Institutions — 12 May 2021 (42nd Legislature, 1st Session)

CI 2021-05-12

Quebec — Committees

(Onze heures dix-sept minutes)

Le Président

(M. Bachand) : Bon matin. Ayant constaté le quorum, je

déclare la séance de la Commission des institutions ouverte. Avant de débuter

les travaux de la commission, je vous rappelle que le port du masque de

procédure est obligatoire en tout temps hormis au moment de prendre la parole

durant nos travaux.

La commission est réunie afin de poursuivre l'étude

détaillée du projet de loi n° 64, Loi modernisant des

dispositions législatives en matière de protection des renseignements

personnels.

Avant de débuter, Mme la secrétaire, y a-t-il

des remplacements?

Secrétaire : Oui, M. le Président. M. Birnbaum

(D'Arcy-McGee) est remplacé par M. Barrette (La Pinière); M. Zanetti (Jean-Lesage), par M. Nadeau-Dubois

(Gouin); et Mme Hivon (Joliette), par M. Ouellet

(René-Lévesque).

Le Président (M. Bachand) :

Merci. Je vous rappelle qu'il avait été convenu de suspendre le

titre des amendements

visant à introduire l'article 36.1 proposé par le ministre.

Nous avions également suspendu les articles 78 à 85 inclusivement

et 93 du projet de loi.

Lors de l'ajournement de nos travaux, hier, nous

venions d'adopter l'amendement visant à introduire le nouvel

article 94.1.

Donc, M. le ministre, je vous invite donc à lire l'article 95 du projet de

loi.

M. Caire : Oui. Merci,

M. le Président. Écoutez, j'espère que vous êtes patient, parce que celui-là,

il est assez costaud. Donc, l'article 95 : Cette loi est modifiée par

l'insertion, après l'article 3, de la

section suivante :

«Responsabilités relatives à la protection des

renseignements personnels.

«3.1. Toute

personne qui exploite une entreprise est responsable de la protection des

renseignements personnels qu'elle détient.

«Au sein de l'entreprise, la personne ayant la

plus haute autorité veille à assurer le respect et la mise en oeuvre de la

présente loi. Elle exerce la fonction de responsable de la protection des

renseignements personnels; elle peut déléguer cette fonction par écrit, en tout

ou en partie, à un membre du personnel.

«Le

titre et les coordonnées du responsable de

la protection des renseignements personnels sont publiés sur le site Internet

de l'entreprise ou, si elle n'a pas de site, rendus accessibles par tout autre

moyen approprié.

«3.2. Toute personne qui exploite une entreprise

doit établir et mettre en oeuvre des politiques et des pratiques encadrant [la]

gouvernance à l'égard des renseignements personnels et propres à assurer la

protection de ces renseignements. Celles-ci doivent notamment prévoir

l'encadrement applicable [...] la conservation et [...] la destruction de ces

renseignements, prévoir les rôles et les responsabilités des membres de son

personnel tout au long du cycle de vie de ces renseignements et un processus de

traitement des plaintes relatives à la protection de ceux-ci. Elles doivent également être proportionnées à la

nature et à l'importance des activités de l'entreprise et être

approuvées par [les responsables] de la protection des renseignements

personnels.

«Ces politiques sont publiées sur le site

Internet de l'entreprise ou, si elle n'a pas de site, rendues accessibles par

tout autre moyen approprié.

«3.3. Toute personne qui exploite une entreprise

doit procéder à une évaluation des facteurs relatifs à la vie privée de tout

projet de système d'information ou de prestation électronique de services

impliquant la collecte, l'utilisation, la communication, la conservation ou la

destruction de renseignements personnels.

«Aux fins de

cette évaluation, la personne doit consulter, dès le début du projet, son

responsable de la protection des renseignements personnels.

«La personne doit également s'assurer que ce

projet permet qu'un renseignement personnel informatisé recueilli auprès de la

personne concernée soit communiqué à cette dernière dans un format

technologique structuré et couramment utilisé.

