Correction
Une version précédente de cet article décrivait une « Loi 19 » sur les services numériques. Cette loi n'existe pas. Le projet de loi 19 portait sur les renseignements de santé et n'a pas été adopté sous ce numéro : voir notre article sur la Loi 19. Pour le numérique, ce sont les règles de la Loi 25 qui s'appliquent.
Ce que la Loi 25 exige des entreprises
Toute entreprise qui recueille des renseignements personnels au Québec, y compris par un site web ou une application, doit désigner un responsable de la protection des renseignements personnels, obtenir un consentement clair, publier une politique de confidentialité en langage simple et déclarer les incidents de confidentialité présentant un risque sérieux. Elle doit aussi évaluer les facteurs relatifs à la vie privée avant certains projets, informer les personnes quand une décision est prise uniquement par traitement automatisé, et activer par défaut les paramètres les plus protecteurs d'un service offert au public.
Calendrier
Les obligations sont entrées en vigueur par étapes : septembre 2022 (responsable, déclaration des incidents), septembre 2023 (la plupart des obligations, dont le consentement, la transparence et les évaluations) et septembre 2024 (droit à la portabilité).
Sanctions
Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales, 25 millions de dollars ou 4 % de ce chiffre d'affaires, selon le montant le plus élevé.