Loi 25 : ce qu’il faut savoir

La Loi 25 a fait l’objet d’une mise à jour en septembre, offrant à l’Association du camionnage du Québec l’occasion de présenter un webinaire en collaboration avec la firme juridique Cain Lamarre afin de faire le point.

Mise en place en 2021, la Loi sur la protection des renseignements personnels dans le secteur privé (aussi appelée Loi sur le privé ou Loi 25) vise à ce que les entreprises fassent preuve de transparence en matière de protection des renseignements personnels de leurs employés.

En septembre 2024, une troisième étape de la Loi est arrivée avec le Droit à portabilité des données, une nouvelle obligation pour les entreprises de  fournir, sur demande, les renseignements personnels informatisés détenus sur la personne concernée dans un format technologique structuré et couramment utilisé, et de communiquer, sur demande, ces renseignements à tout organisme ou personne autorisée par la loi à les obtenir. Cela permet aux personnes concernées de contrôler l’accès à leurs renseignements et de faciliter celui-ci.

«La loi 25, c’est un changement de culture. Si on veut se préoccuper du traitement des renseignements personnels dès le début, on doit commencer avec des solutions technologiques», a déclaré Me Olivier Hamel de Cain Lamare qui, avec ses collègues Félix Aubé-Cornut et Stéphane Lamarre, a expliqué les différentes subtilités et enjeux de la Loi en lien avec l’industrie du camionnage.

Principes de base

Les renseignements personnels sont principalement recueillis dans le dossier d’embauche; le dossier sur les heures de conduite; la documentation pour les douanes et les assurances; les captations audio ou vidéo ainsi que dans la documentation sur les infractions et les accidents. Ces documents contiennent des informations comme l’adresse, des renseignements sur des expériences professionnelles passées, des renseignements financiers ou même des renseignements plus intimes sur l’employé.

L’employeur doit demander clairement le consentement de son employé pour avoir accès à ces informations, notamment en l’indiquant dans le contrat de travail. Cependant, ce ne sont que des hauts dirigeants qui pourraient y avoir accès selon les besoins.

Pour mettre en place des mesures conformes, les employeurs doivent, entre autres, s’assurer de faire affaire avec des professionnels en cybersécurité et réaliser des tests d’intrusion; de documenter les mesures de sécurité par type de renseignements personnels et expliquer les choix en ce qui a trait à la gradation du niveau de sécurité; de ne pas oublier que la protection des renseignements est l’affaire de tout le monde et d’offrir des formations pour sensibiliser les employés.

Documentation pour les douanes et les assurances

L’utilisation des renseignements personnels d’un employé peut s’avérer nécessaire dans certains cas. En particulier en ce qui concerne les assurances ou le camionnage transfrontalier.

«On peut qualifier le passeport de document à renseignements personnels sensibles, car il contient beaucoup de renseignements qui requièrent un plus haut degré d’attentes raisonnables en matière de vie privée», a indiqué Me Olivier Hamel.

La collecte d’un passeport doit donc être nécessaire et correspondre à certains critères, comme avoir un objectif réel, important et légitime; faire en sorte que la collecte soit rationnellement liée à cet objectif; qu’il n’y ait aucune autre solution raisonnable portant moins atteinte à la vie privée; et que l’effet utile soit plus grand que le préjudice susceptible d’être causé.

Il y a quelques formalités à respecter avant de pouvoir transmettre des renseignements aux services frontaliers. Par exemple, toute communication d’un renseignement personnel à l’extérieur du Québec entraîne l’obligation de procéder à une Évaluation des facteurs relatifs à la vie privée (EFVP). De plus, un consentement du chauffeur est requis pour partager des renseignements personnels, qu’ils soient sensibles ou non.

«Il faut juste s’assurer de documenter à l’interne que l’on s’est questionné sur l’obligation de communiquer des renseignements personnels à l’extérieur du Québec et que l’on a été diligent dans la manière de faire», a souligné Me Félix Aubé-Cornut.

Néanmoins, les renseignements personnels ne sont pas conservés de façon permanente, la période allant jusqu’à 12 mois après la fin d’emploi selon le Règlement sur les heures de conduite.

Captation audio ou vidéo

Une caméra installée dans le camion constitue-elle une atteinte à la vie privée? Il faut faire quelques nuances, notamment si elle filme uniquement à l’extérieur. En effet, tout dépend de la configuration de la caméra. Si elle filme uniquement la route sans capter le chauffeur, son consentement n’est pas nécessaire. Mais s’il arrive qu’il passe devant, les choses peuvent être plus compliquées.

Cependant, un enregistrement audio permanent du son de la cabine n’est pas conforme aux normes en matière de protection des renseignements personnels.

Les enjeux liés aux renseignements personnels sont d’autant plus importants lorsque les captations vidéo et audio sont utilisées pour de la documentation sur les infractions et les accidents. Les avocats de Cain Lamarre ont précisé que le consentement du conducteur pour donner un enregistrement vidéo à un assureur est obligatoire s’il contient des renseignements personnels.