p-39.1 - Loi sur la protection des renseignements personnels dans le secteur privé

À jour au 22 septembre 2024

Ce document a valeur officielle.

chapitre P-39.1

Loi sur la protection des renseignements personnels dans le secteur privé

SECTION I APPLICATION ET INTERPRÉTATION

1. La présente loi a pour objet d’établir, pour l’exercice des droits conférés par les articles 35 à 40 du Code civil en matière de protection des renseignements personnels, des règles particulières à l’égard des renseignements personnels sur autrui qu’une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l’exploitation d’une entreprise au sens de l’article 1525 du Code civil.

Elle s’applique à ces renseignements, que leur conservation soit assurée par l’entreprise ou par un tiers, quelle que soit la nature de leur support et quelle que soit la forme sous laquelle ils sont accessibles: écrite, graphique, sonore, visuelle, informatisée ou autre.

Elle s’applique aussi aux renseignements personnels détenus par un ordre professionnel dans la mesure prévue par le Code des professions (chapitre C-26) et à ceux détenus par un parti politique, un député indépendant ou un candidat indépendant dans la mesure prévue par la Loi électorale (chapitre E-3.3).

La présente loi ne s’applique pas à la collecte, la détention, l’utilisation ou la communication de matériel journalistique, historique ou généalogique à une fin d’information légitime du public.

Les sections II et III de la présente loi ne s’appliquent pas à un renseignement personnel qui a un caractère public en vertu de la Loi. Elles ne s’appliquent pas non plus aux renseignements personnels qui concernent l’exercice par la personne concernée d’une fonction au sein d’une entreprise, tels que son nom, et sa fonction, de même que l’adresse, l’adresse de courrier électronique et le numéro de téléphone de son lieu de travail.

1993, c. 17, a. 1; 2002, c. 19, a. 19; 2006, c. 22, a. 111; 2021, c. 25, a. 100.

1.1. Pour l’application de la présente loi, une personne qui recueille des renseignements personnels sur autrui en raison d’un intérêt sérieux et légitime est réputée constituer un dossier au sens du Code civil et les droits concernant ce dossier conférés par les articles 35 à 40 de ce code s’appliquent aux renseignements personnels recueillis.

2021, c. 25, a. 101.

2. Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier.

1993, c. 17, a. 2; 2021, c. 25, a. 102.

3. La présente loi ne s’applique pas:

1°  à un organisme public au sens de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1);

2°  aux renseignements qu’une personne autre qu’un organisme public détient, pour le compte de ce dernier;

3°  aux renseignements de santé et de services sociaux au sens de la Loi sur les renseignements de santé et de services sociaux (chapitre R-22.1) détenus par un organisme du secteur de la santé et des services sociaux au sens de cette loi ou par une personne autre qu’un tel organisme, pour le compte de ce dernier.

1993, c. 17, a. 3; 2006, c. 22, a. 112; 2023, c. 5, a. 229.

SECTION I.1 RESPONSABILITÉS RELATIVES À LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

2021, c. 25, a. 103.

3.1. Toute personne qui exploite une entreprise est responsable de la protection des renseignements personnels qu’elle détient.

Au sein de l’entreprise, la personne ayant la plus haute autorité veille à assurer le respect et la mise en oeuvre de la présente loi. Elle exerce la fonction de responsable de la protection des renseignements personnels; elle peut déléguer cette fonction par écrit, en tout ou en partie, à toute personne.

Le titre et les coordonnées du responsable de la protection des renseignements personnels sont publiés sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendus accessibles par tout autre moyen approprié.

2021, c. 25, a. 103.

3.2. Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l’égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l’encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements et un processus de traitement des plaintes relatives à la protection de ceux-ci. Elles doivent également être proportionnées à la nature et à l’importance des activités de l’entreprise et être approuvées par le responsable de la protection des renseignements personnels.

Des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont, en termes simples et clairs, publiées sur le site Internet de l’entreprise ou, si elle n’a pas de site, rendues accessibles par tout autre moyen approprié.

2021, c. 25, a. 103.

3.3. Toute personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée de tout projet d’acquisition, de développement et de refonte de système d’information ou de prestation électronique de services impliquant la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels.

Aux fins de cette évaluation, la personne doit consulter, dès le début du projet, son responsable de la protection des renseignements personnels.

La personne doit également s’assurer que ce projet permet qu’un renseignement personnel informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé.

La réalisation d’une évaluation des facteurs relatifs à la vie privée en application de la présente loi doit être proportionnée à la sensibilité des renseignements concernés, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support.

2021, c. 25, a. 103.

3.4. Le responsable de la protection des renseignements personnels peut, à toute étape d’un projet visé à l’article 3.3, suggérer des mesures de protection des renseignements personnels applicables à ce projet, telles que:

1°  la nomination d’une personne chargée de la mise en oeuvre des mesures de protection des renseignements personnels;

2°  des mesures de protection des renseignements personnels dans tout document relatif au projet;

3°  une description des responsabilités des participants au projet en matière de protection des renseignements personnels;

4°  la tenue d’activités de formation sur la protection des renseignements personnels pour les participants au projet.

2021, c. 25, a. 103.

3.5. Une personne qui exploite une entreprise et qui a des motifs de croire que s’est produit un incident de confidentialité impliquant un renseignement personnel qu’elle détient doit prendre les mesures raisonnables pour diminuer les risques qu’un préjudice soit causé et éviter que de nouveaux incidents de même nature ne se produisent.

Si l’incident présente un risque qu’un préjudice sérieux soit causé, elle doit, avec diligence, aviser la Commission d’accès à l’information instituée par l’article 103 de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1). Elle doit également aviser toute personne dont un renseignement personnel est concerné par l’incident, à défaut de quoi la Commission peut lui ordonner de le faire. Elle peut également aviser toute personne ou tout organisme susceptible de diminuer ce risque, en ne lui communiquant que les renseignements personnels nécessaires à cette fin sans le consentement de la personne concernée. Dans ce dernier cas, le responsable de la protection des renseignements personnels doit enregistrer la communication.

Malgré le deuxième alinéa, une personne dont un renseignement personnel est concerné par l’incident n’a pas à être avisée tant que cela serait susceptible d’entraver une enquête faite par une personne ou par un organisme qui, en vertu de la loi, est chargé de prévenir, détecter ou réprimer le crime ou les infractions aux lois.

Un règlement du gouvernement peut déterminer le contenu et les modalités des avis prévus au présent article.

2021, c. 25, a. 103.

3.6. Pour l’application de la présente loi, on entend par «incident de confidentialité» :

1°  l’accès non autorisé par la loi à un renseignement personnel;

2°  l’utilisation non autorisée par la loi d’un renseignement personnel;

3°  la communication non autorisée par la loi d’un renseignement personnel;

4°  la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement.

2021, c. 25, a. 103.

3.7. Lorsqu’elle évalue le risque qu’un préjudice soit causé à une personne dont un renseignement personnel est concerné par un incident de confidentialité, la personne qui exploite une entreprise doit considérer notamment la sensibilité du renseignement concerné, les conséquences appréhendées de son utilisation et la probabilité qu’il soit utilisé à des fins préjudiciables. Elle doit également consulter son responsable de la protection des renseignements personnels.

2021, c. 25, a. 103.

3.8. La personne qui exploite une entreprise doit tenir un registre des incidents de confidentialité. Un règlement du gouvernement peut déterminer la teneur de ce registre.

Sur demande de la Commission, une copie de ce registre lui est transmise.

2021, c. 25, a. 103.

SECTION II COLLECTE DE RENSEIGNEMENTS PERSONNELS

4. Toute personne qui exploite une entreprise et qui, en raison d’un intérêt sérieux et légitime, recueille des renseignements personnels sur autrui doit, avant la collecte, déterminer les fins de celle-ci.

1993, c. 17, a. 4; 1999, c. 40, a. 233; 2021, c. 25, a. 104.

4.1. Les renseignements personnels concernant un mineur de moins de 14 ans ne peuvent être recueillis auprès de celui-ci sans le consentement du titulaire de l’autorité parentale ou du tuteur, sauf lorsque cette collecte est manifestement au bénéfice de ce mineur.

2021, c. 25, a. 104.

5. La personne qui recueille des renseignements personnels sur autrui ne doit recueillir que les renseignements nécessaires aux fins déterminées avant la collecte.

Ces renseignements doivent être recueillis par des moyens licites.

1993, c. 17, a. 5; 2021, c. 25, a. 105.

6. La personne qui recueille des renseignements personnels sur autrui doit les recueillir auprès de la personne concernée, à moins que celle-ci ne consente à la cueillette auprès de tiers.

Toutefois, elle peut, sans le consentement de la personne concernée, recueillir ces renseignements auprès d’un tiers si la loi l’autorise.

Elle peut faire de même si elle a un intérêt sérieux et légitime et si l’une ou l’autre des conditions suivantes se réalise:

1°  les renseignements sont recueillis dans l’intérêt de la personne concernée et ils ne peuvent être recueillis auprès de celle-ci en temps opportun;

2°  la cueillette auprès d’un tiers est nécessaire pour s’assurer de l’exactitude des renseignements.

1993, c. 17, a. 6.

7. La personne qui recueille des renseignements personnels auprès d’une autre personne qui exploite une entreprise doit, à la demande de la personne concernée, informer celle-ci de la source de ces renseignements.

Le présent article ne s’applique pas à un dossier d’enquête constitué en vue de prévenir, détecter ou réprimer un crime ou une infraction à la loi.

1993, c. 17, a. 7; 1999, c. 40, a. 233; 2021, c. 25, a. 106.

8. La personne qui recueille des renseignements personnels auprès de la personne concernée doit, lors de la collecte et par la suite sur demande, l’informer:

1°  des fins auxquelles ces renseignements sont recueillis;

2°  des moyens par lesquels les renseignements sont recueillis;

3°  des droits d’accès et de rectification prévus par la loi;

4°  de son droit de retirer son consentement à la communication ou à l’utilisation des renseignements recueillis.

Le cas échéant, la personne concernée est informée du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins visées au paragraphe 1° du premier alinéa et de la possibilité que les renseignements soient communiqués à l’extérieur du Québec.

Sur demande, la personne concernée est également informée des renseignements personnels recueillis auprès d’elle, des catégories de personnes qui ont accès à ces renseignements au sein de l’entreprise, de la durée de conservation de ces renseignements, ainsi que des coordonnées du responsable de la protection des renseignements personnels.

L’information doit être transmise à la personne concernée en termes simples et clairs, quel que soit le moyen utilisé pour recueillir les renseignements.

1993, c. 17, a. 8; 2021, c. 25, a. 107.

8.1. En plus des informations devant être fournies suivant l’article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l’identifier, de la localiser ou d’effectuer un profilage de celle-ci doit, au préalable, l’informer:

1°  du recours à une telle technologie;

2°  des moyens offerts pour activer les fonctions permettant d’identifier, de localiser ou d’effectuer un profilage.

Le profilage s’entend de la collecte et de l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques d’une personne physique, notamment à des fins d’analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement de cette personne.

2021, c. 25, a. 107.

8.2. La personne qui recueille par un moyen technologique des renseignements personnels doit publier sur le site Internet de l’entreprise, le cas échéant, et diffuser par tout moyen propre à atteindre les personnes concernées une politique de confidentialité rédigée en termes simples et clairs. Elle fait de même pour l’avis dont toute modification à cette politique doit faire l’objet.

2021, c. 25, a. 107.

8.3. Toute personne qui fournit ses renseignements personnels suivant l’article 8 consent à leur utilisation et à leur communication aux fins visées au paragraphe 1° du premier alinéa de cet article.

