La Loi 25 du Québec pour les entreprises de logiciels : ce qu’il faut intégrer à votre produit

Pour les entreprises de logiciels, la Loi 25 du Québec est souvent présentée comme une question juridique ou de bandeau de témoins, mais une grande partie du travail touche le produit lui-même. La Loi 25 est le nom courant de la loi de 2021 (projet de loi 64) qui a refondu la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Ses règles sont entrées en vigueur en trois étapes, en septembre 2022, 2023 et 2024, et elles s’appliquent donc toutes aujourd’hui. Si des personnes au Québec utilisent votre logiciel, voici ce que la loi veut dire pour ce que vous construisez, et ce qu’il faut demander à votre équipe ou à votre firme de développement.

À qui elle s’applique

La loi s’applique aux entreprises qui recueillent, détiennent, utilisent ou communiquent des renseignements personnels dans l’exploitation d’une entreprise. Elle peut aussi s’appliquer aux entreprises de logiciels établies en Ontario, ailleurs au Canada ou aux États-Unis qui vendent à des clients québécois ou recueillent des renseignements auprès de personnes au Québec. Si vous ne savez pas si elle s’applique à vous, demandez à votre avocat. Si vos clients sont des entreprises québécoises, attendez-vous à ce qu’ils vous en parlent de toute façon, parce qu’ils restent responsables des renseignements personnels que leurs fournisseurs traitent pour eux, et que la loi exige un contrat écrit qui précise comment le fournisseur les protège.

Ce qu’elle veut dire pour le produit

Plusieurs règles de la Loi 25 se traduisent directement en fonctions du produit. Si vous vendez à des entreprises québécoises, bon nombre de ces obligations appartiennent à votre client, mais votre produit doit lui permettre de les respecter :

1. Confidentialité par défaut. Si vous offrez un produit au public et qu’il comporte des paramètres de confidentialité, ceux-ci doivent être réglés par défaut au niveau de confidentialité le plus élevé. Les paramètres des témoins de navigation sont exclus de cette règle, mais les témoins utilisés pour le suivi peuvent tout de même relever des règles sur le suivi ci-dessous.
2. Un consentement clair et distinct. Lorsqu’un consentement est nécessaire, il doit être demandé en termes simples et clairs, pour chaque fin précise, et s’il est demandé par écrit, il doit être présenté séparément de toute autre information. Une seule case « J’accepte » qui couvre tout ne suffit pas.
3. Fonctions de suivi. Si votre produit peut identifier, localiser ou profiler une personne, vous devez l’en informer et lui indiquer comment activer ces fonctions. Comme la loi parle de les activer, on considère généralement qu’elles doivent être désactivées jusqu’à ce que la personne les active.
4. Exportation des données. Depuis septembre 2024, une personne peut demander les renseignements personnels informatisés recueillis auprès d’elle (et non ceux que vous avez créés ou inférés) dans un format technologique structuré et couramment utilisé, sauf si cela soulève des difficultés pratiques sérieuses. Les nouveaux systèmes doivent être conçus pour le permettre, et une fonction d’exportation est donc beaucoup plus simple qu’un travail manuel à chaque demande.
5. Suppression et désindexation. Une personne peut, dans certains cas, vous demander de cesser de diffuser ses renseignements ou de désindexer les hyperliens qui y mènent. Lorsque des renseignements ne sont plus nécessaires à leur fin, ils doivent être détruits ou anonymisés selon les critères du règlement québécois sur l’anonymisation.
6. Registre des incidents. Chaque incident de confidentialité doit être inscrit dans un registre, et ceux qui présentent un risque de préjudice sérieux doivent être déclarés. Votre logiciel a besoin de journaux assez complets pour savoir ce qui s’est passé et de qui les renseignements étaient touchés.
7. Contrôles d’accès. Seuls les membres du personnel qui ont besoin des renseignements personnels pour leur travail peuvent y avoir accès. Les journaux d’accès sont un bon moyen de démontrer que vous respectez cette règle et l’obligation générale de la loi de protéger les renseignements.

Évaluations des facteurs relatifs à la vie privée et données qui quittent le Québec

La Loi 25 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d’acquisition, de développement ou de refonte d’un système d’information ou de prestation électronique de services qui implique des renseignements personnels. Votre processus de développement doit prévoir une étape pour cela, et votre équipe doit fournir les réponses techniques.

