Les droits des personnes concernées
La Loi 25 renforce considérablement les droits des individus. Votre organisation doit être capable d'y répondre dans un délai d'environ 30 jours.
Droit d'accès
Toute personne peut demander à consulter les renseignements personnels que vous détenez à son sujet. L'organisation doit les communiquer dans un format intelligible, avec, sur demande, l'information sur leur source. Délai : environ 30 jours.
Droit de rectification
La personne peut faire corriger un renseignement inexact, incomplet ou équivoque, ou faire supprimer un renseignement recueilli illégalement ou conservé au-delà de la période permise.
Droit à la portabilité
Sur demande, l'organisation doit communiquer à la personne les renseignements informatisés qu'elle vous a fournis, dans un format technologique structuré et couramment utilisé — ou les transmettre directement à un autre organisme désigné, lorsque c'est techniquement possible.
Droit à la désindexation et à la cessation de diffusion
La personne peut exiger que vous cessiez la diffusion d'un renseignement ou que vous désindexiez tout hyperlien permettant d'y accéder, lorsque :
- La diffusion lui cause un préjudice
- Le préjudice l'emporte sur l'intérêt du public à connaître l'information ou sur la liberté d'expression
C'est l'équivalent québécois, encadré, du « droit à l'oubli » européen.
Droit de retrait du consentement
La personne peut retirer son consentement à tout moment. L'organisation doit en faciliter l'exercice et cesser le traitement concerné, sous réserve d'obligations légales de conservation.
Droits liés à la décision automatisée
Lorsqu'une décision est fondée exclusivement sur un traitement automatisé, la personne a le droit :
- D'en être informée
- De connaître les renseignements utilisés et les principaux facteurs de la décision
- De présenter ses observations à un membre du personnel en mesure de réviser la décision
Traitement d'une demande — 6 étapes (~30 jours)
- Recevoir la demande via un point de contact unique (idéalement le RPRP)
- Vérifier l'identité du demandeur avant toute communication
- Identifier les renseignements visés par la demande
- Évaluer les exceptions applicables (droits de tiers, secret professionnel, etc.)
- Répondre par écrit dans le délai (≈30 jours), en motivant tout refus et indiquant les recours possibles
- Consigner la demande et la réponse pour preuve de diligence
| Droit | En vigueur depuis | Délai indicatif |
|---|---|---|
| Accès | Phase 2 — sept. 2023 | ~30 jours |
| Rectification | Phase 2 — sept. 2023 | ~30 jours |
| Portabilité | Phase 3 — sept. 2024 | ~30 jours |
| Désindexation / cessation | Phase 3 — sept. 2024 | Raisonnable |
| Retrait du consentement | Phase 2 — sept. 2023 | Sans délai indu |
✓ Checklist droits des personnes
- ☐ Avons-nous un point de contact unique (RPRP) pour les demandes d'exercice de droits?
- ☐ Pouvons-nous extraire les données d'une personne dans un format portable (CSV, JSON)?
- ☐ Vérifions-nous l'identité du demandeur avant de répondre?
- ☐ Documentons-nous chaque demande et chaque réponse?