2021, c. 25, a. 107.

8.4. Nul ne peut, après avoir été avisé par un agent d’évaluation du crédit conformément à l’article 9 de la Loi sur les agents d’évaluation du crédit (chapitre A-8.2) de l’existence d’un gel de sécurité interdisant à ce dernier de communiquer des renseignements personnels, en demander communication auprès d’un autre agent d’évaluation du crédit aux fins de la même conclusion de contrat ou de la même augmentation de crédit pour lesquelles avait été faite la demande à l’agent ayant transmis l’avis de l’existence du gel.

2020, c. 21, a. 108; 2021, c. 25, a. 172; 2021, c. 34, a. 135.

9. Nul ne peut refuser d’acquiescer à une demande de bien ou de service ni à une demande relative à un emploi à cause du refus de la personne qui formule la demande de lui fournir un renseignement personnel sauf dans l’une ou l’autre des circonstances suivantes:

1°  la collecte est nécessaire à la conclusion ou à l’exécution du contrat;

2°  la collecte est autorisée par la loi;

3°  il y a des motifs raisonnables de croire qu’une telle demande n’est pas licite.

En cas de doute, un renseignement personnel est réputé non nécessaire.

1993, c. 17, a. 9; 1999, c. 40, a. 233.

9.1. Une personne qui exploite une entreprise et qui recueille des renseignements personnels en offrant au public un produit ou un service technologique disposant de paramètres de confidentialité doit s’assurer que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée.

Ne sont pas visés au premier alinéa les paramètres de confidentialité d’un témoin de connexion.

2021, c. 25, a. 108.

SECTION III CARACTÈRE CONFIDENTIEL DES RENSEIGNEMENTS PERSONNELS

§ 1 . — Détention, utilisation et non communication des renseignements

10. Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

1993, c. 17, a. 10; 2006, c. 22, a. 113.

11. Toute personne qui exploite une entreprise doit veiller à ce que les renseignements personnels qu’elle détient sur autrui soient à jour et exacts au moment où elle les utilise pour prendre une décision relative à la personne concernée.

Les renseignements utilisés pour prendre une telle décision sont conservés pendant au moins un an suivant la décision.

1993, c. 17, a. 11; 2021, c. 25, a. 109.

12. Un renseignement personnel ne peut être utilisé au sein de l’entreprise qu’aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée. Ce consentement doit être manifesté de façon expresse dès qu’il s’agit d’un renseignement personnel sensible.

Un renseignement personnel peut toutefois être utilisé à une autre fin sans le consentement de la personne concernée dans les seuls cas suivants:

1°  lorsque son utilisation est à des fins compatibles avec celles pour lesquelles il a été recueilli;

2°  lorsque son utilisation est manifestement au bénéfice de la personne concernée;

3°  lorsque son utilisation est nécessaire à des fins de prévention et de détection de la fraude ou d’évaluation et d’amélioration des mesures de protection et de sécurité;

4°  lorsque son utilisation est nécessaire à des fins de fourniture ou de livraison d’un produit ou de prestation d’un service demandé par la personne concernée;

5°  lorsque son utilisation est nécessaire à des fins d’étude, de recherche ou de production de statistiques et qu’il est dépersonnalisé.

Pour qu’une fin soit compatible au sens du paragraphe 1° du deuxième alinéa, il doit y avoir un lien pertinent et direct avec les fins auxquelles le renseignement a été recueilli. Toutefois, ne peut être considérée comme une fin compatible la prospection commerciale ou philanthropique.

Pour l’application de la présente loi, un renseignement personnel est:

1°  dépersonnalisé lorsque ce renseignement ne permet plus d’identifier directement la personne concernée;

2°  sensible lorsque, de par sa nature notamment médicale, biométrique ou autrement intime, ou en raison du contexte de son utilisation ou de sa communication, il suscite un haut degré d’attente raisonnable en matière de vie privée.

Toute personne qui exploite une entreprise et qui utilise des renseignements dépersonnalisés doit prendre les mesures raisonnables afin de limiter les risques que quiconque procède à l’identification d’une personne physique à partir de renseignements dépersonnalisés.

1993, c. 17, a. 12; 2021, c. 25, a. 110.

12.1. Toute personne qui exploite une entreprise et qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où elle l’informe de cette décision.

Elle doit aussi, à la demande de la personne concernée, l’informer:

1°  des renseignements personnels utilisés pour rendre la décision;

2°  des raisons, ainsi que des principaux facteurs et paramètres, ayant mené à la décision;

3°  de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision.

Il doit être donné à la personne concernée l’occasion de présenter ses observations à un membre du personnel de l’entreprise en mesure de réviser la décision.

2021, c. 25, a. 110.

13. Nul ne peut communiquer à un tiers les renseignements personnels qu’il détient sur autrui, à moins que la personne concernée n’y consente ou que la présente loi ne le prévoie.

Le consentement doit être manifesté de façon expresse dès qu’il s’agit d’un renseignement personnel sensible.

1993, c. 17, a. 13; 2006, c. 22, a. 114; 2021, c. 25, a. 110.

14. Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs. Lorsque la demande de consentement est faite par écrit, elle doit être présentée distinctement de toute autre information communiquée à la personne concernée. Lorsque celle-ci le requiert, il lui est prêté assistance afin de l’aider à comprendre la portée du consentement demandé.

Le consentement du mineur de moins de 14 ans est donné par le titulaire de l’autorité parentale ou par le tuteur. Le consentement du mineur de 14 ans et plus est donné par le mineur, par le titulaire de l’autorité parentale ou par le tuteur.

Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé.

Un consentement qui n’est pas donné conformément à la présente loi est sans effet.

1993, c. 17, a. 14; 2006, c. 22, a. 115; 2021, c. 25, a. 110.

15. Le consentement à la communication par un tiers de renseignements personnels peut être donné par la personne concernée à la personne qui les recueille auprès de ce tiers.

1993, c. 17, a. 15.

16. Une personne qui détient des renseignements personnels pour le compte d’une personne qui exploite une entreprise peut, lorsqu’elle est saisie d’une demande d’accès ou de rectification par une personne concernée, référer la demande à la personne pour le compte de qui elle agit.

Le présent article n’a pas pour objet de limiter le droit d’accès ou de rectification d’une personne concernée auprès d’un agent de renseignements personnels.

1993, c. 17, a. 16.

17. Avant de communiquer à l’extérieur du Québec un renseignement personnel, la personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. Elle doit notamment tenir compte des éléments suivants:

1°  la sensibilité du renseignement;

2°  la finalité de son utilisation;

3°  les mesures de protection, y compris celles qui sont contractuelles, dont le renseignement bénéficierait;

4°  le régime juridique applicable dans l’État où ce renseignement serait communiqué, notamment les principes de protection des renseignements personnels qui y sont applicables.

La communication peut s’effectuer si l’évaluation démontre que le renseignement bénéficierait d’une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Elle doit faire l’objet d’une entente écrite qui tient compte notamment des résultats de l’évaluation et, le cas échéant, des modalités convenues dans le but d’atténuer les risques identifiés dans le cadre de cette évaluation.

Il en est de même lorsque la personne qui exploite une entreprise confie à une personne ou à un organisme à l’extérieur du Québec la tâche de recueillir, d’utiliser, de communiquer ou de conserver pour son compte un tel renseignement.

Le présent article ne s’applique pas à une communication prévue au paragraphe 7° du premier alinéa de l’article 18.

1993, c. 17, a. 17; 2006, c. 22, a. 116; 2021, c. 25, a. 111.

§ 2 . — Communication à des tiers

18. Une personne qui exploite une entreprise peut, sans le consentement de la personne concernée, communiquer un renseignement personnel qu’elle détient sur autrui:

1°  à son procureur;

2°  au directeur des poursuites criminelles et pénales si le renseignement est requis aux fins d’une poursuite pour infraction à une loi applicable au Québec;

3°  à une personne ou à un organisme chargé en vertu de la loi de prévenir, détecter ou réprimer le crime ou les infractions aux lois, qui le requiert dans l’exercice de ses fonctions, si le renseignement est nécessaire pour la poursuite d’une infraction à une loi applicable au Québec;

4°  à une personne à qui il est nécessaire de communiquer le renseignement dans le cadre d’une loi applicable au Québec ou pour l’application d’une convention collective;

5°  à un organisme public au sens de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1) qui, par l’entremise d’un représentant, le recueille dans l’exercice de ses attributions ou la mise en oeuvre d’un programme dont il a la gestion;

6°  à une personne ou à un organisme ayant pouvoir de contraindre à leur communication et qui les requiert dans l’exercice de ses fonctions;

7°  à une personne à qui cette communication doit être faite en raison d’une situation d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée;

7.1°  à une personne ou à un organisme, conformément aux articles 18.1 à 18.4;

8°  à une personne qui peut utiliser ce renseignement à des fins d’étude, de recherche ou de statistique conformément à l’article 21 ou à une personne qui est autorisée conformément à l’article 21.1;

9°  à une personne qui, en vertu de la loi, peut recouvrer des créances pour autrui et qui le requiert à cette fin dans l’exercice de ses fonctions;

9.1°  à une personne si le renseignement est nécessaire aux fins de recouvrer une créance de l’entreprise;

10°  (paragraphe abrogé).

La personne qui exploite une entreprise doit inscrire toute communication faite en vertu des paragraphes 6° à 9.1° du premier alinéa.

Les personnes visées aux paragraphes 1°, 9° et 9.1° du premier alinéa qui reçoivent communication de renseignements peuvent communiquer ces renseignements dans la mesure où cette communication est nécessaire, dans l’exercice de leurs fonctions, à la réalisation des fins pour lesquelles elles en ont reçu communication.

Un titulaire de permis d’agence de gardiennage ou d’agence d’investigation délivré conformément à la Loi sur la sécurité privée (chapitre S-3.5) ou un organisme ayant pour objet de prévenir, détecter ou réprimer le crime ou les infractions à la loi et une personne qui exploite une entreprise peuvent, sans le consentement de la personne concernée, se communiquer les renseignements nécessaires à la conduite d’une enquête visant à prévenir, détecter ou réprimer un crime ou une infraction à une loi. Il en est de même, entre personnes qui exploitent une entreprise, si la personne qui communique ou recueille de tels renseignements a des motifs raisonnables de croire que la personne concernée a commis ou est sur le point de commettre, à l’égard de l’une ou l’autre des personnes qui exploitent une entreprise, un crime ou une infraction à une loi.

1993, c. 17, a. 18; 1999, c. 40, a. 233; 2001, c. 73, a. 1; 2006, c. 22, a. 117; 2005, c. 34, a. 85; 2006, c. 23, a. 128; 2021, c. 25, a. 112.

18.1. Outre les cas prévus à l’article 18, une personne qui exploite une entreprise peut également communiquer un renseignement personnel qu’elle détient sur autrui, sans le consentement des personnes concernées, en vue de protéger une personne ou un groupe de personnes identifiable lorsqu’il existe un motif raisonnable de croire qu’un risque sérieux de mort ou de blessures graves, lié notamment à une disparition ou à un acte de violence, dont une tentative de suicide, menace cette personne ou ce groupe et que la nature de la menace inspire un sentiment d’urgence.

Les renseignements peuvent alors être communiqués à la ou aux personnes exposées à ce risque, à leur représentant ou à toute personne susceptible de leur porter secours.

La personne qui exploite une entreprise et qui communique un renseignement en application du présent article ne peut communiquer que les renseignements nécessaires aux fins poursuivies par la communication.

Lorsqu’un renseignement est ainsi communiqué par la personne qui exploite une entreprise, celle-ci doit inscrire la communication.

