La Loi 25.
Du concret,
au quotidien.

Oui. L'article 14 exige un consentement manifeste, libre et éclairé, donné à des fins spécifiques et « demandé à chacune de ces fins ». Un consentement groupé, qui n'a pas été demandé pour chacune des fins, est sans effet (art. 14). Un bouton « Tout accepter » placé après une présentation séparée des fins est une commodité, pas un raccourci. Quand la demande est faite par écrit, elle doit aussi être présentée distinctement de toute autre information communiquée à la personne concernée.

En pratique, c'est à l'entreprise de démontrer un consentement valide : un consentement non conforme est sans effet (art. 14) et l'entreprise est responsable des renseignements qu'elle détient (art. 3.1). Recueillir le consentement est facile, mais c'est de pouvoir le démontrer après coup qui compte. Une case cochée dans une base de données, que vous auriez pu modifier, ne prouve ni quand le consentement a été donné, ni pour quelle fin, ni qu'il a été respecté jusqu'au retrait. Une preuve de consentement est un enregistrement vérifiable, rattaché à la fin précise visée (art. 8 et 14), qu'un régulateur ou un vérificateur peut contrôler sur demande.

L'article 8 impose, au moment de la collecte et en termes simples et clairs, d'informer la personne concernée des fins de la collecte, des moyens utilisés, de ses droits d'accès et de rectification, et de son droit de retirer son consentement. Le cas échéant, il faut aussi nommer le tiers pour qui la collecte est faite, les catégories de destinataires et la possibilité d'une communication à l'extérieur du Québec. Sur demande, s'ajoutent les catégories de personnes qui ont accès aux renseignements, la durée de conservation et les coordonnées du responsable de la protection des renseignements personnels.

La personne concernée peut demander l'accès à ses renseignements et une copie (art. 27), demander la rectification de renseignements inexacts (art. 28), et retirer son consentement à tout moment (art. 8, par. 4). Les renseignements informatisés recueillis auprès d'elle doivent, sur demande, lui être communiqués dans un format technologique structuré et couramment utilisé (art. 27, al. 3). Le responsable doit répondre par écrit, avec diligence et au plus tard dans les 30 jours ; à défaut, la demande est réputée refusée (art. 32).

Oui. L'article 3.1 confie la protection des renseignements personnels à un responsable ; par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, qui peut déléguer cette fonction par écrit. Le titre et les coordonnées de ce responsable doivent être publiés, notamment sur le site Web de l'entreprise. C'est la personne nommée qui doit répondre des demandes d'accès et porter la reddition de comptes, article à l'appui (le terme statutaire est « responsable de la protection des renseignements personnels », pas « DPO »).

Quand les fins de la collecte sont accomplies, l'article 23 oblige l'entreprise à détruire les renseignements personnels ou à les anonymiser selon les meilleures pratiques, sous réserve d'un délai de conservation prévu par la loi. Au Québec, « anonymisé » pose une barre stricte : le procédé doit être irréversible, ce qui est distinct de la simple dépersonnalisation. La cessation de la diffusion et la désindexation (art. 28.1) répondent à ce que le public appelle souvent le « droit à l'oubli », mais ce n'est pas le terme de la loi.