ISO/IEC 27701:2025 : la certification vie privée n’exige plus l’ISO 27001
L’édition 2025 de l’ISO/IEC 27701 est une norme autonome de système de management de la vie privée. À qui elle profite, sa correspondance avec la loi 25 du Québec, et ce que doivent faire les organisations certifiées selon l’édition 2019.
Que consigner dans votre registre des incidents de confidentialité en vertu de la Loi 25 (et pendant combien de temps le conserver)
Tout incident de confidentialité doit être consigné en vertu de la Loi 25, qu'il soit signalé ou non. Voici les huit éléments requis dans votre registre et la règle de conservation de cinq ans.
Évaluations des facteurs relatifs à la vie privée sous la Loi 25 : quand sont-elles nécessaires et que doivent-elles contenir ?
La Loi 25 exige une évaluation des facteurs relatifs à la vie privée pour les nouveaux systèmes d’information, les transferts hors Québec et certains usages en recherche. Voici quand elle s’applique et ce qu’une EFVP proportionnée couvre.
Transmission de renseignements personnels hors Québec : évaluation des fournisseurs de services infonuagiques et SaaS (art. 17)
L’hébergement de données client en Ontario, aux États-Unis ou en Europe est autorisé en vertu de la Loi 25, mais seulement après une évaluation des facteurs relatifs à la vie privée et une entente écrite. Voici une approche pratique pour le SaaS.
Témoins et traçage en vertu de la Loi 25 : la confidentialité par défaut en pratique (art. 8.1 et 9.1)
L’article 8.1 encadre les technologies de traçage et de profilage; l’article 9.1 établit la confidentialité par défaut, mais exclut les paramètres relatifs aux témoins. Voici comment ces deux dispositions s’articulent concrètement sur un site web.
Décisions automatisées et IA : obligations de transparence en vertu de la Loi 25 (art. 12.1) et propositions du projet de loi C-36
La Loi 25 exige déjà un avis, des explications et un examen humain pour les décisions entièrement automatisées. Le projet de loi C-36 propose des règles fédérales similaires. Ce qui s'applique maintenant et comment se préparer.
Ce que les premières mesures d’application de la Loi 25 par la CAI révèlent aux entreprises
Peu de sanctions liées à la Loi 25 sont publiques, mais le cadre des SAP de la CAI et les récentes ordonnances sur la biométrie et la collecte des NAS montrent clairement ce que le régulateur québécois attend des entreprises.
Loi 25 du Québec : trois obligations que les entreprises manquent encore
La Loi 25 est pleinement en vigueur depuis 2024. Voici les trois exigences que nous constatons le plus souvent manquantes.
Projet de loi C-36 : ce que la réforme de la protection de la vie privée proposée par le Canada pourrait signifier pour vous
Le projet de loi C-36 remplacerait la LPRPDE par la Loi sur la protection de la vie privée et des données des consommateurs. Nouveaux droits, nouvel organisme de réglementation, sanctions pouvant atteindre 10 millions $ ou 3 % du chiffre d’affaires mondial, et pourquoi la conformité à la Loi 25 vous donne une longueur d’avance.