Dans ce dernier volet portant sur le Projet de loi nº 64 (ci-après « Projet de loi »)[1] nous aborderons la communication d’un renseignement personnel à la suite d’un décès, certains délais en matière d’appel et de contestation, les sanctions en cas d’infraction et le droit de poursuite privée.

La communication d’un renseignement personnel à la suite d’un décès 

L’article 121 du Projet de loi permet à une personne qui exploite une entreprise de communiquer au conjoint ou à un proche parent d’une personne décédée un renseignement personnel qu’elle détient concernant cette personne, si la connaissance de ce renseignement est susceptible d’aider le requérant dans son processus de deuil.[2]

Cependant, la communication du renseignement personnel sera possible en autant que la personne décédée n’ait n’a pas consigné par écrit son refus d’accorder ce droit d’accès.[3]

Certains délais en matière d’appel et de contestation 

L’article 63 alinéa 2 de la Loi sur la protection des renseignements personnels dans le secteur privé[4] sera vraisemblablement modifié en ce que la déclaration d’appel devra dorénavant être déposée au greffe de la Cour du Québec dans les 30 jours qui suivent la notification de la décision finale. Actuellement, cet article prévoit que la déclaration d’appel doit être déposée dans les 30 jours suivant la date de la réception de la décision finale par les parties. (Nos soulignements)

Le Projet de loi stipule également ce qui suit :

« Le recours en contestation d’une ordonnance prise par la section de surveillance de la Commission est déposé au greffe de la Cour du Québec dans les 30 jours qui suivent la notification de l’ordonnance et précise les questions qui devraient être examinées ».[5]

Par ailleurs, le dépôt du recours en contestation d’une ordonnance prise par la section de surveillance de la Commission d’accès à l’information ne suspend pas l’exécution de cette ordonnance.[6]

Toujours en ce qui concerne la contestation d’une ordonnance prise par la section de surveillance de la Commission, le Projet de loi prévoit que la contestation doit être signifiée à la Commission et, le cas échéant, aux autres parties, dans les 10 jours de son dépôt au greffe de la Cour du Québec. (Notre soulignement) Le secrétaire de la Commission transmet au greffe, pour tenir lieu de dossier conjoint, un exemplaire de l’ordonnance contestée et les pièces qui l’accompagnent.[7]

Enfin, la contestation est régie par les règles du Code de procédure civile applicables en première instance.[8]

Les sanctions en cas d’infraction

Le Projet de loi vise à renforcer l’imputabilité des entreprises. D’une part, il confère plus de pouvoir à la Commission qui peut désormais, par le biais d’une personne qu’elle a désignée et qui n’est pas membre de l’une de ses sections, imposer des sanctions administratives pécuniaires aux entreprises contrevenantes. D’autre part, le montant des amendes prévues aux dispositions pénales est augmenté.

Tout d’abord, une personne désignée par la Commission, mais qui n’est pas membre de l’une de ses sections, peut imposer une sanction administrative pécuniaire à quiconque :[9]

• N’informe pas les personnes concernées conformément aux articles 7 et 8; (les articles 7 et 8 – collecte de renseignements personnels – ont été modifiés) (Notre ajout);

• Recueille, communique, utilise ou détruit des renseignements personnels en contravention avec les dispositions de la Loi sur la protection des renseignements personnels dans le secteur privé;

• Ne déclare pas à la Commission ou aux personnes concernées, lorsqu’il y est tenu, un incident de confidentialité;

• N’informe pas la personne concernée par une décision fondée exclusivement sur un traitement automatisé ou ne lui donne pas l’occasion de présenter ses observations, et ce, en contravention à l’article 12.1.

Également, la Commission devra élaborer et rendre public un cadre général d’application de sanctions administratives pécuniaires et y préciser notamment les éléments suivants :[10]

• Les objectifs poursuivis par ces sanctions, notamment inciter la personne qui exploite une entreprise à prendre rapidement les mesures requises pour remédier au manquement et dissuader la répétition de tels manquements;

• Les critères qui doivent guider les personnes désignées dans la décision d’imposer une sanction lorsqu’un manquement est constaté, notamment :

• La nature, la gravité, le caractère répétitif et la durée du manquement;
• La sensibilité des renseignements personnels concernés par le manquement;
• Le nombre de personnes concernées par le manquement et le risque de préjudice auquel ces personnes sont exposées;
• Les mesures prises par la personne en défaut pour remédier au manquement ou en atténuer les conséquences;
• Le degré de collaboration offert à la Commission en vue de remédier au manquement ou d’en atténuer les conséquences;
• La compensation offerte par la personne en défaut, à titre de dédommagement, à toute personne concernée par le manquement;

• Les circonstances dans lesquelles le recours pénal sera priorisé;

• Les autres modalités relatives à l’imposition d’une telle sanction.