Une personne qui exploite une entreprise ne peut être poursuivie en justice pour avoir communiqué de bonne foi un renseignement en application du présent article. Il en va de même de toute personne qui, au nom de la personne qui exploite une entreprise, participe de bonne foi à une telle communication, même indirectement.

Pour l’application du premier alinéa, on entend par «blessures graves» toute blessure physique ou psychologique qui nuit d’une manière importante à l’intégrité physique, à la santé ou au bien-être d’une personne ou d’un groupe de personnes identifiable.

2001, c. 78, a. 13; 2017, c. 10, a. 32; 2021, c. 25, a. 113; 2023, c. 5, a. 230.

18.2. Une personne qui exploite une entreprise peut, sans le consentement de la personne concernée, communiquer un renseignement personnel qu’elle détient sur autrui à un service d’archives, si ce service d’archives est une personne qui exploite une entreprise qui a pour objet d’acquérir, de conserver et de diffuser des documents pour leur valeur d’information générale et si ce renseignement est communiqué dans le cadre d’une cession ou d’un dépôt des archives de l’entreprise.

Elle peut aussi communiquer ce renseignement à toute personne, sans le consentement de la personne concernée, si ce renseignement est dans un document qui date de plus de 100 ans ou si plus de 30 ans se sont écoulés depuis le décès de la personne concernée. Sauf si la personne concernée y consent, aucun renseignement relatif à la santé d’une personne ne peut cependant être communiqué avant l’expiration d’un délai de 100 ans de la date du document.

Malgré les premier et deuxième alinéas, les renseignements qui y sont visés peuvent être communiqués, sans le consentement de la personne concernée, à une personne à des fins de recherche avant l’expiration des délais prévus, si les documents ne sont pas structurés de façon à être retrouvés par référence au nom d’une personne ou à un signe ou symbole propre à celle-ci et s’il n’y a pas de moyen pour repérer ces renseignements à partir d’une telle référence. Cette personne doit respecter le caractère confidentiel des renseignements personnels pendant le délai où ils ne peuvent être communiqués sans le consentement de la personne concernée.

2002, c. 19, a. 20; 2021, c. 25, a. 114.

18.3. Une personne qui exploite une entreprise peut, sans le consentement de la personne concernée, communiquer un renseignement personnel à toute personne ou à tout organisme si cette communication est nécessaire à l’exercice d’un mandat ou à l’exécution d’un contrat de service ou d’entreprise qu’elle confie à cette personne ou à cet organisme.

Dans ce cas, la personne qui exploite une entreprise doit:

1°  confier le mandat ou le contrat par écrit;

2°  indiquer, dans le mandat ou le contrat, les mesures que le mandataire ou l’exécutant du contrat doit prendre pour assurer la protection du caractère confidentiel du renseignement personnel communiqué, pour que ce renseignement ne soit utilisé que dans l’exercice de son mandat ou l’exécution de son contrat et pour qu’il ne le conserve pas après son expiration. Une personne ou un organisme qui exerce un mandat ou qui exécute un contrat de service ou d’entreprise visé au premier alinéa doit aviser sans délai le responsable de la protection des renseignements personnels de toute violation ou tentative de violation par toute personne de l’une ou l’autre des obligations relatives à la confidentialité du renseignement communiqué et il doit également permettre au responsable de la protection des renseignements personnels d’effectuer toute vérification relative à cette confidentialité.

Le paragraphe 2° du deuxième alinéa ne s’applique pas lorsque le mandataire ou l’exécutant du contrat est un organisme public au sens de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1) ou un membre d’un ordre professionnel.

2021, c. 25, a. 115.

18.4. Lorsque la communication d’un renseignement personnel est nécessaire aux fins de la conclusion d’une transaction commerciale à laquelle elle entend être partie, une personne qui exploite une entreprise peut communiquer un tel renseignement, sans le consentement de la personne concernée, à l’autre partie à la transaction.

Une entente doit préalablement être conclue avec l’autre partie, stipulant notamment que cette dernière partie s’engage:

1°  à n’utiliser le renseignement qu’aux seules fins de la conclusion de la transaction commerciale;

2°  à ne pas communiquer le renseignement sans le consentement de la personne concernée, à moins d’y être autorisée par la présente loi;

3°  à prendre les mesures nécessaires pour assurer la protection du caractère confidentiel du renseignement;

4°  à détruire le renseignement si la transaction commerciale n’est pas conclue ou si l’utilisation de celui-ci n’est plus nécessaire aux fins de la conclusion de la transaction commerciale.

Lorsque la transaction commerciale est conclue et que l’autre partie souhaite continuer d’utiliser le renseignement ou le communiquer, cette partie ne peut l’utiliser ou le communiquer que conformément à la présente loi. Dans un délai raisonnable après la conclusion de la transaction commerciale, elle doit aviser la personne concernée qu’elle détient maintenant un renseignement personnel la concernant en raison de la transaction.

Pour l’application du présent article, une transaction commerciale s’entend de l’aliénation ou de la location de tout ou partie d’une entreprise ou des actifs dont elle dispose, d’une modification de sa structure juridique par fusion ou autrement, de l’obtention d’un prêt ou de toute autre forme de financement par celle-ci ou d’une sûreté prise pour garantir l’une de ses obligations.

2021, c. 25, a. 115.

19. Toute personne qui exploite une entreprise ayant pour objet la conclusion de contrat de crédit, de contrat de louage à long terme de biens ou de contrat à exécution successive de service fourni à distance et qui prend connaissance de rapports de crédit ou de recommandations concernant la solvabilité de personnes physiques, préparés par un agent de renseignements personnels, doit informer ces personnes de leur droit d’accès et de rectification relativement aux renseignements personnels détenus par l’agent et leur indiquer comment et à quel endroit elles peuvent avoir accès à ces rapports ou recommandations et les faire rectifier, le cas échéant.

La personne qui exploite une telle entreprise doit communiquer à la personne physique qui lui en fait la demande la teneur de tout rapport de crédit ou de toute recommandation dont elle a pris connaissance en vue de prendre une décision la concernant. Elle doit également informer la personne physique qui lui en fait la demande du fait qu’est basé sur la prise de connaissance d’un tel rapport ou d’une telle recommandation:

1°  le refus de conclure un contrat visé au premier alinéa ou sa conclusion à des conditions moins avantageuses pour cette personne physique;

2°  le refus d’augmenter le crédit consenti en vertu d’un contrat de crédit ou son augmentation à des conditions moins avantageuses pour cette personne physique.

Pour l’application du présent article:

1°  le crédit faisant l’objet d’un contrat s’entend au sens du paragraphe f de l’article 1 de la Loi sur la protection du consommateur (chapitre P-40.1);

2°  le contrat de louage à long terme de biens s’entend au sens donné à cette expression par l’article 150.2 de cette loi;

3°  le contrat à exécution successive de service fourni à distance est celui auquel s’applique la section VII du chapitre III du titre I de cette loi.

1993, c. 17, a. 19; 2020, c. 21, a. 109; 2021, c. 25, a. 116.

19.1. Quiconque prend connaissance d’une recommandation ou d’un rapport de crédit visés à l’article 19 ou d’un autre document que lui a transmis un agent d’évaluation du crédit sur lequel apparaît l’avis prévu au premier alinéa de l’article 10 de la Loi sur les agents d’évaluation du crédit (chapitre A-8.2) ou en est autrement avisé par cet agent doit prendre des mesures raisonnables pour s’assurer que la personne dont il a obtenu le consentement pour obtenir cette recommandation, ce rapport ou ce document ou des renseignements personnels la concernant est bien la personne visée par ceux-ci, le représentant de celle-ci ou le titulaire de l’autorité parentale sur celle-ci, et ce, avant de contracter avec elle.

2020, c. 21, a. 110.

20. Dans l’exploitation d’une entreprise, un renseignement personnel n’est accessible, sans le consentement de la personne concernée, à tout préposé ou agent de l’exploitant qui a qualité pour le connaître qu’à la condition que ce renseignement soit nécessaire à l’exercice de ses fonctions.

1993, c. 17, a. 20; 2006, c. 22, a. 118; 2021, c. 25, a. 117.

21. Une personne qui exploite une entreprise peut communiquer des renseignements personnels sans le consentement des personnes concernées à une personne ou à un organisme qui souhaite utiliser ces renseignements à des fins d’étude, de recherche ou de production de statistiques.

La communication peut s’effectuer si une évaluation des facteurs relatifs à la vie privée conclut que:

1°  l’objectif de l’étude, de la recherche ou de la production de statistiques ne peut être atteint que si les renseignements sont communiqués sous une forme permettant d’identifier les personnes concernées;

2°  il est déraisonnable d’exiger que la personne ou l’organisme obtienne le consentement des personnes concernées;

3°  l’objectif de l’étude, de la recherche ou de la production de statistiques l’emporte, eu égard à l’intérêt public, sur l’impact de la communication et de l’utilisation des renseignements sur la vie privée des personnes concernées;

4°  les renseignements personnels sont utilisés de manière à en assurer la confidentialité;

5°  seuls les renseignements nécessaires sont communiqués.

1993, c. 17, a. 21; 2021, c. 25, a. 118.

21.0.1. La personne ou l’organisme qui souhaite utiliser des renseignements personnels à des fins d’étude, de recherche ou de production de statistiques doit:

1°  faire sa demande par écrit;

2°  joindre à sa demande une présentation détaillée des activités de recherche;

3°  exposer les motifs pouvant soutenir que les critères mentionnés aux paragraphes 1° à 5° du deuxième alinéa de l’article 21 sont remplis;

4°  mentionner toutes les personnes et tous les organismes à qui il fait une demande similaire aux fins de la même étude, recherche ou production de statistiques;

5°  le cas échéant, décrire les différentes technologies qui seront utilisées pour effectuer le traitement des renseignements;

6°  le cas échéant, transmettre la décision documentée d’un comité d’éthique de la recherche relative à cette étude, recherche ou production de statistiques.

2021, c. 25, a. 118.

21.0.2. La personne qui communique des renseignements personnels conformément à l’article 21 doit préalablement conclure avec la personne ou l’organisme à qui elle les transmet une entente stipulant notamment que ces renseignements:

1°  ne peuvent être rendus accessibles qu’aux personnes à qui leur connaissance est nécessaire à l’exercice de leurs fonctions et ayant signé un engagement de confidentialité;

2°  ne peuvent être utilisés à des fins différentes de celles prévues à la présentation détaillée des activités de recherche;

3°  ne peuvent être appariés avec tout autre fichier de renseignements non prévu à la présentation détaillée des activités de recherche;

4°  ne peuvent être communiqués, publiés ou autrement diffusés sous une forme permettant d’identifier les personnes concernées.

Cette entente doit également:

1°  prévoir les informations devant être communiquées aux personnes concernées lorsque les renseignements les concernant sont utilisés pour les rejoindre en vue de leur participation à l’étude ou à la recherche;

2°  prévoir des mesures pour assurer la protection des renseignements;

3°  déterminer un délai de conservation des renseignements;

4°  prévoir l’obligation d’aviser la personne qui communique les renseignements de la destruction de ceux-ci;

5°  prévoir que la personne qui communique les renseignements et la Commission doivent être avisées sans délai:

a)  du non-respect de toute condition prévue à l’entente;

b)  de tout manquement aux mesures de protection prévues à l’entente;

c)  de tout événement susceptible de porter atteinte à la confidentialité des renseignements.

L’entente est transmise à la Commission et entre en vigueur 30 jours après sa réception par celle-ci.

2021, c. 25, a. 118.

