Le projet de loi n° 64 visant à moderniser l’encadrement applicable à la protection des renseignements personnels prévu dans diverses lois québécoises a récemment été présenté à l’Assemblée nationale.
Ce projet de loi risque d’avoir un impact appréciable à la fois sur les organismes publics et sur les entreprises, notamment en ce qui concerne la collecte, l’utilisation et le partage de renseignements personnels dans le cadre de leurs activités de recherche :
- Ajout d’exigences en matière de consentement : Le projet de loi édicte divers critères pour qu’un consentement (à la collecte ou au traitement de renseignements personnels) soit considéré comme valable, dont celui d’être : (i) manifeste, libre, éclairé et donné à des fins spécifiques, (ii) demandé en termes simples et clairs et pour chacune des fins pour lequel il est obtenu, (iii) obtenu distinctement de toute autre information communiquée à la personne concernée et (iv) obtenu, pour tout mineur de moins de 14 ans, du titulaire de l’autorité parentale, à moins que cette collecte ne soit manifestement au bénéfice de ce mineur. Il sera intéressant de voir si des précisions additionnelles seront fournies : (a) quant à l’obligation d’obtenir un tel consentement au moyen d’un document distinct, celui-ci étant habituellement inclus dans le formulaire de consentement; et (b) quant à la signification qui sera donnée à l’expression « manifestement dans l’intérêt du mineur » dans un cadre de recherche.
- Exceptions d’utilisation et de communication à des fins de recherche : Le projet de loi prévoit deux nouvelles exceptions applicables à la recherche, qui semblent contrebalancer l’effet des nouvelles exigences établies en matière de consentement. D’une part, le projet de loi vient permettre l’utilisation de renseignements personnels en format dépersonnalisé par l’entité les ayant recueillis: (i) pour des fins autres que celles pour lesquelles ils ont été recueillis, et ce, sans le consentement de la personne concernée lorsqu’une telle utilisation est nécessaire à des fins d’étude ou de recherche, et (ii) pour des fins compatibles avec celles pour lesquelles ils avaient été recueillis, permettant ainsi leur utilisation à des fins de recherche secondaire. D’autre part, le projet de loi précise qu’une telle entité pourra communiquer des renseignements personnels sans le consentement des personnes concernées à tout tiers souhaitant les utiliser à des fins d’étude ou de recherche pour autant que le processus prescrit soit suivi, dont : (a) la communication de divers renseignements afin d’évaluer la demande de communication; (b) l’évaluation de la demande en regard de divers facteurs; et (c) la conclusion d’une entente encadrant l’utilisation et la communication de ces renseignements.
- Communication à l’extérieur du Québec : Le projet de loi vient exiger qu’un organisme public ou une entreprise réalise une évaluation de facteurs relatifs à la vie privée avant de procéder à la communication de tout renseignement personnel à l’extérieur du Québec. Une telle communication ne pourrait avoir lieu que si l’évaluation démontrait que le renseignement bénéficierait d’une protection équivalant à celle prévue au projet de loi et que la procédure imposée était suivie. Cette obligation s’appliquerait aussi à tout tiers s’étant vu confier la tâche de recueillir, d’utiliser, de communiquer ou de conserver des renseignements personnels pour leur compte.
- Incident de confidentialité : En cas d’atteinte à la confidentialité, tout organisme public ou toute entreprise devra prendre les mesures raisonnablement requises pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature se produisent. Certaines obligations, dont celle d’aviser la Commission d’accès à l’information et toute personne concernée, pourront également s’appliquer si l’incident présente un risque qu’un préjudice sérieux soit causé.
- Sanctions : Le projet de loi vient réviser à la hausse les amendes pénales existantes et applicables en cas d’infractions aux dispositions applicables. Ainsi, dans le cas des entreprises, ces amendes pourront aller jusqu’à 25 millions de dollars ou 4 % du chiffre d’affaires mondial (si ce dernier montant est plus élevé), alors qu’elles pourront atteindre 150 000 $ pour les organismes publics. De plus, de telles amendes pourront être doublées en cas de récidive. Enfin, diverses sanctions administratives pécuniaires sont ajoutées, pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial (si ce dernier montant est plus élevé) dans le cas des entreprises.
Pour plus d’information, veuillez communiquer avec nous ou encore consulter notre blogue ou le projet de loi n° 64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels.
L’Assemblée nationale invite les citoyens à soumettre leurs commentaires au sujet de ce projet de loi en suivant les instructions sur son site. Vous pouvez également communiquer avec nous afin que nous vous aidions à soumettre vos commentaires.
