La Loi 25 du Québec (anciennement projet de loi 64) est la loi sur la vie privée la plus solide au Canada et ce qui ressemble le plus au RGPD en sol canadien. Elle accorde un véritable droit à l'effacement et un droit à la désindexation, et elle est appliquée par la Commission d'accès à l'information, avec des amendes pouvant atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Voici ce que vous pouvez exiger, et comment.
Pourquoi la Loi 25 compte plus que la LPRPDE
La Loi 25 du Québec, adoptée sous le nom de projet de loi 64 et mise en oeuvre par étapes entre 2022 et 2024, a modernisé le régime provincial de protection des renseignements personnels dans le secteur privé et l'a nettement porté au-delà de la norme fédérale de la LPRPDE. Là où la LPRPDE est bâtie autour de la gestion du consentement et n'accorde aucun droit autonome à l'effacement, la Loi 25 introduit un droit explicite de faire supprimer des renseignements personnels, un droit à la désindexation, la portabilité des données et le droit d'être informé lorsqu'une décision vous concernant est prise par un traitement automatisé.
Cela change tout en pratique : si l'organisation est au Québec et que les renseignements y sont traités, vous n'argumentez pas à partir d'un principe de consentement. Vous exercez un droit nommé prévu par la loi, et l'organisation doit y répondre.
Ce que la Loi 25 vous accorde
Les droits principaux, tels qu'ils figurent dans la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, comprennent :
Le droit à l'effacement est celui que les gens sous-utilisent. Son déclencheur est la nécessité : dès que la fin est atteinte, les renseignements doivent disparaître. C'est un argument différent, et souvent plus simple, que le raisonnement fondé sur le consentement qu'il faudrait employer en vertu de la LPRPDE.
- Accès : la confirmation que des renseignements personnels vous concernant sont détenus, et l'accès à ceux-ci.
- Rectification : la correction de renseignements inexacts, incomplets ou équivoques, et le droit de faire informer les tiers qui les ont reçus.
- Effacement (droit à l'effacement) : la suppression de renseignements qui ne sont plus nécessaires aux fins pour lesquelles ils ont été recueillis, ou qui ont été recueillis illégalement.
- Désindexation : le droit d'exiger qu'un lien hypertexte donnant accès à vos renseignements soit désindexé lorsqu'il vous cause un préjudice sérieux et que les conditions de la Loi sont remplies.
- Portabilité : recevoir vos renseignements personnels informatisés dans un format structuré et couramment utilisé, et les faire transférer à une autre organisation lorsque cela est techniquement possible.
- Information sur les décisions automatisées : être informé lorsqu'une décision fondée exclusivement sur un traitement automatisé a été prise à votre sujet, pouvoir en demander les détails et faire réviser la décision.
Comment présenter une demande de suppression à l'entreprise
Toute entreprise du Québec doit désigner une personne responsable de la protection des renseignements personnels, et c'est à elle que votre demande doit être adressée. Utilisez ce titre. Précisez que vous exercez vos droits en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, et soyez explicite sur ce que vous voulez : effacement, rectification, désindexation, ou une combinaison.
Identifiez les renseignements avec précision — dossiers de compte, historique de transactions, profils de marketing, enregistrements d'appels, documents téléversés, commentaires, images. Indiquez la raison pour laquelle la condition de nécessité est remplie : le compte est fermé, le contrat est terminé, la période de conservation est écoulée, les renseignements ont été recueillis sans base valable. Demandez une confirmation écrite de ce qui a été fait, et demandez quels tiers ont reçu les renseignements afin que la suppression se propage.
Les délais, et quoi faire s'ils sont dépassés
L'organisation doit répondre dans les 30 jours suivant la réception de votre demande. Elle peut prolonger ce délai dans des circonstances limitées, avec un avis écrit vous expliquant le motif — mais le silence n'est pas une option, et un refus doit être motivé et écrit. Si vous n'obtenez rien, ou un refus que vous jugez erroné, vous disposez d'un recours précis prévu par la Loi plutôt que d'un vague grief.
Conservez tout. Datez votre demande, gardez la confirmation de livraison, sauvegardez chaque réponse. Le processus de la CAI repose sur la documentation, et une chronologie claire représente l'essentiel du travail d'une plainte réussie.
Porter plainte à la Commission d'accès à l'information
La Commission d'accès à l'information du Québec (CAI) est l'organisme de surveillance et, contrairement au CPVP fédéral, elle dispose de véritables pouvoirs de contrainte. Vous pouvez demander à la CAI d'examiner un désaccord sur l'exercice de vos droits, et la CAI peut ordonner à l'organisation de se conformer. Le non-respect d'une ordonnance de la CAI peut lui-même mener à des poursuites.
L'exposition financière prévue par la Loi 25 est importante, et elle n'est pas théorique : les amendes peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les infractions les plus graves, avec des sanctions distinctes pour les personnes qui participent à une violation, y compris les dirigeants et les administrateurs. Quand l'équipe de conformité d'une organisation examine une demande d'effacement bien documentée, c'est cette exposition — et non la bonne volonté — qui déclenche une réponse.
La désindexation : le droit qui change les résultats de recherche
L'article 28.1 de la Loi donne à une personne le droit d'exiger d'un moteur de recherche ou de l'exploitant d'une plateforme qu'il cesse d'indexer un lien hypertexte donnant accès à ses renseignements, lorsque ceux-ci causent un préjudice sérieux et que les conditions prévues par la Loi sont remplies. Le préjudice doit être sérieux, et la balance peut jouer contre vous lorsque l'intérêt public lié à l'information, ou le droit du public à l'information, l'emporte.
C'est l'équivalent canadien le plus proche du déréférencement prévu par le RGPD, et c'est un droit spécifiquement québécois. C'est aussi là qu'une démarche exige le plus de soin : chaque lien hypertexte doit être évalué individuellement, le préjudice doit être démontré, et l'argument d'intérêt public sera soulevé. Les demandes de désindexation globales sont refusées ; les demandes ciblées et bien argumentées aboutissent parfois.
Comment mener cette démarche correctement
Le travail se fait en deux temps : une vérification pour trouver tout ce qui existe et déterminer sur quels éléments vous avez réellement un droit fondé à agir, puis une campagne priorisée qui traite d'abord les demandes les plus solides pendant que les plus faibles sont évaluées. Effacement, rectification, désindexation et portabilité sont des demandes distinctes, avec des critères distincts, et les mélanger dans une seule lettre est une cause fréquente d'échec.
Nous nous occupons de la vérification et de la correspondance, et nous sommes directs sur les limites. Un organisme de surveillance doté de véritables pouvoirs et un droit nommé prévu par la loi ne signifient pas que chaque demande réussit : certains dossiers sont conservés pour des motifs juridiques, certains refus sont fondés, et le critère de la désindexation est réellement difficile. Ce qu'un service payant vous apporte, c'est une demande correctement motivée et documentée, fondée sur le bon article de la bonne loi — pas une promesse sur le résultat.