21.1. La Commission d’accès à l’information peut, sur demande écrite et après consultation des ordres professionnels concernés, accorder à une personne l’autorisation de recevoir communication de renseignements personnels sur des professionnels se rapportant à leurs activités professionnelles, sans le consentement des professionnels concernés, si elle a des motifs raisonnables de croire que :

1°  la communication préserve le secret professionnel, notamment en ne permettant pas d’identifier la personne à qui le service professionnel est rendu, et ne porte pas autrement atteinte à la vie privée des professionnels concernés ;

2°  les professionnels concernés seront avisés périodiquement des usages projetés et des fins recherchées et auront une occasion valable de refuser que ces renseignements soient conservés ou qu’ils soient utilisés pour les usages projetés ou aux fins recherchées ;

3°  des mesures de sécurité assurent le caractère confidentiel des renseignements personnels.

Cette autorisation est accordée par écrit. Elle peut être révoquée ou suspendue si la Commission a des motifs raisonnables de croire que la personne autorisée ne respecte pas les prescriptions du présent article, les usages projetés ou les fins recherchées.

La personne autorisée peut communiquer ces renseignements personnels si les conditions suivantes sont remplies :

1°  ils sont communiqués par regroupement qui ne permet pas d’identifier un acte professionnel spécifique d’un professionnel ;

2°  les professionnels concernés ont périodiquement une occasion valable de refuser d’être visés par cette communication ;

3°  la personne qui reçoit communication de ces renseignements s’engage à ne les utiliser que pour les usages projetés et les fins recherchées.

La personne autorisée fait annuellement rapport à la Commission sur la mise en application d’une autorisation. La Commission publie dans son rapport annuel d’activités la liste des personnes autorisées en vertu du présent article.

Une personne intéressée peut interjeter appel de la délivrance, du refus, de la suspension ou de la révocation d’une autorisation devant un juge de la Cour du Québec sur toute question de droit ou de compétence conformément à la section II du chapitre V de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1).

2001, c. 73, a. 2.

22. Toute personne qui exploite une entreprise et qui utilise des renseignements personnels à des fins de prospection commerciale ou philanthropique doit s’identifier auprès de la personne à qui elle s’adresse et l’informer de son droit de retirer son consentement à ce que les renseignements personnels la concernant soient utilisés à ces fins.

Lorsque la personne concernée retire son consentement à une telle utilisation des renseignements personnels la concernant, ceux-ci doivent cesser d’être ainsi utilisés.

1993, c. 17, a. 22; 2006, c. 22, a. 119; 2021, c. 25, a. 119.

§ 3 . — Destruction ou anonymisation

2021, c. 25, a. 119.

23. Lorsque les fins auxquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, la personne qui exploite une entreprise doit le détruire ou l’anonymiser pour l’utiliser à des fins sérieuses et légitimes, sous réserve d’un délai de conservation prévu par une loi.

Pour l’application de la présente loi, un renseignement concernant une personne physique est anonymisé lorsqu’il est, en tout temps, raisonnable de prévoir dans les circonstances qu’il ne permet plus, de façon irréversible, d’identifier directement ou indirectement cette personne.

Les renseignements anonymisés en vertu de la présente loi doivent l’être selon les meilleures pratiques généralement reconnues et selon les critères et modalités déterminés par règlement.

1993, c. 17, a. 23; 2021, c. 25, a. 119.

24. (Remplacé).

1993, c. 17, a. 24; 2006, c. 22, a. 120; 2021, c. 25, a. 119.

25. (Remplacé).

1993, c. 17, a. 25; 2021, c. 25, a. 119.

26. (Remplacé).

1993, c. 17, a. 26; 2021, c. 25, a. 119.

SECTION IV ACCÈS DES PERSONNES CONCERNÉES

§ 1 . — Dispositions générales

27. Toute personne qui exploite une entreprise et détient un renseignement personnel sur autrui doit, à la demande de la personne concernée, lui en confirmer l’existence et lui donner communication de ce renseignement en lui permettant d’en obtenir une copie.

À la demande du requérant, un renseignement personnel informatisé doit être communiqué sous la forme d’une transcription écrite et intelligible.

À moins que cela ne soulève des difficultés pratiques sérieuses, un renseignement personnel informatisé recueilli auprès du requérant, et non pas créé ou inféré à partir d’un renseignement personnel le concernant, lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé. Ce renseignement est aussi communiqué à sa demande à toute personne ou à tout organisme autorisé par la loi à recueillir un tel renseignement.

Lorsque le requérant est une personne handicapée, des mesures d’accommodement raisonnables doivent être prises, sur demande, pour lui permettre d’exercer le droit d’accès prévu par la présente section.

1993, c. 17, a. 27; 2006, c. 22, a. 121; 2021, c. 25, a. 120.

28. Outre les droits prévus au premier alinéa de l’article 40 du Code civil, toute personne peut, si le renseignement personnel la concernant est inexact, incomplet ou équivoque, ou si sa collecte, sa communication ou sa conservation ne sont pas autorisées par la loi, exiger qu’il soit rectifié.

1993, c. 17, a. 28; 2021, c. 25, a. 121.

28.1. La personne concernée par un renseignement personnel peut exiger d’une personne qui exploite une entreprise qu’elle cesse la diffusion de ce renseignement ou que soit désindexé tout hyperlien rattaché à son nom permettant d’accéder à ce renseignement par un moyen technologique, lorsque la diffusion de ce renseignement contrevient à la loi ou à une ordonnance judiciaire.

Elle peut faire de même, ou encore exiger que l’hyperlien permettant d’accéder à ce renseignement soit réindexé, lorsque les conditions suivantes sont réunies:

1°  la diffusion de ce renseignement lui cause un préjudice grave relatif au droit au respect de sa réputation ou de sa vie privée;

2°  ce préjudice est manifestement supérieur à l’intérêt du public de connaître ce renseignement ou à l’intérêt de toute personne de s’exprimer librement;

3°  la cessation de la diffusion, la réindexation ou la désindexation demandée n’excède pas ce qui est nécessaire pour éviter la perpétuation du préjudice.

Dans l’évaluation des critères du deuxième alinéa, il est tenu compte, notamment:

1°  du fait que la personne concernée est une personnalité publique;

2°  du fait que le renseignement concerne la personne alors qu’elle est mineure;

3°  du fait que le renseignement est à jour et exact;

4°  de la sensibilité du renseignement;

5°  du contexte dans lequel s’effectue la diffusion du renseignement;

6°  du délai écoulé entre la diffusion du renseignement et la demande faite en vertu du présent article;

7°  si le renseignement concerne une procédure criminelle ou pénale, de l’obtention d’un pardon ou de l’application d’une restriction à l’accessibilité des registres des tribunaux judiciaires.

Les articles 30, 32 et 34 s’appliquent à une demande faite en vertu du présent article, avec les adaptations nécessaires. Lorsqu’il acquiesce à la demande, le responsable de la protection des renseignements personnels atteste, dans sa réponse écrite en vertu de l’article 32, de la cessation de diffusion du renseignement personnel ou de la désindexation ou de la réindexation de l’hyperlien.

2021, c. 25, a. 121.

29. Toute personne qui exploite une entreprise et détient des renseignements personnels sur autrui doit prendre les mesures nécessaires pour assurer l’exercice par une personne concernée des droits prévus aux articles 37 à 40 du Code civil ainsi que des droits conférés par la présente loi. Elle doit notamment porter à la connaissance du public l’endroit où ces renseignements personnels sont accessibles et les moyens d’y accéder.

1993, c. 17, a. 29; 2021, c. 25, a. 122.

30. Une demande d’accès ou de rectification ne peut être considérée que si elle est faite par écrit par une personne justifiant de son identité à titre de personne concernée, à titre de représentant, d’héritier, de successible de cette dernière, à titre de liquidateur de la succession, à titre de bénéficiaire d’assurance-vie ou d’indemnité de décès, à titre de titulaire de l’autorité parentale même si l’enfant mineur est décédé ou à titre de conjoint ou de proche parent d’une personne décédée suivant l’article 40.1.

Une telle demande est adressée au responsable de la protection des renseignements personnels. Lorsque la demande n’est pas suffisamment précise ou lorsqu’une personne le requiert, le responsable doit prêter assistance pour identifier les renseignements recherchés.

Le présent article ne restreint pas la communication à une personne d’un renseignement personnel la concernant ou sa rectification résultant de la prestation d’un service à lui rendre.

1993, c. 17, a. 30; 2006, c. 22, a. 122; 2021, c. 25, a. 123.

31. Le conjoint, les ascendants ou les descendants directs d’une personne décédée ont le droit de recevoir communication, selon les modalités prévues à l’article 30, des renseignements relatifs à la cause de son décès et contenus dans son dossier de santé, à moins que la personne décédée n’ait consigné par écrit à son dossier son refus d’accorder ce droit d’accès.

Malgré le premier alinéa, les personnes liées par le sang à une personne décédée ont le droit de recevoir communication de renseignements contenus dans son dossier de santé dans la mesure où cette communication est nécessaire pour vérifier l’existence d’une maladie génétique ou d’une maladie à caractère familial.

1993, c. 17, a. 31.

32. Le responsable de la protection des renseignements personnels doit répondre par écrit à la demande d’accès ou de rectification, avec diligence et au plus tard dans les 30 jours de la date de réception de la demande.

À défaut de répondre dans les 30 jours de la réception de la demande, la personne est réputée avoir refusé d’y acquiescer.

1993, c. 17, a. 32; 2006, c. 22, a. 123; 2021, c. 25, a. 124.

33. L’accès aux renseignements personnels est gratuit.

Toutefois, des frais raisonnables peuvent être exigés du requérant pour la transcription, la reproduction ou la transmission de ces renseignements.

La personne qui exploite une entreprise et qui entend exiger des frais en vertu du présent article doit informer le requérant du montant approximatif exigible, avant de procéder à la transcription, la reproduction ou la transmission de ces renseignements.

1993, c. 17, a. 33; 2021, c. 25, a. 125.

34. Le responsable de la protection des renseignements personnels doit motiver tout refus d’acquiescer à une demande et indiquer la disposition de la loi sur laquelle ce refus s’appuie, les recours qui s’offrent au requérant en vertu de la présente loi et le délai dans lequel ils peuvent être exercés. Il doit également prêter assistance au requérant qui le demande pour l’aider à comprendre le refus.

1993, c. 17, a. 34; 2021, c. 25, a. 126.

35. Lorsque le responsable de la protection des renseignements personnels acquiesce à une demande de rectification, elle doit, outre les obligations prévues au deuxième alinéa de l’article 40 du Code civil, délivrer sans frais à la personne qui l’a faite une copie de tout renseignement personnel modifié ou ajouté ou, selon le cas, une attestation de la suppression d’un tel renseignement.

1993, c. 17, a. 35; 2021, c. 25, a. 127.

36. Celui qui détient un renseignement faisant l’objet d’une demande d’accès ou de rectification doit, s’il n’acquiesce pas à cette demande, le conserver le temps requis pour permettre à la personne concernée d’épuiser les recours prévus par la loi.

1993, c. 17, a. 36.

§ 2 . — Restrictions à l’accès

37. Une personne qui exploite une entreprise de services professionnels dans le domaine de la santé peut refuser momentanément à une personne concernée la consultation du dossier qu’elle a constitué sur elle dans le seul cas où, de l’avis d’un professionnel de la santé, il en résulterait un préjudice grave pour sa santé.

La personne qui exploite un autre type d’entreprise et détient de tels renseignements peut en refuser la consultation à une personne concernée dans le seul cas où il en résulterait un préjudice grave pour sa santé et à la condition d’offrir à celle-ci de désigner un professionnel du domaine de la santé de son choix pour recevoir communication de tels renseignements et de les communiquer à ce dernier.