Une évaluation est aussi exigée avant que des renseignements personnels soient communiqués à l’extérieur du Québec, y compris vers une autre province canadienne. Cela vise l’hébergement, les sauvegardes et les services externes intégrés à votre produit, comme le courriel, l’analytique, les outils de soutien et les fournisseurs de paiement, lorsqu’ils se trouvent à l’extérieur du Québec. La communication exige aussi une entente écrite qui tient compte de l’évaluation. Tenez à jour une liste des endroits où vont les renseignements personnels. Vos clients québécois vous la demanderont.

Incidents et sanctions

Si un incident de confidentialité présente un risque de préjudice sérieux, l’entreprise doit aviser avec diligence la Commission d’accès à l’information, l’organisme de surveillance de la vie privée au Québec, ainsi que les personnes touchées. Chaque incident, sérieux ou non, est inscrit au registre, et la Commission peut demander à le consulter.

Les sanctions sont parmi les plus élevées au Canada. La Commission peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les amendes pour infraction peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Les personnes peuvent aussi poursuivre en dommages-intérêts. Lorsqu’une atteinte est intentionnelle ou résulte d’une faute lourde et cause un préjudice, le tribunal doit accorder des dommages-intérêts punitifs d’au moins 1 000 $.

Loi 25, LPRPDE et LPRPS

Au Canada, les équipes de logiciels doivent souvent tenir compte de plus d’une loi sur la vie privée :

1. La Loi 25 vise les renseignements personnels traités par les entreprises du secteur privé au Québec, et peut s’appliquer à des entreprises situées ailleurs qui servent des personnes au Québec.
2. La LPRPDE (PIPEDA) est la loi fédérale du Canada sur la protection des renseignements personnels dans le secteur privé. Elle vise la plupart des activités commerciales dans les provinces qui n’ont pas de loi semblable, comme l’Ontario, ainsi que les renseignements personnels qui traversent les frontières provinciales ou nationales.
3. La LPRPS (PHIPA) est la loi ontarienne sur les renseignements personnels sur la santé. Elle vise les renseignements sur la santé traités par les dépositaires de renseignements sur la santé de l’Ontario, comme les fournisseurs de soins, et par les mandataires et fournisseurs de services qui travaillent pour eux.

Une grande partie du travail sur le produit se recoupe : contrôles d’accès, journaux, exportation, suppression et registre clair des endroits où vont les données. Construisez ces fonctions une seule fois, en visant la plus exigeante des lois qui s’appliquent à vous, qui est souvent la Loi 25.

Dix questions à poser à votre équipe ou à votre firme de développement

1. Si nous offrons le produit au public, ses paramètres de confidentialité sont-ils réglés par défaut au niveau le plus protecteur?
2. Comment demandons-nous, ou nos clients demandent-ils, le consentement dans le produit, et chaque fin est-elle demandée séparément?
3. Une fonction identifie-t-elle, localise-t-elle ou profile-t-elle les utilisateurs, et est-elle désactivée jusqu’à ce que l’utilisateur l’active?
4. Pouvons-nous, ou nos clients peuvent-ils, exporter les renseignements d’une personne dans un format structuré et courant sans l’aide d’un développeur?
5. Comment supprimons-nous ou anonymisons-nous les renseignements dont nous n’avons plus besoin?
6. Que nous diraient nos journaux s’il y avait un incident de confidentialité demain?
7. Qui, dans notre entreprise, peut voir les renseignements personnels, et pouvons-nous le prouver?
8. Où les renseignements personnels sont-ils hébergés et sauvegardés, et quels services externes les reçoivent?
9. Notre processus de développement prévoit-il une étape pour les évaluations des facteurs relatifs à la vie privée?
10. Quels documents pouvons-nous remettre à un client québécois qui nous envoie un questionnaire sur la vie privée?

Si plusieurs réponses sont floues, voilà votre liste de travail.

Notre approche

NorthSight Technologies est une firme de développement logiciel en Ontario, au Canada. Nous construisons et corrigeons des logiciels pour des équipes dont les clients posent des questions difficiles sur la vie privée et la sécurité. Des ingénieurs seniors définissent le travail et écrivent le code. Nous intégrons au produit les paramètres de confidentialité, la gestion du consentement, l’exportation des données, la suppression et la journalisation des incidents, et nous préparons les documents techniques qu’un responsable de la protection des renseignements personnels ou un client demandera. Nous ne donnons pas de conseils juridiques, et nous travaillons avec votre responsable de la protection des renseignements personnels ou votre avocat.

Si votre entreprise de logiciels travaille à se conformer à la Loi 25 du Québec et que vous voulez une réponse franche sur ce dont votre produit a besoin, nous offrons un appel gratuit de 20 minutes. Vous pouvez lire comment nous travaillons et réserver l’appel sur notre page sur le développement logiciel et la conformité.

Aussi publié sur LinkedIn (en anglais) →