Inspiré du règlement général sur la protection des données (RGPD) de l’Union européenne, l’objectif du projet de loi est de rehausser la qualité de la protection des données personnelles des citoyens et d’obliger les organisations publiques et privées à prendre des actions concrètes en matière de sécurité de l’information et prévoit des amendes considérables en cas de non respect des modalités prévues.

Ce qu’il faut savoir de la Loi 64

• Les entreprises québécoises seront tenues de divulguer une atteinte à la protection des données si elle présente un risque de préjudice grave à : i) la Commission d’accès à l’information du Québec; ii) la ou les personnes touchées; et iii) tout organisme qui pourrait contribuer à atténuer le préjudice. Le non-respect de cette obligation peut entraîner des sanctions de 5 000 $ à 50 000$ pour une personne physique, de 15 000 $ à 25 000 000 $ pour une personne morale ou même, dans certains cas, un montant correspondant à 4 % du chiffre d’affaires mondial de cette dernière pour l’exercice fiscal précédent.

• En cas d’incident de confidentialité, les organisations doivent prendre les mesures afin de réduire les risques de préjudice pour les personnes concernées et d’éviter que ce type d’incident ne se reproduise. 

• Les informations sensibles sont désormais définies comme celles qui, en raison de leur nature, de leur contexte, de leur utilisation ou de leur communication, impliquent un niveau élevé d’attente raisonnable en matière de respect de la vie privée.

• Le droit à l’effacement, c’est-à-dire en permettant à une personne de faire supprimer un renseignement détenu par une entreprise à son sujet, lorsque sa collecte n’est pas autorisée par la loi ou lorsque les fins pour lesquelles il a été collecté sont accomplies.

• Les entreprises fautives peuvent dorénavant être poursuivies en dommages-intérêts.