Pleins feux sur le droit au Québec : Nouvelles règles sur la validité du consentement

Julie Himo (00:05): Avec l’adoption de la loi 25, des changements majeurs ont été apportés aux régimes de protection des renseignements personnels du Québec, particulièrement en ce qui a trait aux règles liées au consentement. Je m’appelle Julie Himo et je suis associée en protection de la vie privée et en cybersécurité au bureau de Torys à Montréal. Je suis ici avec ma collègue Rosalie Jetté pour vous donner un aperçu de ces nouvelles règles.

Rosalie Jetté (00:25): En effet, Julie, quels sont les principaux points à retenir pour les organisations qui veulent obtenir un consentement valide de la part des individus?

Julie Himo (00:33): Alors, la première chose que nos clients doivent savoir, c’est qu’il peut y avoir des approches différentes pour obtenir le consentement en fonction des fins pour lesquelles les renseignements sont recueillis. Si vous recueillez seulement les renseignements personnels qui sont strictement nécessaires à la fourniture de produits ou de services, il est possible que vous n’ayez qu’à aviser la personne sans devoir obtenir son consentement.

En revanche, si vous souhaitez utiliser les renseignements personnels pour d’autres fins que la seule fourniture de produits et de services, par exemple, si vous proposez des produits supplémentaires aux clients, vous devrez obtenir leur consentement. Dans certaines situations, un consentement explicite peut être nécessaire, alors que dans d’autres, un consentement implicite peut suffire. En règle générale, il faut garder à l’esprit qu’un consentement explicite est requis pour utiliser ou communiquer des renseignements personnels sensibles, tels les renseignements médicaux, financiers ou biométriques.

Rosalie Jetté (01:24): Très utile, Julie! Un autre point à retenir est le critère de nécessité qui détermine la validité du consentement. En d’autres mots, une organisation ne peut s’appuyer sur le consentement pour recueillir et utiliser les renseignements personnels dont elle n’a pas réellement besoin pour atteindre son objectif. Par exemple, si une organisation demande à un client de consentir au traitement de ses renseignements personnels pour effectuer un achat, elle ne peut pas lui demander d’autres renseignements personnels qui ne sont pas nécessaires au traitement de cet achat.

Elle ne peut pas non plus s’appuyer sur son consentement pour utiliser ses renseignements personnels à d’autres fins.

Julie Himo (01:58): Absolument. Rosalie, existe-t-il des directives précises pour la façon dont le consentement doit être obtenu?

Rosalie Jetté (02:04): Tout d’abord, il faut se rappeler que, conformément à la loi et aux lignes directrices publiées par l’organisme de la protection de la vie privée au Québec, la demande de consentement doit être présentée distinctement de toute autre information, telle que les modalités ou les conditions d’utilisation. Par ailleurs, il doit être aussi facile de donner son consentement que de ne pas le donner.

Par exemple, s’il faut cliquer sur un bouton pour donner son consentement, le bouton de refus doit être aussi facile d’accès et d’utilisation pour que les personnes aient un véritable choix en ce qui concerne leurs renseignements personnels.

Julie Himo (02:35): Merci Rosalie. Il s’agit certainement d’obligations que les organisations devraient bien connaître pour éviter d’être tenues responsables et de faire l’objet d’un contrôle réglementaire.