Droits des personnes

La Loi 25 consacre six droits individuels que chaque entreprise doit être capable d'honorer dans les 30 jours (art. 32 LPRPSP). Ce chapitre explique chaque droit, la procédure de réponse, et ce qu'il faut préparer avant de recevoir une première demande.

Les six droits#

Droit	Source	En vigueur depuis
Accès	art. 27	toujours (avant la Loi 25)
Rectification	art. 28, 53	toujours
Retrait du consentement	art. 8, par. 4°	sept. 2023
Désindexation / cessation de diffusion	art. 28.1	sept. 2023
Information sur les décisions automatisées	art. 12.1	sept. 2023
Portabilité	art. 27 al. 2	sept. 2024

1. Droit d'accès (art. 27, 7 et 8)#

Toute personne a le droit d'obtenir de l'entreprise confirmation qu'elle détient un renseignement personnel à son sujet et copie de ce renseignement (art. 27). Elle a également le droit d'obtenir, sur demande, de l'information sur la source du renseignement (art. 7) ainsi que sur sa finalité, les catégories de personnes ou de tiers qui y ont accès ou à qui il est communiqué, et sa durée de conservation (art. 8).

Ce qui doit être remis#

• En vertu de l'art. 27 : le contenu brut des renseignements (dossier client, factures, courriels, champs CRM, logs d'accès lorsqu'ils concernent la personne), avec confirmation de leur existence.
• En vertu de l'art. 7 (sur demande, lorsque les renseignements ont été recueillis auprès d'une autre entreprise) : la source de ces renseignements.
• En vertu de l'art. 8 (sur demande) : la finalité pour laquelle chaque renseignement est détenu, les catégories de personnes ou de tiers qui y ont accès ou à qui il est communiqué, et les durées de conservation appliquées.

Ce qui peut être refusé#

• Renseignements dont la divulgation risquerait vraisemblablement de nuire à une enquête de sécurité interne (ou externe) visant à prévenir, détecter ou réprimer un crime ou une infraction à la loi, ou d'avoir un effet sur une procédure judiciaire dans laquelle l'entreprise ou la personne a un intérêt (art. 39).
• Renseignements qui révéleraient un renseignement personnel sur un tiers, lorsque cette divulgation serait susceptible de lui nuire sérieusement, sauf consentement du tiers ou situation d'urgence mettant en danger la vie, la santé ou la sécurité du demandeur (art. 40). Le simple fait qu'un tiers soit identifiable ne suffit pas à justifier le refus, il faut ce risque de préjudice sérieux.
• Renseignements protégés par le secret professionnel reconnu par ailleurs en droit québécois (ex. Charte des droits et libertés de la personne, règles déontologiques), ce motif n'est pas un des refus prévus expressément aux art. 37 à 41 LPRPSP, à valider au cas par cas avec votre avocat plutôt qu'à invoquer comme motif autonome de la loi.

Tout refus doit être écrit et motivé, en indiquant les recours possibles (art. 34), dont le droit de porter la mésentente devant la CAI (art. 42-43).

2. Droit de rectification (art. 28)#

La personne peut demander la correction d'un renseignement inexact, incomplet ou équivoque. L'entreprise doit :

• Corriger le renseignement.
• Communiquer la correction, sur demande, aux tiers à qui le renseignement erroné a été transmis dans les 6 derniers mois. Cette obligation découle de l'art. 40, al. 2 du Code civil du Québec, rendu applicable aux entreprises par l'art. 29 LPRPSP, et non de l'art. 28 lui-même.
• Refuser uniquement si la rectification est manifestement non fondée (ex. le renseignement est correct).

Cas particulier : l'observation#

Certains renseignements sont des observations professionnelles (évaluation de rendement, note de dossier, diagnostic médical). La personne ne peut pas en exiger la modification de contenu, mais peut exiger l'ajout d'une annotation exprimant son désaccord.

3. Droit de retrait du consentement (art. 8, par. 4°)#

Voir le chapitre Consentement pour le détail. En bref :

• Retrait en tout temps, avec effet prospectif.
• Moyen de retrait simple et gratuit (lien, formulaire, courriel dédié).
• Conséquences du retrait communiquées (ex. « votre compte ne pourra plus être utilisé »).

