La loi 25: comment y adhérer

Explication de la loi 25 et de ses effets 

Avec le développement de la technologie et l'utilisation croissante des données numériques, le respect de la vie privée et la sécurité des données sont des préoccupations plus importantes que jamais. Certaines dispositions de la loi 25 ont été modifiés le 22 septembre 2022, dans une initiative visant à mieux protéger les données personnelles des particuliers et rehausser la sécurité des données dans les entreprises. 

Les obligations de la Loi sur la protection des renseignements personnels dans le secteur privé et les exigences qui y sont associées sont applicables à toutes les organisations du Québec. 

Cela inclut les organisations privées et publiques, grandes et petites, qui détiennent, traitent et communiquent des renseignements personnels. Les organisations doivent respecter les principes généraux et les exigences particulières énoncés dans la loi et se conformer à toutes les exigences.

• Désigner une personne responsable de la protection des renseignements personnels et publier son titre et ses coordonnées sur le site Internet de l'entreprise. 
  
  Si vous ne souhaitez pas exercer cette fonction, désignez une personne pouvant assumer efficacement ce rôle ; celle-ci devrait avoir les compétences requises et un pouvoir décisionnel important dans votre entreprise.
   
  Cette personne devrait faire l’inventaire des renseignements personnels détenus par votre entreprise et évaluer leur sensibilité.
  
  
• Mettez en place des mesures pour prévenir ou limiter les conséquences d’un incident de confidentialité impliquant un renseignement personnel. Si un renseignement personnel est divulgué :
  
  
  • Prendre les mesures pour diminuer les risques qu’un préjudice soit causé aux personnes concernées et éviter que de nouveaux incidents se produisent.
    
    
  • Aviser la Commission d’accès à l’information et la personne concernée si l’incident présente un risque de préjudice sérieux.
    
    
  • Instaurez des pratiques qui vous permettront de réagir adéquatement et rapidement en cas d’incident de confidentialité impliquant un renseignement personnel (ex. : plan de réponse aux incidents et directive au personnel).
    
    
  • Tenir un registre des incidents dont une copie doit être transmise à la Commission à sa demande. 
    
    
• Respecter le nouvel encadrement de la communication de renseignements personnels et procéder à une évaluation des facteurs relatifs à la vie privée (ÉFVP) si vous n’avez pas le consentement de la personne concernée dans le cadre d’une transaction commerciale.
  

• Divulguer préalablement à la Commission la vérification ou la confirmation d'identité faite au moyen de caractéristiques ou de mesures biométriques (ex. : empreintes digitales, reconnaissance faciale ou vocale). Si vous prévoyez d'utiliser une technique biométrique, informez-vous au préalable de vos obligations en la matière.

Comment GOrendezvous s'adapte à la loi 25 ?

Nous avons fait l'exercice avec des avocats spécialisés en cybersécurité, droits des technologies et vie privée, pour nous assurer que nous suivions bien les lois québécoises et canadiennes. La Loi 25 suit globalement les mêmes directives que les lois auxquelles nous sommes déjà conformes. 

• LPRPDE (Canada)
• LPRPSP (Québec)
• Loi 25 (Québec)
• PHIPA (Ontario)

GOrendezvous répond donc aux nouvelles exigences demandées par la loi 25, ceci n'a pas d'impact sur la gestion de vos données clients.

Pour vous, les professionnels 

Pour les professionnels qui utilisent GOrendezvous, le propriétaire du compte fait office de personne responsable de la protection des données personnelles. Cette personne est habituellement le ou la propriétaire de la clinique. 

Dans votre compte GOrendezvous, vous avez accès à plusieurs audits pour tracer tous les changements apportés au profil d’un client, à son dossier, à ses rendez-vous, etc. La date, l’heure et le nom de la personne qui a effectué les changements sont visibles dans les audits.