Le professionnel du domaine de la santé détermine le moment où la consultation pourra être faite et en avise la personne concernée.

1993, c. 17, a. 37; 2006, c. 22, a. 124.

38. Une personne âgée de moins de 14 ans ne peut exiger d’être informée de l’existence ni de recevoir communication d’un renseignement de nature médicale ou sociale la concernant qui est contenu dans un dossier constitué sur elle sauf par l’intermédiaire de son procureur dans le cadre d’une procédure judiciaire.

Le premier alinéa n’a pas pour objet de restreindre les communications normales entre un professionnel de la santé et des services sociaux et son patient, ni le droit d’accès du titulaire de l’autorité parentale.

1993, c. 17, a. 38.

39. Une personne qui exploite une entreprise peut refuser de communiquer à une personne un renseignement personnel la concernant lorsque la divulgation du renseignement risquerait vraisemblablement:

1°  de nuire à une enquête menée par son service de sécurité interne ayant pour objet de prévenir, détecter ou réprimer le crime ou les infractions à la loi ou, pour son compte, par un service externe ayant le même objet ou un titulaire de permis d’agence de gardiennage ou d’agence d’investigation délivré conformément à la Loi sur la sécurité privée (chapitre S-3.5);

2°  d’avoir un effet sur une procédure judiciaire dans laquelle l’une ou l’autre de ces personnes a un intérêt.

1993, c. 17, a. 39; 2006, c. 23, a. 129.

40. Toute personne qui exploite une entreprise doit refuser de donner communication à une personne d’un renseignement personnel la concernant lorsque sa divulgation révélerait vraisemblablement un renseignement personnel sur un tiers ou l’existence d’un tel renseignement et que cette divulgation serait susceptible de nuire sérieusement à ce tiers, à moins que ce dernier ne consente à sa communication ou qu’il ne s’agisse d’un cas d’urgence mettant en danger la vie, la santé ou la sécurité de la personne concernée.

1993, c. 17, a. 40; 2021, c. 25, a. 128.

40.1. Une personne qui exploite une entreprise peut communiquer au conjoint ou à un proche parent d’une personne décédée un renseignement personnel qu’elle détient concernant cette personne, si la connaissance de ce renseignement est susceptible d’aider le requérant dans son processus de deuil et que la personne décédée n’a pas consigné par écrit son refus d’accorder ce droit d’accès.

2021, c. 25, a. 129.

41. Sous réserve de l’article 40.1, toute personne qui exploite une entreprise doit refuser de donner communication d’un renseignement personnel au liquidateur de la succession, au bénéficiaire d’une assurance-vie ou d’une indemnité de décès, à l’héritier ou au successible de la personne concernée par ce renseignement, à moins que cette communication ne mette en cause les intérêts et les droits de la personne qui le demande à titre de liquidateur, de bénéficiaire, d’héritier ou de successible.

1993, c. 17, a. 41; 2006, c. 22, a. 125; 2021, c. 25, a. 130.

SECTION V RECOURS

41.1. Les fonctions et pouvoirs de la Commission prévus à la présente section sont exercés par le président et les membres affectés à la section juridictionnelle.

2006, c. 22, a. 126.

§ 1 . — Examen des mésententes

42. Toute personne intéressée peut soumettre à la Commission d’accès à l’information une demande d’examen de mésentente relative à l’application d’une disposition législative portant sur l’accès ou la rectification d’un renseignement personnel ou sur l’application de l’article 28.1.

1993, c. 17, a. 42; 2021, c. 25, a. 131.

43. Lorsque la mésentente résulte du refus d’acquiescer à une demande ou d’une absence de réponse dans le délai accordé par la loi pour répondre, la personne concernée doit la soumettre à la Commission dans les 30 jours du refus de la demande ou de l’expiration du délai pour y répondre à moins que la Commission, pour un motif raisonnable, ne la relève du défaut de respecter ce délai.

1993, c. 17, a. 43.

44. La partie qui désire soumettre une mésentente à la Commission pour examen doit formuler sa demande par écrit et payer les frais exigibles prévus par règlement.

La demande expose brièvement les raisons justifiant l’examen de la mésentente par la Commission.

Avis de la demande faite par une partie est donné par la Commission à l’autre partie.

1993, c. 17, a. 44.

45. Un groupe de personnes intéressées au même sujet de mésentente peut soumettre une demande à la Commission par l’intermédiaire d’un représentant.

1993, c. 17, a. 45.

46. Une personne qui exploite une entreprise et détient des renseignements personnels sur autrui peut demander à la Commission de l’autoriser à ne pas tenir compte de demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique ou de demandes qui, de l’avis de la Commission, ne sont pas conformes à l’objet de la présente loi. Elle peut aussi demander à la Commission de circonscrire la demande du requérant ou de prolonger le délai dans lequel elle doit répondre.

La demande faite en vertu du premier alinéa doit être transmise à la Commission dans le même délai que celui qui serait applicable au traitement de la demande en vertu de l’article 32, à compter de la réception de la dernière demande du requérant.

1993, c. 17, a. 46; 2021, c. 25, a. 132.

47. Les membres du personnel de la Commission doivent prêter assistance, pour la rédaction d’une demande d’examen de mésentente, à toute personne intéressée qui le requiert.

1993, c. 17, a. 47.

48. Lorsqu’elle est saisie d’une demande d’examen d’une mésentente, la Commission peut charger une personne qu’elle désigne de tenter d’amener les parties à s’entendre.

1993, c. 17, a. 48; 2006, c. 22, a. 127.

49. Si la Commission est d’avis qu’aucune entente n’est possible entre les parties, elle examine le sujet de la mésentente selon les modalités qu’elle détermine.

Elle doit donner aux parties l’occasion de présenter leurs observations.

1993, c. 17, a. 49.

50. Un membre de la Commission peut, au nom de celle-ci, examiner seul une mésentente et rendre une décision. Un membre de la Commission peut aussi, au nom de celle-ci, exercer seul les pouvoirs prévus aux articles 46, 52, 57.1 et 60.

1993, c. 17, a. 50; 2006, c. 22, a. 128.

50.1. La Commission doit, par règlement, édicter des règles de preuve et de procédure pour l’examen des demandes dont elle peut être saisie. Ce règlement doit comporter des dispositions pour assurer l’accessibilité à la Commission ainsi que la qualité et la célérité de son processus décisionnel. À cette fin, il doit encadrer le temps consacré aux instances à partir du dépôt de la demande d’examen jusqu’à la tenue de l’audience, le cas échéant. Ce règlement est soumis à l’approbation du gouvernement.

2006, c. 22, a. 129.

51. Toute personne doit fournir à la Commission les renseignements qu’elle requiert pour l’examen d’une mésentente.

1993, c. 17, a. 51.

52. La Commission peut refuser ou cesser d’examiner une affaire si elle a des motifs raisonnables de croire que la demande est frivole ou faite de mauvaise foi ou que son intervention n’est manifestement pas utile.

Dans ces cas, la Commission peut interdire à une personne d’introduire une demande sans l’autorisation du président de la Commission et selon les conditions que celui-ci détermine. Elle peut de la même manière interdire à une personne de présenter un acte de procédure dans une instance déjà introduite.

1993, c. 17, a. 52; 2021, c. 25, a. 133.

53. En cas de mésentente relative à une demande de rectification, la personne qui détient le renseignement personnel doit prouver qu’il n’a pas à être rectifié, à moins que le renseignement en cause ne lui ait été communiqué par la personne concernée ou avec l’accord de celle-ci.

1993, c. 17, a. 53; 2021, c. 25, a. 134.

§ 2 . — Décision de la Commission

54. La Commission rend sur toute mésentente qui lui est soumise une décision motivée par écrit.

La Commission en transmet une copie aux parties par tout moyen permettant la preuve de la date de sa réception.

1993, c. 17, a. 54; 2006, c. 22, a. 130.

55. La Commission a tous les pouvoirs nécessaires à l’exercice de sa compétence; elle peut rendre toute ordonnance qu’elle estime propre à sauvegarder les droits des parties et décider de toute question de fait ou de droit.

Elle peut notamment ordonner à une personne exploitant une entreprise de donner communication ou de rectifier un renseignement personnel ou de s’abstenir de le faire.

1993, c. 17, a. 55.

55.1. La Commission doit exercer ses fonctions et pouvoirs en matière d’examen de mésentente de façon diligente et efficace.

La Commission doit rendre sa décision dans les trois mois de sa prise en délibéré, à moins que le président, pour des motifs sérieux, n’ait prolongé ce délai.

Lorsqu’un membre de la Commission saisi d’une affaire ne rend pas sa décision dans le délai requis, le président peut, d’office ou sur demande d’une des parties, dessaisir ce membre de cette affaire.

Avant de prolonger le délai ou de dessaisir le membre qui n’a pas rendu sa décision dans les délais requis, le président doit tenir compte des circonstances et de l’intérêt des parties.

2006, c. 22, a. 131.

56. (Abrogé).

1993, c. 17, a. 56; 2021, c. 25, a. 135.

57. Lors de la décision, la Commission peut statuer sur les frais prévus par règlement.

1993, c. 17, a. 57.

57.1. La décision entachée d’erreur d’écriture ou de calcul ou de quelque autre erreur matérielle peut être rectifiée par la Commission ou le membre qui l’a rendue; il en est de même de celle qui, par suite d’une inadvertance manifeste, accorde plus qu’il n’est demandé, ou omet de prononcer sur une partie de la demande.

La rectification peut être faite d’office tant que l’exécution n’est pas commencée; elle peut l’être sur requête d’une partie en tout temps, sauf si la décision est interjetée en appel.

La requête est adressée à la Commission et soumise au membre qui a rendu la décision. Si ce dernier n’est plus en fonction, est absent ou est empêché d’agir, la requête est soumise à la Commission.

Le délai d’appel ou d’exécution de la décision rectifiée ne court que depuis la date de la rectification lorsque celle-ci porte sur le dispositif.

2006, c. 22, a. 132.

58. Une décision de la Commission ayant pour effet d’ordonner à une partie de faire quelque chose est exécutoire à l’expiration des 30 jours qui suivent la date de sa réception par les parties.

Une décision ordonnant à une partie de s’abstenir de faire quelque chose est exécutoire dès qu’elle est transmise à la partie en cause.

Dès le moment où une décision devient exécutoire, copie conforme peut en être déposée par la Commission ou une partie au bureau du greffier de la Cour supérieure du district de Montréal ou de Québec ou du district où est situé le siège, l’établissement d’entreprise ou la résidence d’une partie.

Le dépôt d’une décision lui confère alors la même force et le même effet que s’il s’agissait d’un jugement émanant de la Cour supérieure.

1993, c. 17, a. 58; 1999, c. 40, a. 233; 2021, c. 25, a. 136.

59. Une décision de la Commission sur une question de fait de sa compétence est finale et sans appel.

1993, c. 17, a. 59.

60. La Commission peut déclarer périmée une demande d’examen de mésentente s’il s’est écoulé une année depuis la production du dernier acte de procédure utile.

1993, c. 17, a. 60; 2002, c. 7, a. 171.

§ 3 . — Appel et contestation

1993, c. 17, ss. 3; 2021, c. 25, a. 137.

61. Une personne directement intéressée peut interjeter appel d’une décision finale de la Commission devant un juge de la Cour du Québec, sur toute question de droit ou de compétence ou, sur permission d’un juge de cette Cour, d’une décision interlocutoire à laquelle la décision finale ne pourra remédier.