4. Droit à la désindexation / cessation de diffusion (art. 28.1)#

Depuis septembre 2023, l'art. 28.1 LPRPSP ouvre deux voies distinctes pour exiger la cessation de diffusion d'un renseignement personnel (ex. retirer un article de blog qui la nomme) ou la désindexation d'un hyperlien (retirer un résultat de recherche) :

1. Motif autonome, sans démonstration de préjudice

Si la diffusion du renseignement contrevient à la loi ou à une ordonnance judiciaire, la personne peut exiger la cessation de diffusion ou la désindexation, point final, sans avoir à prouver un préjudice quelconque.

2. Motif fondé sur le préjudice, trois conditions cumulatives

Dans les autres cas, la personne peut exiger la cessation de diffusion, la désindexation ou la réindexation (dans les termes de la requête qu'elle précise) si :

• la diffusion lui cause un préjudice grave relatif au droit au respect de sa réputation ou de sa vie privée;
• ce préjudice est manifestement supérieur à l'intérêt du public de connaître ce renseignement ou à l'intérêt de toute personne de s'exprimer librement;
• la mesure demandée (cessation, réindexation ou désindexation) n'excède pas ce qui est nécessaire pour éviter la perpétuation du préjudice (test des moyens les moins restrictifs).

La loi précise aussi une liste non exhaustive de facteurs à considérer dans l'évaluation de ce deuxième test (caractère de personnalité publique, minorité de la personne au moment des faits, exactitude et actualité du renseignement, sensibilité, contexte de diffusion, délai écoulé, pardon ou restriction d'accessibilité si le renseignement touche une procédure criminelle ou pénale).

En pratique pour une PME#

Ce droit concerne surtout :

• Les forums, sites d'avis, galeries de photos, listes d'employés anciens, articles de blog.
• Les moteurs de recherche internes qui indexent des contenus clients.
• Les annuaires et catalogues publics.

Si votre site web affiche encore le nom d'un ancien employé, d'un client ayant résilié ou d'une personne mentionnée dans un ancien communiqué, vous avez l'obligation d'évaluer toute demande de désindexation selon la voie applicable : d'abord vérifier s'il y a illégalité ou violation d'une ordonnance judiciaire (aucun test de préjudice requis), sinon appliquer le test de préjudice en trois volets ci-dessus.

5. Droit à l'information sur les décisions automatisées (art. 12.1)#

Depuis septembre 2023, lorsqu'une décision est prise exclusivement par un traitement automatisé de renseignements personnels, l'entreprise doit :

• Informer la personne qu'une telle décision a été rendue automatiquement.
• Sur demande, fournir les renseignements personnels utilisés, les raisons principales et les facteurs ayant mené à la décision.
• Offrir à la personne l'occasion de faire corriger les renseignements utilisés.

Exemples typiques :

• Décision automatisée d'accepter ou de refuser un crédit.
• Scoring automatisé d'un candidat par un ATS alimenté par IA.
• Détection automatisée de fraude qui bloque un compte.

Une simple recommandation IA suivie d'une décision humaine n'est pas une « décision fondée exclusivement sur un traitement automatisé ». Mais attention aux processus où la décision humaine se résume à valider le résultat de la machine, la CAI peut les traiter comme automatisés de facto.

Contrairement à l'article 22 du RGPD ou à l'article 65.2 de la Loi sur l'accès applicable au secteur public, l'article 12.1 LPRPSP n'exige pas que la décision produise un effet juridique ou affecte la personne de façon importante : le seul critère déclencheur est l'automatisation exclusive de la décision.

Notre rôle côté TI#

Si un système que nous déployons (automatisation HiloIntelligence, agent IA dans un ATS ou un outil de scoring) participe à une décision, nous pouvons documenter le modèle utilisé et les journaux de métadonnées d'usage (utilisateur, modèle, jetons) pour appuyer une demande d'explication. La qualification légale de la décision comme « exclusivement automatisée » reste à valider avec votre avocat.

6. Droit à la portabilité (art. 27 al. 2, en vigueur depuis le 22 sept. 2024)#

La personne a le droit d'obtenir ses renseignements personnels informatisés dans un format technologique structuré et couramment utilisé, ou de demander leur transmission directe à un autre responsable du traitement.

Ce qui est visé#

• Les renseignements que la personne a fournis (ex. nom, profil, historique de commandes).
• Les renseignements générés par son utilisation du service (ex. préférences, paniers, messages).
• Ne sont pas visés : les observations, analyses, scoring produits par l'entreprise.

Formats acceptables#

• JSON, CSV, XML, Excel.
• PDF uniquement si c'est le seul format d'origine.