Il convient de mentionner que la personne en défaut peut, par écrit, demander à la Commission le réexamen de la décision d’imposer une sanction administrative pécuniaire dans les 30 jours de la notification de l’avis de réclamation.[11] (Notre soulignement).

En plus, la décision en réexamen confirmant ou modifiant la décision d’imposer une sanction administrative pécuniaire peut être contestée devant la Cour du Québec dans les 30 jours qui suivent la notification de la décision contestée.[12]

Également, l’imposition d’une sanction administrative pécuniaire se prescrit par deux ans à compter de la date du manquement à la Loi sur la protection des renseignements personnels dans le secteur privé.[13]

En ce qui concerne le montant maximal auquel peut s’élever la sanction administrative pécuniaire, il est de 50 000 $ pour une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2 % du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé.[14]

Quant aux amendes prévues aux dispositions pénales, le montant de ces dernières peut s’élever de 5 000 $ à 50 000 $ pour une personne physique. Dans les autres cas, l’amende peut varier de 15 000 $ à 25 000 000 $ ou encore, du montant correspondant à 4 % du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé.[15]

Les situations pouvant mener à l’imposition d’une amende sont nombreuses et comprennent notamment :[16]

• La cueillette, la détention et la communication à un tiers ou l’utilisation d’un renseignement personnel en contravention Loi sur la protection des renseignements personnels dans le secteur privé;

• L’omission de déclarer, s’il est tenu de le faire, un incident de confidentialité à la Commission ou aux personnes concernées;

• Procéder ou tenter de procéder à l’identification d’une personne physique à partir de renseignements dépersonnalisés sans l’autorisation de la personne les détenant ou à partir de renseignements anonymisés;

• La contravention par un agent de renseignements personnels aux articles 70, 70.1, 71, 72, 78, 79 ou 79.1 de la Loi sur la protection des renseignements personnels dans le secteur privé;

• L’entrave au déroulement d’une enquête ou d’une inspection de la Commission ou de l’instruction d’une demande par la Commission en lui communiquant des renseignements faux ou inexacts, ou en omettant de lui communiquer des renseignements qu’elle requiert ou autrement;

• La contravention à l’article 81.1, soit l’interdiction d’exercer des représailles contre une personne qui a de bonne foi déposé une plainte à la Commission ou collaboré à une enquête, ou encore, la contravention à l’interdiction de menacer une personne de représailles pour qu’elle s’abstienne de déposer une plainte ou de collaborer à une enquête;

• Le refus ou la négligence de se conformer, dans le délai fixé, à une demande de la Commission en application de l’article 81.2 de la Loi sur la protection des renseignements personnels dans le secteur privé;

• La contravention à une ordonnance de la Commission.

Précisons que la poursuite pénale doit être intentée dans un délai de trois ans de la perpétration de l’infraction.[17]

Le droit de poursuite privée 

Finalement, le Projet de loi prévoit qu’à moins que le préjudice ne résulte d’une force majeure, la personne qui exploite une entreprise qui conserve un renseignement personnel est tenue de la réparation du préjudice résultant d’une atteinte illicite à un droit conféré par la Loi sur la protection des renseignements personnels dans le secteur privé ou par les articles 35 à 40 du Code civil du Québec.[18]

Finalement, lorsque l’atteinte est intentionnelle ou résulte d’une faute lourde, le tribunal accorde des dommages-intérêts punitifs d’au moins 1 000 $.[19]

Ceci complète notre série de quatre articles portant sur le Projet de loi nº 64. Bien que ce dernier puisse encore être amendé, il n’en demeure pas moins que considérant l’ampleur des modifications proposées, la proactivité des avocats en droit des affaires ou en contentieux d’entreprise est de mise afin d’aider leurs clients dans l’élaboration d’un cadre propice au respect des nouvelles exigences.

 

[1] Projet de loi nº 64, Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, 42^e lég. (Qc), 1^re sess., 2020.

[2] Id., art. 121.

[3] Id.

[4] Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 63.

[5] Projet de loi nº 64, préc., note 1, art. 131.

[6] Id., art. 132.

[7] Id., art. 133.

[8] Id., art. 134.

[9] Id., art. 150.

[10] Id.

[11] Id.

[12] Id.

[13] Id.

[14] Id.

[15] Id., art. 151.

[16] Id.

[17] Id.

[18] Projet de loi nº 64, préc., note 1, art. 152.                                

[19] Id.