Une demande d’accès arrive rarement au bon moment. Elle arrive par courriel, souvent d’un ancien employé ou d’un client mécontent, et elle démarre un chronomètre de 30 jours que la loi ne suspend pas parce que la bonne personne était en vacances.
Cette page fait le tour des droits que la Loi 25 confère aux personnes, des délais qui vous lient, et du travail technique qui décide si vous pouvez répondre à temps ou non.
Réponse rapide : La Loi 25 donne aux personnes un droit d’accès, un droit de rectification, un droit à la portabilité, un droit à la cessation de diffusion et à la désindexation, et des droits particuliers face aux décisions automatisées. Le responsable doit répondre par écrit dans les 30 jours de la réception de la demande. Passé ce délai, l’entreprise est réputée avoir refusé, ce qui ouvre un recours devant la Commission d’accès à l’information.
1. Le droit d’accès
L’article 27 oblige l’entreprise, à la demande de la personne concernée, à lui confirmer l’existence d’un renseignement personnel qui la concerne, à lui en donner communication et à lui permettre d’en obtenir une copie.
Un renseignement informatisé doit, sur demande, être communiqué sous forme de transcription écrite et intelligible. Lorsque la personne est handicapée, des mesures d’accommodement raisonnables doivent être prises sur demande.
L’accès est gratuit selon l’article 33. Des frais raisonnables peuvent toutefois être exigés pour la transcription, la reproduction ou la transmission, et la personne doit être informée du montant approximatif avant que les frais soient engagés.
2. Le délai de 30 jours et la sanction du silence
L’article 32 impose au responsable de la protection des renseignements personnels de répondre par écrit à une demande d’accès ou de rectification avec diligence, et au plus tard dans les 30 jours de la date de réception de la demande.
Le même article ajoute la sanction du silence : à défaut de répondre dans les 30 jours, l’entreprise est réputée avoir refusé d’acquiescer à la demande. Ce refus présumé ouvre un recours devant la Commission d’accès à l’information. Trois conséquences pratiques en découlent.
- Il faut une adresse de réception connue et surveillée. C’est celle du responsable, publiée sur votre site.
- Il faut horodater la réception. Le délai court à partir de la réception, pas de la découverte du courriel par la bonne personne.
- Il faut savoir extraire les données en moins de 30 jours. C’est le point technique, et c’est là que la plupart des PME calent.
Retrouver tout ce qu’on détient sur une personne dans le serveur de fichiers, dans la suite bureautique infonuagique, dans le système de gestion des relations clients, dans le système de paie et dans les archives courriel prend du temps si rien n’a été préparé. Une recherche outillée à l’échelle du parc, mise en place à froid, transforme un exercice de trois semaines en travail de quelques heures.
3. Rectification et portabilité
L’article 28 permet à toute personne d’exiger la rectification d’un renseignement inexact, incomplet ou équivoque, ou dont la collecte, la communication ou la conservation ne sont pas autorisées par la loi. Le même délai de 30 jours s’applique.
Le droit à la portabilité est la dernière disposition entrée en application, le 22 septembre 2024. L’article 27 prévoit qu’un renseignement personnel informatisé recueilli auprès du requérant lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé. Ce renseignement est aussi communiqué, à sa demande, à toute personne ou tout organisme autorisé par la loi à le recueillir.
Le droit a deux limites écrites dans le texte. Il ne vise pas les renseignements créés ou inférés à partir d’un renseignement concernant la personne : le pointage que vous avez calculé, la note de rendement que vous avez attribuée ou le segment marketing que vous avez déduit ne sont pas portables. Et il ne s’applique pas si cela soulève des difficultés pratiques sérieuses. C’est une soupape, pas une porte de sortie. L’invoquer parce que l’export est fastidieux ne tiendra pas ; l’invoquer parce que la donnée est enfermée dans un système hérité sans mécanisme d’export est plus défendable.
En pratique, un fichier CSV ou JSON propre satisfait l’exigence de format structuré et couramment utilisé. Un document de 40 pages en format image ne la satisfait pas.
4. Cessation de diffusion et désindexation
L’article 28.1 crée deux recours.
Le premier est simple : la personne peut exiger que l’entreprise cesse de diffuser un renseignement, ou que soit désindexé tout hyperlien rattaché à son nom permettant d’y accéder, lorsque la diffusion contrevient à la loi ou à une ordonnance judiciaire.
Le second est un test à trois conditions cumulatives. La diffusion cause à la personne un préjudice grave relatif à sa réputation ou à sa vie privée. Ce préjudice est manifestement supérieur à l’intérêt du public de connaître le renseignement ou à l’intérêt de quiconque de s’exprimer librement. Et la mesure demandée n’excède pas ce qui est nécessaire pour éviter la perpétuation du préjudice.
L’évaluation tient compte notamment du fait que la personne est une personnalité publique, du fait que le renseignement la concerne alors qu’elle était mineure, et du fait que le renseignement est à jour et exact.
Pour une PME, le cas concret est presque toujours le même : un ancien employé demande le retrait de son nom et de sa photo d’une page d’équipe, d’un communiqué ou d’une publication sur les réseaux sociaux.
5. Les décisions automatisées
L’article 12.1 vise l’entreprise qui utilise des renseignements personnels pour qu’une décision soit rendue de façon fondée exclusivement sur un traitement automatisé. Trois obligations en découlent.
- Informer la personne du caractère automatisé de la décision, au plus tard au moment où on l’informe de cette décision.
- Sur demande, l’informer des renseignements personnels utilisés, des raisons ainsi que des principaux facteurs et paramètres ayant mené à la décision, et de son droit de faire rectifier ces renseignements.
- Lui donner l’occasion de présenter ses observations à un membre du personnel de l’entreprise en mesure de réviser la décision.
Le mot « exclusivement » est le pivot. Si un humain examine le dossier et tranche, l’article ne s’applique pas. Si le système décide seul et que l’humain ne fait que transmettre le résultat, il s’applique.
Cette obligation prend de l’importance à mesure que les PME branchent des outils d’intelligence artificielle sur leur tri de candidatures, leur approbation de crédit ou leur tarification. Une exigence de la loi est de pouvoir expliquer les principaux facteurs. Un outil qui ne fournit aucune explication vous met en défaut par construction.
Foire aux questions
Quel est le délai pour répondre à une demande d’accès sous la Loi 25 ?
Trente jours à compter de la réception de la demande, avec une réponse écrite du responsable. À défaut de répondre dans ce délai, l’entreprise est réputée avoir refusé, ce qui ouvre un recours devant la Commission d’accès à l’information.
Peut-on facturer une demande d’accès à un dossier personnel ?
L’accès lui-même est gratuit. Des frais raisonnables peuvent être exigés pour la transcription, la reproduction ou la transmission, et le montant approximatif doit être communiqué à la personne avant d’être engagé.
Un ancien employé peut-il exiger le retrait de sa photo du site de l’entreprise ?
Souvent oui, par le droit de cessation de diffusion ou de désindexation de l’article 28.1, selon que la diffusion contrevient à la loi ou qu’elle cause un préjudice grave qui l’emporte sur l’intérêt du public. Dans les faits, la plupart des entreprises retirent la photo sans débat.
Être capable de répondre en 30 jours, pour vrai
Le droit d’accès se gagne ou se perd sur la préparation technique : savoir où vivent les données, pouvoir les chercher partout à la fois, et garder une trace de ce qui a été cherché. Nos services informatiques gérés outillent les PME de Trois-Rivières et du Québec pour que cette recherche prenne des heures plutôt que des semaines. Pour faire le point sur votre capacité à répondre, passez par le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.