«3.4. Le responsable de la protection des

renseignements personnels peut, à toute étape d'un projet visé à

l'article 3.3, suggérer des mesures de protection des renseignements

personnels applicables à ce projet, telles que :

«1° la nomination

d'une personne chargée de la mise en oeuvre des mesures de protection des

renseignements personnels;

«2° des mesures de protection des renseignements

personnels dans tout document relatif au projet;

«3° une description des responsabilités des participants

au projet en matière de protection des renseignements personnels;

«4° la tenue

d'activités de formation sur la protection des renseignements personnels pour

les participants au projet.

«3.5.

Une personne qui exploite une entreprise et qui a des motifs de croire que

s'est produit un incident de confidentialité impliquant un renseignement

personnel qu'elle détient doit prendre les mesures raisonnables pour diminuer

les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de même

nature ne se produisent.

«Si l'incident

présente un risque qu'un préjudice sérieux soit causé, elle doit, avec

diligence, aviser la Commission d'accès à l'information instituée à

l'article 103 de la

Loi sur l'accès aux documents des organismes publics et

sur la protection des renseignements personnels (chapitre A-2.1). Elle

doit également aviser toute personne dont un

renseignement personnel est concerné par l'incident, à défaut de quoi la

commission peut lui ordonner de le faire. Elle peut également aviser toute personne ou tout organisme susceptible

de diminuer ce risque, en ne lui communiquant que les renseignements

personnels nécessaires à cette fin sans le consentement de la personne

concernée. Dans ce dernier cas, le responsable de la protection des

renseignements personnels doit enregistrer la communication.

«Malgré le

deuxième alinéa, une personne dont un renseignement personnel est concerné

par l'incident n'a pas à être avisée tant que cela serait susceptible

d'entraver une enquête faite par une personne ou un organisme qui, en vertu de

la loi, est chargé de prévenir, détecter ou réprimer le crime ou les

infractions aux lois.

règlement du gouvernement peut déterminer le contenu et les modalités des avis

prévus au présent article.

«3.6. Pour

l'application de la présente loi, on entend par "incident de

confidentialité" :

«1° l'accès non

autorisé par la loi à un renseignement personnel;

«2° l'utilisation non

autorisée par la loi d'un renseignement personnel;

«3° la communication

non autorisée par la loi d'un renseignement personnel;

«4° la perte d'un

renseignement personnel ou toute autre atteinte à la protection d'un tel

renseignement.

«3.7. Lorsqu'elle

évalue le risque qu'un préjudice soit causé à une personne dont un

renseignement personnel est concerné par un

incident de confidentialité, la personne qui exploite une entreprise doit

considérer notamment la sensibilité

du renseignement concerné, les conséquences appréhendées de son utilisation et

la probabilité qu'il soit utilisé à des fins

préjudiciables. Elle doit également consulter son responsable de la protection

des renseignements personnels.

«3.8.

La personne qui exploite une entreprise doit tenir un registre des incidents de

confidentialité. Un règlement du gouvernement peut déterminer la teneur

de ce registre.

«Sur demande de la

commission, une copie de ce registre lui est transmise.»

Donc, M. le

Président, petite explication à tout ça. Donc, l'article introduit les

articles 3.1 à 3.8 à la

Loi sur la protection des renseignements

personnels dans le secteur privé. Cet

article prévoit que toute personne qui

exploite une entreprise est responsable de la protection des renseignements

personnels qu'elle détient. Il prévoit aussi que la personne ayant la plus

haute autorité au sein de l'entreprise veille à y assurer le respect de la loi

et y exerce les fonctions de responsable de l'accès aux documents et celle de

responsable de la protection des renseignements personnels en plus de prévoir

que ces fonctions peuvent être déléguées.