Elle peut aussi contester devant un juge de la Cour du Québec une ordonnance prise par la section de surveillance de la Commission.

1993, c. 17, a. 61; 2006, c. 22, a. 133; 2021, c. 25, a. 138.

61.1. La demande pour permission d’appeler d’une décision interlocutoire doit préciser les questions de droit ou de compétence qui devraient être examinées en appel et pourquoi la décision finale ne pourra y remédier et, après avis aux parties et à la Commission, être déposée au greffe de la Cour du Québec dans les 10 jours qui suivent la date de la réception de la décision de la Commission par les parties.

Si la demande est accordée, le jugement qui autorise l’appel tient lieu de déclaration d’appel.

2006, c. 22, a. 133; N.I. 2016-01-01 (NCPC).

62. La compétence que confère la présente section à un juge de la Cour du Québec est exercée par les seuls juges de cette cour que désigne le juge en chef.

1993, c. 17, a. 62.

63. L’appel est formé par le dépôt auprès de la Cour du Québec d’une déclaration à cet effet précisant les questions de droit ou de compétence qui devraient être examinées en appel.

La déclaration d’appel doit être déposée au greffe de la Cour du Québec dans les 30 jours qui suivent la notification de la décision finale.

Le recours en contestation d’une ordonnance prise par la section de surveillance de la Commission est déposé au greffe de la Cour du Québec dans les 30 jours qui suivent la notification de l’ordonnance et précise les questions qui devraient être examinées.

1993, c. 17, a. 63; 2006, c. 22, a. 134; N.I. 2016-01-01 (NCPC); 2021, c. 25, a. 139.

64. Le dépôt de la déclaration d’appel ou de la demande pour permission d’en appeler d’une décision interlocutoire suspend l’exécution de la décision de la Commission jusqu’à ce que la décision de la Cour du Québec soit rendue. S’il s’agit d’un appel d’une décision ordonnant à une personne de cesser ou de s’abstenir de faire quelque chose, le dépôt de la déclaration ou de la demande ne suspend pas l’exécution de la décision.

Le dépôt du recours en contestation d’une ordonnance prise par la section de surveillance de la Commission ne suspend pas l’exécution de cette ordonnance. Toutefois, sur requête instruite et jugée d’urgence, un juge de la Cour du Québec peut en ordonner autrement en raison de l’urgence ou du risque d’un préjudice sérieux et irréparable.

1993, c. 17, a. 64; 2006, c. 22, a. 134; N.I. 2016-01-01 (NCPC); 2021, c. 25, a. 140.

65. La déclaration d’appel doit être signifiée aux parties et à la Commission dans les 10 jours de son dépôt au greffe de la Cour du Québec.

Le secrétaire de la Commission transmet au greffe, pour tenir lieu de dossier conjoint, un exemplaire de la décision dont il y a appel et les pièces qui l’accompagnent.

La contestation d’une ordonnance prise par la section de surveillance de la Commission doit être signifiée à la Commission et, le cas échéant, aux autres parties, dans les 10 jours de son dépôt au greffe de la Cour du Québec. Le secrétaire de la Commission transmet au greffe, pour tenir lieu de dossier conjoint, un exemplaire de l’ordonnance contestée et les pièces qui l’accompagnent.

1993, c. 17, a. 65; 2006, c. 22, a. 134; N.I. 2016-01-01 (NCPC); 2021, c. 25, a. 141.

66. (Remplacé).

1993, c. 17, a. 66; 2006, c. 22, a. 134.

67. L’appel est régi par les articles 351 à 390 du Code de procédure civile (chapitre C-25.01), compte tenu des adaptations nécessaires. Toutefois, les parties ne sont pas tenues de déposer de mémoire de leurs prétentions.

La contestation est régie par les règles du livre II du Code de procédure civile.

1993, c. 17, a. 67; N.I. 2016-01-01 (NCPC); 2021, c. 25, a. 142; 2023, c. 3, a. 25.

68. La Cour du Québec peut, en la manière prévue par la Loi sur les tribunaux judiciaires (chapitre T‐16), adopter les règlements jugés nécessaires à l’application de la présente section.

1993, c. 17, a. 68; N.I. 2016-01-01 (NCPC).

69. La décision du juge de la Cour du Québec est sans appel.

1993, c. 17, a. 69.

SECTION VI AGENTS DE RENSEIGNEMENTS PERSONNELS

70. Tout agent de renseignements personnels qui exploite une entreprise au Québec doit s’inscrire auprès de la Commission.

Est un agent de renseignements personnels toute personne qui, elle-même ou par l’intermédiaire d’un représentant, fait le commerce de constituer des dossiers sur autrui, de préparer et de communiquer à des tiers des rapports de crédit au sujet du caractère, de la réputation ou de la solvabilité des personnes concernées par ces dossiers.

1993, c. 17, a. 70.

70.1. Aucun agent de renseignements personnels ne peut invoquer le fait qu’il est inscrit à la Commission pour prétendre que sa compétence, sa solvabilité, sa conduite ou ses opérations sont reconnues ou approuvées.

2006, c. 22, a. 135.

71. L’agent de renseignements personnels doit établir et appliquer des modalités d’opérations propres à garantir que les renseignements qu’il communique sont à jour et exacts et que cette communication est effectuée conformément à la présente loi.

1993, c. 17, a. 71; 2021, c. 25, a. 143.

72. La demande d’inscription est faite selon les modalités que la Commission détermine et sur paiement des frais exigibles prévus par règlement. Elle contient notamment l’information suivante:

1°  le nom, l’adresse et l’adresse de courrier électronique de l’agent et, s’il s’agit d’une personne morale, l’adresse de son siège et les noms et adresses de ses administrateurs;

2°  l’adresse, l’adresse de courrier électronique et le numéro de téléphone de tout établissement de l’agent au Québec;

3°  le titre et les coordonnées du responsable de la protection des renseignements personnels;

4°  les modalités d’opérations prévues à l’article 71;

5°  les règles de conduite prévues à l’article 78;

6°  les autres mesures prises pour assurer la confidentialité et la sécurité des renseignements personnels conformément à la présente loi.

L’agent de renseignements personnels doit informer la Commission de toute modification à l’information visée au premier alinéa au plus tard dans les 30 jours suivant la modification. Le cas échéant, il doit également informer la Commission avec diligence de la cessation prévue de ses activités.

1993, c. 17, a. 72; 2021, c. 25, a. 144.

73. La Commission inscrit l’agent qui lui soumet une demande conforme aux dispositions de l’article 72.

1993, c. 17, a. 73.

74. La Commission tient à jour un registre des agents de renseignements personnels contenant, pour chacun, son nom, son adresse et son adresse de courrier électronique, ainsi que le titre et les coordonnées de son responsable de la protection des renseignements personnels.

1993, c. 17, a. 74; 2021, c. 25, a. 145.

75. Le registre est ouvert à la consultation du public durant les heures habituelles d’admission dans les bureaux de la Commission. Le registre peut également être consulté sur son site Internet.

La Commission fournit gratuitement à toute personne qui le demande tout extrait du registre concernant un agent de renseignements personnels.

1993, c. 17, a. 75; 2021, c. 25, a. 146.

76. (Abrogé).

1993, c. 17, a. 76; 2021, c. 25, a. 147.

77. (Abrogé).

1993, c. 17, a. 77; 2006, c. 22, a. 136.

78. Un agent de renseignements personnels doit établir et appliquer au sein de son entreprise des règles de conduite ayant pour objet de permettre à toute personne concernée par un renseignement personnel qu’il détient d’y avoir accès selon des modalités propres à assurer la protection d’un tel renseignement et de le faire rectifier.

1993, c. 17, a. 78; 1999, c. 40, a. 233; 2021, c. 25, a. 148.

79. Un agent de renseignements personnels doit informer le public:

1°  du fait qu’il détient des renseignements personnels sur autrui, qu’il communique à ses cocontractants des rapports de crédit au sujet du caractère, de la réputation et de la solvabilité des personnes concernées par ces renseignements personnels et qu’il reçoit communication de ses cocontractants de renseignements personnels sur autrui;

2°  des droits d’accès et de rectification que les personnes concernées peuvent exercer en vertu de la présente loi à l’égard des renseignements personnels qu’il détient;

3°  des informations prévues aux paragraphes 3° à 6° du premier alinéa de l’article 72.

Ces informations sont publiées sur le site Internet de l’agent de renseignements personnels ou, s’il n’a pas de site, rendues accessibles par tout autre moyen approprié.

1993, c. 17, a. 79; 2021, c. 25, a. 148.

79.1. Malgré l’article 23, un agent de renseignements personnels doit détruire un renseignement personnel recueilli il y a plus de sept ans.

Le présent article ne s’applique pas à un renseignement personnel contenu dans un dossier d’enquête constitué en vue de prévenir, détecter ou réprimer un crime ou une infraction à la loi.

2021, c. 25, a. 148.

SECTION VII APPLICATION DE LA LOI

§ 1 . — Dispositions générales

2006, c. 22, a. 137.

80. Les fonctions et pouvoirs prévus à l’article 21.1, à la section VI et à la présente section sont exercés par le président et les membres affectés à la section de surveillance.

1993, c. 17, a. 80; 2006, c. 22, a. 137; 2021, c. 25, a. 149.

80.1. Un membre de la Commission peut, au nom de celle-ci, exercer seul les fonctions et pouvoirs que les articles 21.1, 72, 80.2, 81, 81.3, 81.4, 83, 84, 92 et 95 confèrent à la Commission.

Le président de la Commission peut déléguer, en tout ou en partie, à un membre de son personnel les fonctions et pouvoirs qui sont dévolus à la Commission par les articles 21.1, 80.2 et 95.

2006, c. 22, a. 137; 2021, c. 25, a. 150.

80.1.1. Aux fins de l’application des sous-sections 4.1 et 5, un parti politique est assimilé à une personne physique.

2021, c. 25, a. 151.

§ 1.1 . — Inspection

2006, c. 22, a. 138.

80.2. Dans l’exercice de ses fonctions de surveillance, la Commission peut autoriser un membre de son personnel ou toute autre personne à agir comme inspecteur.

2006, c. 22, a. 138.

80.3. La personne qui agit comme inspecteur peut:

1°  pénétrer, à toute heure raisonnable, dans l’établissement d’un organisme ou d’une personne assujetti à la surveillance de la Commission;

2°  exiger d’une personne présente tout renseignement ou tout document requis pour l’exercice de la fonction de surveillance de la Commission;

3°  examiner et tirer copie de ces documents.

2006, c. 22, a. 138.

80.4. Une personne qui agit comme inspecteur doit, sur demande, se nommer et exhiber un certificat attestant son autorisation.

Elle ne peut être poursuivie en justice en raison d’un acte accompli de bonne foi dans l’exercice de sa fonction.

2006, c. 22, a. 138.

§ 2 . — Enquête

81. La Commission peut, de sa propre initiative ou sur la plainte d’une personne, faire enquête ou charger une personne de faire enquête sur toute matière relative à la protection des renseignements personnels ainsi que sur les pratiques d’une personne qui exploite une entreprise et recueille, détient, utilise ou communique à des tiers de tels renseignements. Une plainte peut être déposée sous le couvert de l’anonymat.

1993, c. 17, a. 81; 2006, c. 22, a. 139; 2021, c. 25, a. 152.

81.1. Il est interdit d’exercer des représailles contre une personne pour le motif qu’elle a de bonne foi déposé une plainte à la Commission ou collaboré à une enquête.

Il est également interdit de menacer une personne de représailles pour qu’elle s’abstienne de déposer une plainte ou de collaborer à une enquête.

2021, c. 25, a. 153.

