Loi 25 au Québec et hébergement web : ce que votre entreprise doit faire concrètement

La Loi 25 du Québec, officiellement la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, est pleinement en vigueur depuis septembre 2023. Si votre entreprise collecte des renseignements personnels sur des résidents du Québec via un site web, l'hébergement de ce site est directement impliqué dans vos obligations légales. Ce n'est pas de la théorie de conformité abstraite. La Commission d'accès à l'information du Québec applique activement la loi depuis 2023.

Ce que la Loi 25 exige concrètement de votre entreprise

Vous avez besoin d'une personne désignée responsable de la protection des renseignements personnels dans votre organisation. Ce n'est pas forcément un poste dédié dans une petite entreprise, mais il doit y avoir quelqu'un de nommé et responsable. Vous avez besoin d'une politique de confidentialité rédigée en langage clair et publiée sur votre site web. Vous devez effectuer une évaluation des facteurs relatifs à la vie privée avant tout nouveau projet technologique qui implique le traitement de renseignements personnels. Et vous devez respecter les obligations de notification en cas d'incident de confidentialité présentant un risque de préjudice sérieux.

L'obligation spécifique à l'hébergement : communiquer des informations hors du Québec

La partie de la Loi 25 la plus pertinente pour les décisions d'hébergement est l'obligation concernant la communication de renseignements personnels hors du Québec. Si des renseignements personnels collectés auprès de résidents du Québec doivent être communiqués à un tiers à l'extérieur du Québec, vous devez d'abord effectuer une évaluation des facteurs relatifs à la vie privée confirmant que les informations recevront une protection équivalente à celle exigée par la Loi 25. Votre hébergeur est un tiers à cette fin.

L'hébergement sur un serveur physiquement situé au Québec supprime cette obligation entièrement. L'hébergement ailleurs au Canada la simplifie considérablement, car la loi canadienne offre des protections comparables. L'hébergement aux États-Unis sur un fournisseur américain introduit la plus grande complexité, car le CLOUD Act américain offre des protections de confidentialité matériellement plus faibles que la Loi 25 et la LPRPDE. L'évaluation pour un hébergeur américain est plus difficile à compléter de manière satisfaisante.

Ce que votre contrat d'hébergement doit prévoir

Lorsque des renseignements personnels sont communiqués à un tiers, la Loi 25 exige un accord écrit incluant des dispositions spécifiques. L'accord doit exiger que le tiers protège les informations. Il doit exiger qu'il les utilise uniquement aux fins convenues. Il doit exiger qu'il vous notifie en cas d'incident de confidentialité. Et il doit exiger que les renseignements personnels soient détruits une fois la fin de la communication atteinte, à moins que la conservation ne soit requise par la loi.

Examinez vos conditions de service actuelles d'hébergement par rapport à ces exigences. La plupart des hébergeurs américains génériques n'incluent pas ces dispositions dans leurs conditions standard. La plupart des hébergeurs canadiens opérant sous la loi canadienne sur la protection de la vie privée sont mieux positionnés pour fournir des accords d'hébergement qui satisfont aux exigences de contrat tiers de la Loi 25.

La Commission d'accès à l'information et l'application de la loi

La Commission d'accès à l'information du Québec a publié des décisions d'application et a le pouvoir d'imposer des pénalités administratives pécuniaires. Pour les violations graves ou intentionnelles, les pénalités peuvent atteindre jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial. La tendance va vers un contrôle accru à mesure que les entreprises ont eu le temps de se conformer. L'ignorance des exigences n'est pas une défense, et dire "nous utilisions le même hébergeur américain que d'habitude" n'est pas une réponse satisfaisante à une enquête sur une plainte.