Cet

article prévoit

que toute personne qui exploite une entreprise doit mettre en oeuvre des

politiques et des pratiques encadrant la gouvernance à l'égard des

renseignements personnels et propres à assurer la protection de ces

renseignements en plus de prévoir le contenu de celles-ci. Cet

article prévoit

qu'une personne qui exploite une entreprise doit procéder à une évaluation des

facteurs relatifs à la vie privée de tout projet de système d'information ou de

prestation électronique de services impliquant la collecte, l'utilisation, la

communication, la conservation ou la destruction de renseignements personnels.

Il prévoit également

qu'aux fins de cette évaluation le responsable de la protection des

renseignements personnels, prévu à l'article 3.1 de la loi, doive être

consulté. Il exige enfin que tout nouveau système d'information de prestation

électronique de services permette qu'un renseignement personnel informatique

recueilli auprès de la personne concernée soit communiqué à cette dernière dans

un format technologique structuré et couramment utilisé.

Cet

article prévoit

que le responsable de la protection des renseignements personnels prévu à

l'article 3.1 de la loi peut, à toute étape d'un projet de système

d'information ou de prestation électronique de services, suggérer des mesures

de protection des renseignements personnels applicables à ce projet.

Cet

article prévoit

qu'une personne qui exploite une entreprise et qui a des motifs de croire qu'il

s'est produit un incident de confidentialité impliquant un renseignement

personnel qu'elle détient doive prendre les mesures raisonnables pour diminuer

les risques qu'un préjudice soit causé et éviter que de nouveaux incidents de

même nature ne se produisent. Il prévoit également que, si l'incident présente

un risque qu'un préjudice sérieux soit causé, l'entreprise doit, avec

diligence, aviser le Commission d'accès à l'information ainsi que toute

personne dont le renseignement personnel est concerné par l'incident.

Cet

article définit

ce que l'on entend par un incident de confidentialité. Cet

article prévoit ce

qui doit être considéré par une personne qui exploite une entreprise lorsque

celui-ci évalue le risque qu'un préjudice soit causé à une personne dont un

renseignement personnel est concerné par un incident de confidentialité. Cet

article prévoit qu'une personne qui exploite une entreprise doive tenir un

registre des incidents de confidentialité.

M. le Président, j'ai

aussi des amendements à présenter à cet article. Je ne sais pas, M. le

Président, si vous souhaitez que je les lise maintenant. Je pourrais lire les

amendements en question.

Président (M. Bachand) : Un amendement à la fois.

M. Caire :

Un amendement à la fois. Je vous épargnerai mes talents de chanteur.

Président (M. Bachand) : Mais, juste avant d'aller plus

loin, parce que l'article est très, très, très long, il fait miroir des

dispositions légales, ça fait que je ne sais pas s'il y aurait peut-être une

discussion plus générale avant d'aller à l'amendement. M. le député de

LaFontaine.

M. Tanguay :

Oui. Merci, M. le Président. Juste au niveau de l'organisation de nos travaux,

la dernière fois, cet article-là, quand on l'avait vu dans le contexte des

organismes publics, on l'avait abordé quand même de façon un peu plus

systématique, 3.1, 3.2. Dans le cas-ci, ça serait les... Est-ce que les

amendements du ministre... Parce que je peux voir qu'il y en a un à 3.1. Donc,

je ne sais pas pour mon collègue de Gouin, je ne veux pas l'empêcher de parler, s'il veut parler de façon générale, mais

on pourrait peut-être y aller, là, 3.1, puis y aller de façon systématique

sur ces amendements. Mais peut-être une

question d'abord, puis c'est ce que je faisais avec Sophie, là, on a adopté...

On a eu de grandes discussions à l'époque, qui était l'article 1,

de grandes discussions, puis il y a eu de

Document details

Collection	Quebec — Committees
Citation	CI 2021-05-12
Type	committee
Volume / chapter	fr travaux parlementaires commissions ci 42 1 journal debats CI 210512.html
Language	en
Format	html
Source	PROVINCIAL
Identifier	eb194e1f4c4fc3af40f96f06ed480f432a5f91ff

Source file is stored in the law ingest library (html).