La CAI n'a pas imposé de standard obligatoire; le critère est le caractère couramment utilisé: c'est-à-dire réutilisable par un autre fournisseur de services comparable.

La procédure de réponse (art. 32)#

Le délai : 30 jours#

• Le compteur démarre à la réception de la demande (et non à sa transmission au responsable RP interne).
• L'article 32 ne prévoit aucune prolongation : à défaut de répondre dans les 30 jours, l'entreprise est réputée avoir refusé la demande. Le seul mécanisme de prolongation (art. 46) exige une autorisation de la CAI — demandée avant l'expiration des 30 jours, et seulement pour des demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique, ou non conformes à l'objet de la loi. La simple complexité de la demande n'est pas un motif reconnu.

Les étapes#

1. Réception : la demande peut arriver par courriel, lettre, téléphone, formulaire. Horodater immédiatement.
2. Identification : vérifier que la personne est bien celle qu'elle prétend être (pas d'usurpation). Niveau de preuve proportionné à la sensibilité des données.
3. Recherche : exhaustive, y compris archives, sauvegardes, bases de contacts, systèmes d'un fournisseur tiers.
4. Analyse : quelle partie est accessible, quelle partie doit être caviardée (secret d'un tiers, secret d'enquête).
5. Réponse : écrite, motivée, dans la langue de la demande. Si la réponse est un refus partiel ou total, elle doit mentionner la voie de recours.

Le recours à la CAI (art. 42-43)#

Si la personne est insatisfaite de la réponse (refus, silence, réponse incomplète), elle peut soumettre une demande d'examen de mésentente à la CAI (art. 42), dans les 30 jours du refus ou de l'expiration du délai de réponse (art. 43). La Commission peut mener une enquête, ordonner la correction, et imposer une sanction administrative.

Notre rôle côté TI#

Chez HiloTech, nous configurons les outils qui permettent au responsable RP du client de trouver les renseignements rapidement dans Microsoft 365, SharePoint, OneDrive, les CRM, les sauvegardes et les systèmes tiers. Nous ne rédigeons pas la réponse ni ne décidons de ce qui est caviardé, c'est le rôle du responsable RP, validé par l'avocat.

Liste de contrôle rapide#

• Un courriel dédié (ex. privacy@) reçoit les demandes et un employé vérifie la boîte au moins une fois par jour.
• Nous avons un gabarit de réponse aux demandes d'accès, validé par notre avocat.
• Un registre des demandes est tenu (date de réception, nature, délai de réponse, décision).
• Nous savons où chercher, inventaire des systèmes contenant des RP.
• Nous avons un processus de vérification de l'identité proportionné.
• Un processus est prêt pour soumettre à la CAI, avant l'expiration des 30 jours, une demande d'autorisation de prolonger le délai ou de circonscrire une demande manifestement abusive, répétitive ou hors de portée (art. 46).
• Le gabarit de refus mentionne explicitement le recours à la CAI.

Erreurs fréquentes#

• Répondre au-delà de 30 jours.: Le silence vaut refus réputé (art. 32) et ouvre le recours à la CAI, défaut pur et simple.
• Exiger trop de preuves d'identité.: Demander un chèque de banque pour prouver son identité alors que la personne a un compte actif est disproportionné. La vérification doit rester proportionnée à la sensibilité des renseignements demandés (une information déjà au dossier suffit généralement), sans quoi l'entreprise s'expose à une plainte à la CAI pour entrave à l'exercice du droit d'accès.
• Oublier les sauvegardes.: Un employé supprimé du CRM peut rester présent dans une sauvegarde (Veeam, Datto, MSP360) pendant la durée de rétention convenue avec votre fournisseur TI. L'accès doit inclure ces données, même si difficilement.
• Facturer les demandes d'accès.: En principe gratuit. Des frais ne sont permis que pour la transcription, la reproduction ou la transmission (art. 33), et doivent être modérés.

Questions à poser à votre conseiller juridique#

• Quel niveau de preuve d'identité pour quelle catégorie de données?
• Pouvons-nous refuser une demande abusive (très nombreuses, répétitives, manifestement vexatoires)?
• Quelles clauses inclure dans nos contrats de fournisseurs (Microsoft, SaaS) pour garantir qu'ils nous remettront les données nécessaires à une demande d'accès dans nos délais?
• Comment traiter les demandes qui arrivent via un mandataire (avocat, membre de famille, curateur)?