81.2. Sont présumés être des représailles au sens de l’article 81.1 la rétrogradation, la suspension, le congédiement, le déplacement ainsi que toute autre mesure disciplinaire ou mesure portant atteinte à l’emploi ou aux conditions de travail d’une personne.

2021, c. 25, a. 153.

81.3. La Commission peut, par une demande péremptoire notifiée par tout mode approprié, exiger d’une personne, assujettie ou non à la présente loi, dans le délai raisonnable qu’elle fixe, la production de tout renseignement ou de tout document permettant de vérifier l’application de la présente loi ou de ses règlements.

La personne à qui cette demande est faite doit, dans le délai fixé, s’y conformer, qu’elle ait ou non déjà produit un tel renseignement ou un tel document en réponse à une demande semblable ou en vertu d’une obligation découlant de la présente loi ou de ses règlements.

2021, c. 25, a. 153.

81.4. La Commission peut, lorsqu’un incident de confidentialité est porté à son attention, ordonner à toute personne, après lui avoir fourni l’occasion de présenter ses observations, l’application de toute mesure visant à protéger les droits des personnes concernées qui leur sont accordés par la présente loi, pour le temps et aux conditions qu’elle détermine. Elle peut notamment ordonner la remise des renseignements personnels impliqués à la personne qui exploite une entreprise ou leur destruction.

La personne visée par une ordonnance sans qu’elle en ait été informée au préalable parce que, de l’avis de la Commission, il y a urgence ou danger de causer un préjudice irréparable, peut, dans le délai indiqué dans l’ordonnance, présenter ses observations pour en permettre le réexamen par la Commission.

2021, c. 25, a. 153.

82. (Abrogé).

1993, c. 17, a. 82; 2006, c. 22, a. 140.

83. Les enquêtes de la Commission sont faites selon un mode non contradictoire.

Au terme d’une enquête relative à la collecte, à la détention, à la communication ou à l’utilisation de renseignements personnels par une personne qui exploite une entreprise, la Commission peut, après lui avoir fourni l’occasion de présenter ses observations, lui recommander ou lui ordonner l’application de toute mesure corrective propre à assurer la protection des renseignements personnels dans le délai raisonnable qu’elle indique.

1993, c. 17, a. 83; 2021, c. 25, a. 154.

83.1. Une personne qui exploite une entreprise doit, sur demande de la Commission, lui fournir toute information qu’elle requiert sur l’application de la présente loi.

2021, c. 25, a. 155.

84. Si, dans un délai raisonnable après avoir pris une ordonnance à l’égard d’une personne qui exploite une entreprise, la Commission juge que les mesures appropriées n’ont pas été prises pour y donner suite, elle peut publier selon les modalités qu’elle détermine un avis pour en informer le public.

1993, c. 17, a. 84.

85. La Commission, ses membres et toute personne qu’elle charge de faire enquête pour l’application de la présente loi sont investis pour l’enquête des pouvoirs et de l’immunité prévus par la Loi sur les commissions d’enquête (chapitre C‐37) sauf le pouvoir d’ordonner l’emprisonnement.

1993, c. 17, a. 85; 2006, c. 22, a. 141.

86. Une ordonnance prise par la section de surveillance de la Commission devient exécutoire de la même manière qu’une décision visée à l’article 58.

1993, c. 17, a. 86; 2021, c. 25, a. 156.

87. Une personne directement intéressée peut contester une ordonnance prise par la section de surveillance de la Commission.

La contestation est assujettie aux règles prévues aux articles 61 à 69.

1993, c. 17, a. 87; 2021, c. 25, a. 156.

§ 3 . — Rapports

88. La Commission doit, au plus tard le 14 juin 2026, et par la suite tous les cinq ans, faire au gouvernement un rapport sur l’application de la présente loi et de la section V.1 du chapitre IV du Code des professions (chapitre C‐26) ainsi que sur les sujets que le ministre peut lui soumettre.

Ce rapport comprend également, le cas échéant, les constatations de vérification et les recommandations que le vérificateur général juge approprié de transmettre à la Commission en application de la Loi sur le vérificateur général (chapitre V‐5.01) et qu’il indique comme devant être reproduites dans ce rapport.

Le ministre dépose ce rapport à l’Assemblée nationale dans les 15 jours de sa réception ou, si elle ne siège pas, dans les 15 jours de la reprise de ses travaux.

1993, c. 17, a. 88; 2006, c. 22, a. 142; 2021, c. 25, a. 157.

89. La Commission de l’Assemblée nationale désigne, dans les meilleurs délais, la commission qui fera l’étude du rapport sur la mise en oeuvre de la loi.

Dans l’année qui suit le dépôt du rapport à l’Assemblée nationale, la commission désignée doit étudier l’opportunité de modifier la présente loi et entendre à ce sujet les représentations des personnes et organismes intéressés.

1993, c. 17, a. 89; 2006, c. 22, a. 143.

§ 4 . — Réglementation

90. Le gouvernement, après avoir pris avis de la Commission, peut, par règlement:

1°  fixer des frais exigibles pour tout acte accompli par la Commission;

2°  déterminer les cas d’exemption totale ou partielle du paiement des frais exigibles en vertu de la présente loi;

3°  déterminer le contenu et les modalités des avis prévus à l’article 3.5;

3.1°  déterminer la teneur du registre prévu à l’article 3.8;

3.2°  aux fins de l’article 23, déterminer les critères et les modalités applicables à l’anonymisation d’un renseignement personnel;

3.3°  déterminer les cas, les conditions et le montant du paiement de frais de recouvrement suivant l’article 90.17;

4°  fixer des frais d’inscription exigibles des agents de renseignements personnels.

Dans l’exercice de son pouvoir de réglementation, le gouvernement peut distinguer des secteurs d’activités ainsi que des catégories de renseignements personnels et de dossiers.

1993, c. 17, a. 90; 2021, c. 25, a. 158.

§ 4.1 . — Sanctions administratives pécuniaires

2021, c. 25, a. 159.

90.1. Une sanction administrative pécuniaire peut être imposée par une personne désignée par la Commission, mais qui n’est pas membre de l’une de ses sections, à quiconque:

1°  n’informe pas les personnes concernées conformément aux articles 7 et 8;

2°  recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la loi;

3°  ne déclare pas à la Commission ou aux personnes concernées, lorsqu’il y est tenu, un incident de confidentialité;

4°  ne prend pas les mesures de sécurité propres à assurer la protection des renseignements personnels conformément à l’article 10;

5°  n’informe pas la personne concernée par une décision fondée exclusivement sur un traitement automatisé ou ne lui donne pas l’occasion de présenter ses observations, et ce, en contravention à l’article 12.1;

6°  s’il est un agent de renseignements personnels, contrevient aux articles 70, 70.1, 71, 72, 78, 79 ou 79.1.

À la suite d’un manquement visé au premier alinéa, une personne peut, en tout temps, s’engager auprès de la Commission à prendre les mesures nécessaires pour remédier au manquement ou en atténuer les conséquences. Cet engagement doit énoncer les actes ou les omissions qui constituent un manquement et les dispositions en cause. Celui-ci peut également inclure les conditions que la Commission estime nécessaires et il peut prévoir l’obligation de payer une somme d’argent.

Si l’engagement est accepté par la Commission et qu’il est respecté, la personne qui exploite une entreprise ne peut faire l’objet d’une sanction administrative pécuniaire à l’égard des actes ou des omissions mentionnés dans l’engagement.

2021, c. 25, a. 159.

90.2. La Commission élabore et rend public un cadre général d’application de sanctions administratives pécuniaires et y précise notamment les éléments suivants:

1°  les objectifs poursuivis par ces sanctions, notamment inciter la personne qui exploite une entreprise à prendre rapidement les mesures requises pour remédier au manquement et dissuader la répétition de tels manquements;

2°  les critères qui doivent guider les personnes désignées dans la décision d’imposer une sanction lorsqu’un manquement est constaté ainsi que dans la détermination du montant de la sanction, notamment:

a)  la nature, la gravité, le caractère répétitif et la durée du manquement;

b)  la sensibilité des renseignements personnels concernés par le manquement;

c)  le nombre de personnes concernées par le manquement et le risque de préjudice auquel ces personnes sont exposées;

d)  les mesures prises par la personne en défaut pour remédier au manquement ou en atténuer les conséquences;

e)  le degré de collaboration offert à la Commission en vue de remédier au manquement ou d’en atténuer les conséquences;

f)  la compensation offerte par la personne en défaut, à titre de dédommagement, à toute personne concernée par le manquement;

g)  la capacité de payer de la personne en défaut, compte tenu notamment de son patrimoine, de son chiffre d’affaires ou de ses revenus;

3°  les circonstances dans lesquelles le recours pénal sera priorisé;

4°  les autres modalités relatives à l’imposition d’une telle sanction.

2021, c. 25, a. 159.

90.3. Lorsqu’un manquement visé à l’article 90.1 est constaté, un avis de non-conformité peut être notifié à la personne en défaut afin de l’inciter à prendre sans délai les mesures requises pour remédier au manquement. Cet avis doit faire mention du fait que le manquement pourrait notamment donner lieu à une sanction administrative pécuniaire ou à une sanction pénale.

2021, c. 25, a. 159.

90.4. La personne désignée doit, avant d’imposer une sanction administrative pécuniaire, avoir notifié à la personne en défaut l’avis de non-conformité visé à l’article 90.3 ainsi que lui avoir donné l’occasion de présenter ses observations et de produire tout document pour compléter son dossier.

2021, c. 25, a. 159.

90.5. Une sanction administrative pécuniaire est imposée à la personne en défaut par la notification d’un avis de réclamation énonçant le montant réclamé, les motifs de son exigibilité, le délai à compter duquel il porte intérêt, le droit de demander le réexamen de la décision, le droit de contester la décision en réexamen devant la Cour du Québec et le délai pour exercer ces recours.

L’avis de réclamation doit aussi contenir des informations relatives aux modalités de recouvrement du montant réclamé, notamment celles relatives à la délivrance du certificat de recouvrement prévu à l’article 90.14 et à ses effets. La personne doit également être informée que les faits à l’origine de la réclamation peuvent aussi donner lieu à une poursuite pénale.

Le montant dû porte intérêt au taux prévu au premier alinéa de l’article 28 de la Loi sur l’administration fiscale (chapitre A-6.002), à compter du 31e jour suivant la notification de l’avis.

La notification d’un avis de réclamation interrompt la prescription prévue au Code civil quant au recouvrement du montant dû.

2021, c. 25, a. 159.

90.6. La personne en défaut peut, par écrit, demander à la Commission le réexamen de la décision d’imposer une sanction administrative pécuniaire dans les 30 jours de la notification de l’avis de réclamation.

Un membre affecté à la section de surveillance de la Commission est chargé du réexamen de la décision.

2021, c. 25, a. 159.

90.7. La demande de réexamen doit être traitée avec diligence. La décision en réexamen est rendue après avoir donné à la personne en défaut l’occasion de présenter ses observations et de produire des documents pour compléter son dossier. Cette décision peut confirmer la décision qui fait l’objet du réexamen, l’infirmer ou la modifier.

2021, c. 25, a. 159.

90.8. La décision en réexamen doit être écrite en termes clairs et concis et être motivée et notifiée au demandeur avec la mention de son droit de la contester devant la Cour du Québec et du délai pour exercer ce recours.

Si la décision en réexamen n’est pas rendue dans les 30 jours de la réception de la demande ou, le cas échéant, du délai accordé au demandeur pour présenter ses observations ou pour produire des documents, les intérêts prévus au premier alinéa de l’article 90.5 sur le montant dû sont suspendus jusqu’à ce que la décision soit rendue.

