Le droit à la portabilité des données : un guide pour vous conformer à cette nouvelle exigence

Antoine Guilmain

Bonjour à toutes et à tous. Aujourd'hui, on va vous parler du droit à la portabilité des données. Alors, le droit à la portabilité des données entrera en vigueur à compter du 22 septembre 2024, et c'est donc la troisième et dernière phase de la Loi 25 au Québec. Cette disposition permettra aux individus de demander et d'obtenir, auprès des organisations qui les ont collectés, leurs renseignements personnels informatisés sous un format technologique structuré et couramment utilisé, l'objectif étant de permettre aux individus de détenir leurs renseignements personnels pour en faire un usage personnel ou pour les communiquer à un tiers de leur choix. Alors, j'ai plusieurs questions et la première étant : Quelle est la différence entre le droit spécifique à la portabilité des données et le droit général d'accès aux renseignements personnels?

Nawal Sassi

Alors, la différence, c'est que le droit à la portabilité des données au Québec doit être vu comme une extension du droit à l'accès. Contrairement à l'Union européenne ou sous le RGPD, le droit à la portabilité est vraiment un droit distinct, ici, les modalités pour exercer ce droit suivent en gros celles du droit à l'accès, sous réserve, évidemment, de quelques spécificités.

Antoine Guilmain

Alors, en parlant de spécificités, faut-il faire une différence entre les renseignements personnels généraux et les renseignements personnels informatisés en vertu de ce nouveau droit?

Nawal Sassi

Absolument. Alors, la loi prévoit que seuls les renseignements personnels informatisés puissent faire l'objet d'une demande de portabilité. Alors, le renseignement personnel en soi, c'est une information qui permet d'identifier une personne physique directement ou indirectement. On peut penser à un nom ou à un numéro de téléphone, alors que le renseignement personnel informatisé implique qu'il a été recueilli sous forme informatisée. Donc, par exemple, un formulaire en ligne qu'une personne aurait rempli.

Antoine Guilmain

Alors, je me demande également ce qu'on entend par format technologique structuré et couramment utilisé. Est-ce que tu pourrais m'en dire un peu plus à cet égard?

Nawal Sassi

Le premier critère, c'est que la transcription doit être écrite et intelligible, ce qui veut dire que l'information doit être accessible et possible d'être comprise par une personne. On peut penser à des renseignements qui soient chiffrés ou encodés. Bien, ça ne respecte pas le critère d'intelligibilité. Puis, elle doit également se faire dans un format technologique structuré et couramment utilisé. Ce concept n'est pas clairement défini dans la loi ici, mais en Europe, qui a également sa propre version du droit à la portabilité, le Comité européen sur la protection des données a publié des directives avec une liste de formats considérés conformes à la portabilité. Des formats comme JSON, CSV ou XML permettent l'interopérabilité des systèmes et facilitent le transfert des données d'un prestataire de services à un autre.

Nawal Sassi

Autre, est-ce que le droit à la portabilité est absolu? Autrement dit, est-ce qu'il y aurait des restrictions applicables dans certaines circonstances?

Nawal Sassi

Alors, le droit à la portabilité des données n'est pas absolu. Il y a certaines restrictions qui viennent baliser ce droit. D'abord, les renseignements personnels créés ou inférés à partir de renseignements personnels recueillis sont exclus. Par exemple, des recommandations générées à partir d'un historique d'achat tombent sous cette catégorie, puisqu'il s'agit d'information commerciale confidentielle et que c'est la propriété intellectuelle de l'entreprise.

Antoine Guilmain

Alors, évidemment, le bâton suit souvent la carotte et en cas de non-conformité à la loi, eh bien, il y a plusieurs sanctions qui peuvent être imposées par la Commission d'accès à l'information du Québec. Alors, pour vous aider à vous conformer à cette nouvelle exigence, nous avons élaboré un guide sur le droit à la portabilité des données qui vous permettra de vous familiariser avec ces concepts-clés et vous aider à mettre à jour vos processus internes.