Se conformer à la Loi 25, une étape à la fois.

Une personne doit être responsable de la protection des renseignements personnels dans votre entreprise. Par défaut, c'est la personne ayant la plus haute autorité, mais le rôle peut être délégué.

• Désigner un responsable (RPRP).
• Publier son titre et ses coordonnées sur votre site web.
• Le rendre facile à joindre pour toute demande.

Avant tout, sachez ce que vous détenez. Faites l'inventaire des renseignements personnels que vous recueillez et suivez leur cycle de vie.

• Lister ce que vous collectez (clients, employés, prospects).
• Noter pourquoi, où c'est stocké et qui y a accès.
• Déterminer combien de temps vous les conservez.

Ne recueillez que le nécessaire, protégez ce que vous gardez, puis détruisez ou anonymisez ce qui n'est plus utile.

• Ne collecter que les renseignements réellement nécessaires.
• Mettre des mesures de sécurité raisonnables (accès, mots de passe, MFA, sauvegardes).
• Détruire ou anonymiser une fois la finalité atteinte.

Les personnes doivent savoir clairement ce que vous faites de leurs renseignements. Informez-les au moment de la collecte et publiez une politique de confidentialité.

• Publier une politique de confidentialité claire et accessible.
• Indiquer, à la collecte, les finalités et les droits.
• Nommer les tiers avec qui vous partagez, le cas échéant.

Le consentement doit être clair, libre et éclairé, et demandé séparément pour chaque finalité. Pour les renseignements sensibles, il doit être exprès.

• Demander le consentement en termes simples, par finalité.
• Éviter les cases pré-cochées — le consentement est un choix actif.
• Permettre de retirer son consentement facilement.

Encadrez la gestion des renseignements personnels par des politiques et pratiques internes, et publiez l'information à leur sujet.

• Rédiger des politiques (rôles, conservation, destruction, accès).
• Former votre personnel à ces pratiques.
• Publier l'information sur vos pratiques de gouvernance.

En cas de fuite ou d'accès non autorisé, vous devez réagir : évaluer le risque, tenir un registre et aviser lorsque nécessaire.

• Tenir un registre des incidents de confidentialité.
• Évaluer le risque de préjudice sérieux pour les personnes.
• Aviser la CAI et les personnes concernées lorsque requis.

Les personnes ont des droits (accès, rectification, retrait, portabilité). Vos contrats avec fournisseurs et vos transferts hors Québec doivent aussi protéger les renseignements.

• Répondre aux demandes dans un délai de 30 jours.
• Inclure des clauses de protection dans les contrats fournisseurs.
• Faire une évaluation (ÉFVP) avant certains projets ou transferts hors Québec.