2021, c. 25, a. 159.

90.9. La décision en réexamen confirmant ou modifiant la décision d’imposer une sanction administrative pécuniaire peut être contestée devant la Cour du Québec dans les 30 jours qui suivent la notification de la décision contestée.

La contestation est assujettie aux règles prévues aux articles 61 à 69, avec les adaptations nécessaires.

2021, c. 25, a. 159.

90.10. L’imposition d’une sanction administrative pécuniaire se prescrit par deux ans à compter de la date du manquement à la présente loi.

2021, c. 25, a. 159.

90.11. Aucune sanction administrative pécuniaire ne peut être imposée à une personne en raison d’un manquement à la présente loi lorsqu’un constat d’infraction lui a été antérieurement signifié en raison d’une contravention à la même disposition, survenue le même jour et fondée sur les mêmes faits.

2021, c. 25, a. 159.

90.12. Le montant maximal de la sanction administrative pécuniaire est de 50 000 $ dans le cas d’une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2% du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé.

2021, c. 25, a. 159.

90.13. Le débiteur et la Commission peuvent conclure une entente de paiement du montant dû. Une telle entente ou le paiement de ce montant ne constitue pas, aux fins d’une poursuite pénale ou de toute autre sanction administrative prévue par la présente loi, une reconnaissance des faits y donnant lieu.

2021, c. 25, a. 159.

90.14. À défaut d’acquittement de la totalité du montant dû ou de respect de l’entente conclue à cette fin, la Commission peut délivrer un certificat de recouvrement à l’expiration du délai pour demander le réexamen de la décision d’imposer la sanction administrative pécuniaire, à l’expiration du délai pour contester la décision en réexamen devant la Cour du Québec ou à l’expiration d’un délai de 30 jours suivant la décision finale de ce tribunal confirmant en tout ou en partie la décision d’imposer la sanction ou la décision en réexamen, selon le cas.

Toutefois, ce certificat peut être délivré avant l’expiration d’un délai prévu au premier alinéa si la Commission est d’avis que le débiteur tente d’éluder le paiement.

Ce certificat énonce le nom et l’adresse du débiteur et le montant de la dette.

2021, c. 25, a. 159.

90.15. Après la délivrance du certificat de recouvrement, le ministre du Revenu affecte, conformément à l’article 31 de la Loi sur l’administration fiscale (chapitre A-6.002), un remboursement dû à une personne par suite de l’application d’une loi fiscale au paiement d’un montant dû par cette personne en vertu de la présente loi.

Cette affectation interrompt la prescription prévue au Code civil quant au recouvrement d’un montant dû.

2021, c. 25, a. 159.

90.16. Sur dépôt du certificat de recouvrement au greffe du tribunal compétent, accompagné d’une copie de la décision définitive qui établit la dette, la décision devient exécutoire comme s’il s’agissait d’un jugement définitif et sans appel de ce tribunal et en a tous les effets.

2021, c. 25, a. 159.

90.17. Le débiteur est tenu au paiement de frais de recouvrement, dans les cas et conditions déterminés par règlement, selon le montant qui y est prévu.

2021, c. 25, a. 159.

§ 5 . — Dispositions pénales

91. Commet une infraction et est passible d’une amende de 5 000 $ à 100 000 $ dans le cas d’une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou du montant correspondant à 4% du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé, quiconque:

1°  recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la loi;

2°  omet de déclarer, s’il est tenu de le faire, un incident de confidentialité à la Commission ou aux personnes concernées;

3°  contrevient à l’interdiction prévue à l’article 8.4;

4°  ne prend pas les mesures de sécurité propres à assurer la protection des renseignements personnels conformément à l’article 10;

5°  procède ou tente de procéder à l’identification d’une personne physique à partir de renseignements dépersonnalisés sans l’autorisation de la personne les détenant ou à partir de renseignements anonymisés;

6°  s’il est un agent de renseignements personnels, contrevient aux articles 70, 70.1, 71, 72, 78, 79 ou 79.1;

7°  entrave le déroulement d’une enquête ou d’une inspection de la Commission ou l’instruction d’une demande par celle-ci en lui communiquant des renseignements faux ou inexacts, ou en omettant de lui communiquer des renseignements qu’elle requiert ou autrement;

8°  contrevient à l’article 81.1;

9°  refuse ou néglige de se conformer, dans le délai fixé, à une demande transmise en application de l’article 81.3;

10°  contrevient à une ordonnance de la Commission.

1993, c. 17, a. 91; 2006, c. 22, a. 144; 2021, c. 25, a. 160.

92. La Commission peut, conformément à l’article 10 du Code de procédure pénale (chapitre C-25.1), intenter une poursuite pénale pour une infraction prévue à la présente section.

1993, c. 17, a. 92; 2006, c. 22, a. 145; 2021, c. 25, a. 160.

92.1. En cas de récidive, les amendes prévues à la présente section sont portées au double.

2006, c. 22, a. 146; 2021, c. 25, a. 160.

92.2. Toute poursuite pénale doit être intentée dans un délai de cinq ans de la perpétration de l’infraction.

2021, c. 25, a. 160.

92.3. Dans la détermination de la peine, le juge tient notamment compte des facteurs suivants:

1°  la nature, la gravité, le caractère répétitif et la durée de l’infraction;

2°  la sensibilité des renseignements personnels concernés par l’infraction;

3°  le fait que le contrevenant ait agi intentionnellement ou ait fait preuve de négligence ou d’insouciance;

4°  le caractère prévisible de l’infraction ou le défaut d’avoir donné suite aux recommandations ou aux avertissements visant à la prévenir;

5°  les tentatives du contrevenant de dissimuler l’infraction ou son défaut de tenter d’en atténuer les conséquences;

6°  le fait que le contrevenant ait omis de prendre des mesures raisonnables pour empêcher la perpétration de l’infraction;

7°  le fait que le contrevenant, en commettant l’infraction ou en omettant de prendre des mesures pour empêcher sa perpétration, ait accru ses revenus ou ait réduit ses dépenses ou avait l’intention de le faire;

8°  le nombre de personnes concernées par l’infraction et le risque de préjudice auquel ces personnes sont exposées.

2021, c. 25, a. 160.

93. Si une personne morale commet une infraction prévue par la présente loi, l’administrateur, le dirigeant ou le représentant de cette personne morale qui a prescrit ou autorisé l’accomplissement de l’acte ou de l’omission qui constitue l’infraction ou qui y a consenti est partie à l’infraction et passible de la peine qui y est prévue.

1993, c. 17, a. 93.

§ 6 . — Dommages-intérêts

2021, c. 25, a. 161.

93.1. Lorsqu’une atteinte illicite à un droit conféré par la présente loi ou par les articles 35 à 40 du Code civil cause un préjudice et que cette atteinte est intentionnelle ou résulte d’une faute lourde, le tribunal accorde des dommages-intérêts punitifs d’au moins 1 000 $.

2021, c. 25, a. 161.

SECTION VIII DISPOSITIONS DIVERSES

94. Les dispositions de la présente loi prévalent sur celles d’une loi générale ou spéciale postérieure qui leur seraient contraires, à moins que cette dernière loi n’énonce expressément s’appliquer malgré la présente loi.

Toutefois elles n’ont pas pour effet de restreindre la protection des renseignements personnels ou l’accès d’une personne concernée à ces renseignements, résultant de l’application d’une autre loi, d’un règlement, d’un décret, d’une convention collective, d’un arrêté ou d’une pratique établie avant le 1er janvier 1994.

1993, c. 17, a. 94.

95. Lorsqu’un ministère, un organisme ou une personne est habilité en vertu d’une loi à mener des enquêtes en matière de protection des renseignements personnels, la Commission peut conclure une entente avec ce ministère, cet organisme ou cette personne afin de coordonner leurs actions respectives.

1993, c. 17, a. 95.

96. Une association ou une société qui exploite une entreprise et détient des renseignements personnels sur ses membres ou sur des tiers a les mêmes droits et les mêmes obligations à l’égard de ses membres et des tiers que la personne qui exploite une entreprise.

1993, c. 17, a. 96.

97. Pour la communication entre elles et l’utilisation de renseignements personnels pertinents à la fourniture d’un bien ou la prestation d’un service en vertu de la Loi sur les coopératives de services financiers (chapitre C-67.3), les caisses et la fédération dont celles-ci sont membres et, selon le cas, la personne morale ou la société contrôlée par la fédération ne sont pas considérées comme des tiers les unes à l’égard des autres.

Pour la communication entre elles et l’utilisation de renseignements personnels pertinents à la gestion des risques, les caisses, la fédération dont celles-ci sont membres et les autres personnes morales du groupe ne sont pas considérées comme des tiers les unes à l’égard des autres.

1993, c. 17, a. 97; 2000, c. 29, a. 662; 2006, c. 22, a. 147; 2010, c. 40, a. 13; 2018, c. 23, a. 781.

98. Le ministre désigné par le gouvernement est responsable de l’application de la présente loi.

1993, c. 17, a. 98; 1994, c. 14, a. 32; 1996, c. 21, a. 63; 2005, c. 24, a. 47.

Le ministre responsable de l'Accès à l'information et de la Protection des renseignements personnels est responsable de l’application de la présente loi. Décret 1541-2021 du 15 décembre 2021, (2022) 154 G.O. 2, 177.

SECTION IX DISPOSITIONS MODIFICATIVES

LOI SUR L’ACCÈS AUX DOCUMENTS DES ORGANISMES PUBLICS ET SUR LA PROTECTION DES RENSEIGNEMENTS PERSONNELS

99. (Modification intégrée au c. A-2.1, a. 88.1).

1993, c. 17, a. 99.

100. (Modification intégrée au c. A-2.1, a. 89.1).

1993, c. 17, a. 100.

101. (Modification intégrée au c. A-2.1, a. 94).

1993, c. 17, a. 101.

102. (Modification intégrée au c. A-2.1, a. 104).

1993, c. 17, a. 102.

103. (Modification intégrée au c. A-2.1, a. 118).

1993, c. 17, a. 103.

104. (Modification intégrée au c. A-2.1, a. 122).

1993, c. 17, a. 104.

105. (Modification intégrée au c. A-2.1, a. 130.1).

1993, c. 17, a. 105.

106. (Modification intégrée au c. A-2.1, a. 146.1).

1993, c. 17, a. 106.

107. (Modification intégrée au c. A-2.1, a. 148).

1993, c. 17, a. 107.

108. (Modification intégrée au c. A-2.1, a. 151).

1993, c. 17, a. 108.

109. (Modification intégrée au c. A-2.1, a. 174).

1993, c. 17, a. 109.

LOI SUR LES CAISSES D’ÉPARGNE ET DE CRÉDIT

110. (Modification intégrée au c. C-4.1, a. 196).

1993, c. 17, a. 110.

111. (Omis).

1993, c. 17, a. 111.

112. (Omis).

1993, c. 17, a. 112.

113. (Omis).

1993, c. 17, a. 113.

SECTION X DISPOSITIONS FINALES

114. Toute personne qui exploite une entreprise doit inscrire l’énoncé de l’objet des dossiers qu’elle détient sur autrui le 1er janvier 1994 avant le 1er janvier 1995.

1993, c. 17, a. 114.

115. (Omis).

1993, c. 17, a. 115.

ANNEXE ABROGATIVE

Conformément à l’article 9 de la Loi sur la refonte des lois et des règlements (chapitre R‐3), le chapitre 17 des lois de 1993, tel qu’en vigueur le 1er septembre 1994, à l’exception de l’article 115, est abrogé à compter de l’entrée en vigueur du chapitre P-39.1 des Lois refondues.