loi québécoise sur les renseignements personnels. Elle s'applique à toute entreprise, même seule, qui garde des noms, des courriels ou des numéros de téléphone de clients. Voici ce qu'elle demande, en mots simples.

English version

1. Nommez un responsable. Par défaut, c'est la personne la plus haut placée (vous, si vous êtes seul). Publiez son titre et ses coordonnées sur votre site.
2. Écrivez vos règles internes. Qui a accès à quoi, combien de temps vous gardez les données, comment vous traitez une plainte. Résumez-les en termes simples sur votre site.
3. Publiez une politique de confidentialité claire. Si vous recueillez des renseignements en ligne (formulaire, infolettre, boutique), dites lesquels, pourquoi, et qui y a accès.
4. Demandez un consentement clair, pour un but précis. Une case par usage, pas de case précochée. Pour les renseignements sensibles (santé, finances), le consentement doit être exprès.
5. Témoins (cookies) et traceurs : désactivés par défaut. Les outils qui suivent ou profilent les visiteurs doivent être éteints tant que la personne ne les active pas.
6. Tenez un registre des incidents. Toute perte, tout vol ou accès non autorisé à des renseignements personnels y est noté, même s'il est mineur.
7. Avisez en cas d'incident grave. S'il y a un risque de préjudice sérieux, avisez la Commission d'accès à l'information et les personnes touchées, rapidement.
8. Évaluez avant d'envoyer des données hors du Québec ou de lancer un nouveau système qui traite des renseignements personnels (une évaluation des facteurs relatifs à la vie privée, ou EFVP).
9. Répondez aux demandes des personnes dans un délai de 30 jours : accès à leurs renseignements, correction, retrait du consentement, et copie dans un format technologique courant (portabilité).
10. Détruisez ou anonymisez les renseignements quand le but pour lequel vous les avez recueillis est atteint, selon une règle de conservation écrite.

La loi prévoit des sanctions administratives et pénales. Les étapes 1 à 3 se font en une soirée et couvrent l'essentiel pour une petite entreprise.

Résumé d'information générale, pas un avis juridique. Source officielle : Commission d'accès à l'information du Québec.