Qu’est-ce qui change en septembre 2022 avec la Loi 25 du Québec?

Il y a une semaine, le 22 septembre, la première partie de la Loi 25 du Québec est entrée en vigueur. Cette loi, la « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », adoptée en 2021 sous le nom de projet de loi no 64, met à jour en trois étapes les règles de la province en matière de vie privée. Cette première étape est courte, mais elle s’applique à toute entreprise qui détient des renseignements personnels sur qui que ce soit, du travailleur autonome qui a une liste de clients à l’entreprise qui compte des centaines d’employés.

Un renseignement personnel, en droit québécois, est tout renseignement qui concerne une personne et permet, directement ou indirectement, de l’identifier : un nom accompagné d’une adresse courriel, un numéro de téléphone, une photo, un dossier d’achats. Si votre entreprise utilise des outils d’IA en ligne, comme la transcription, les assistants de rédaction ou les robots conversationnels, certains de ces renseignements y circulent peut-être déjà.

Ce qui est maintenant en vigueur

Deux ensembles d’obligations sont entrés en vigueur le 22 septembre 2022.

1. Un responsable de la protection des renseignements personnels. Par défaut, il s’agit de la personne ayant la plus haute autorité dans l’entreprise, habituellement le propriétaire ou le président. Cette personne peut déléguer par écrit tout ou partie de cette fonction à quelqu’un d’autre. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l’entreprise ou, s’il n’y a pas de site Web, rendus accessibles par tout autre moyen approprié.

2. Des règles sur les incidents de confidentialité. La loi définit un incident de confidentialité comme l’une de quatre situations :

• l’accès non autorisé par la loi à un renseignement personnel;
• l’utilisation non autorisée par la loi d’un tel renseignement;
• la communication non autorisée par la loi d’un tel renseignement;
• la perte d’un tel renseignement, ou toute autre atteinte à sa protection.

Lorsqu’une entreprise a des motifs de croire qu’un incident s’est produit, elle doit prendre des mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et pour éviter que de nouveaux incidents de même nature se produisent. Elle doit ensuite évaluer si l’incident présente un risque de préjudice sérieux, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu’ils soient utilisés à des fins préjudiciables, et en consultant son responsable. Si le risque est sérieux, elle doit aviser avec diligence l’organisme de surveillance de la vie privée au Québec, la Commission d’accès à l’information (CAI), ainsi que les personnes dont les renseignements sont en cause.

Chaque incident, sérieux ou non, est inscrit dans un registre des incidents de confidentialité, et la CAI peut en demander une copie.

Ce que contiennent les avis et le registre

En juin, le gouvernement a publié un projet de règlement qui précise les détails. Une inscription au registre décrit les renseignements visés, ce qui s’est passé, quand c’est arrivé et quand l’entreprise l’a appris, le nombre de personnes concernées, la façon dont le risque a été évalué, les dates des avis transmis, le cas échéant, et les mesures prises par la suite. Les inscriptions doivent être conservées pendant au moins cinq ans.

Voici à quoi pourrait ressembler une inscription pour une petite entreprise. L’incident est fictif.

Savoir si une utilisation donnée d’un outil d’IA constitue un incident dépend des faits, comme ce que permettent les conditions de l’outil et ce que l’entreprise a dit à ses clients. Ce que l’exemple veut montrer, c’est l’habitude : quand quelque chose tourne mal, notez-le.

Ce qui viendra ensuite

Le reste de la Loi 25 est prévu, mais pas encore en vigueur. Le 22 septembre 2023, la plupart des autres règles doivent s’appliquer, dont les politiques et pratiques de gouvernance, les évaluations des facteurs relatifs à la vie privée (EFVP) avant toute communication à l’extérieur du Québec, les nouvelles règles de consentement et l’obligation d’informer les personnes lorsqu’une décision à leur sujet est fondée exclusivement sur un traitement automatisé. Le 22 septembre 2024, les personnes doivent obtenir un droit à la portabilité des données, c’est-à-dire une copie de leurs renseignements informatisés dans un format technologique structuré et couramment utilisé.

Que devrait faire maintenant une petite entreprise qui utilise des outils d’IA?

Commencez par les deux choses que la loi exige déjà. Confirmez qui est votre responsable : si c’est vous, à titre de propriétaire, décidez si vous gardez la fonction ou si vous la déléguez par écrit, et ajoutez le titre et les coordonnées à votre site Web. Mettez ensuite en place le registre des incidents, même s’il reste vide.

Dressez ensuite une courte liste de chaque outil d’IA qui touche à des renseignements personnels : ce qu’on y entre, sous quel compte il fonctionne et où se trouve le fournisseur. Posez trois questions pour chacun. Avons-nous vraiment besoin d’y entrer des renseignements personnels? Qui, dans l’équipe, peut l’utiliser? Que ferions-nous si des renseignements se retrouvaient là où ils ne devraient pas être? Une règle d’une ligne pour le personnel, comme « aucun nom ni aucune coordonnée de client dans les outils d’IA en ligne sans approbation », prévient bien des incidents avant même qu’ils se produisent.

Enfin, préparez 2023 au lieu d’attendre. Les évaluations des facteurs relatifs à la vie privée et les règles sur les décisions automatisées s’appliqueront directement à de nombreux services d’IA, et l’inventaire que vous dressez maintenant est le point de départ des deux. Pour obtenir des conseils sur votre situation particulière, les documents d’orientation de la CAI ou un avocat sont la prochaine étape à privilégier.