Loi 25 ou PIPEDA : quelle loi s'applique à votre organisation
Ce n'est pas un choix. Le lieu de l'activité et le fait que le renseignement traverse une frontière décident de la loi.
La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. La LPRPDE, souvent appelée PIPEDA, est la loi fédérale. Les deux ne s'empilent pas sur la même activité au Québec. Elles se relaient selon le territoire.
Activité au Québec
Pour une entreprise qui collecte, utilise ou communique des renseignements personnels au Québec, c'est la loi provinciale qui s'applique. Le Québec est reconnu comme ayant une loi essentiellement similaire à la loi fédérale pour les activités commerciales dans la province.
Flux entre provinces ou hors du Canada
Dès que le renseignement est collecté, utilisé ou communiqué dans le cadre d'une activité commerciale d'une province à l'autre, ou vers l'étranger, la LPRPDE reprend la main sur ce flux. Une entreprise de Québec qui vend au reste du Canada a donc les deux textes à regarder, chacun sur son terrain.
Employés du Québec
Les renseignements sur les employés au Québec relèvent de la loi provinciale. La LPRPDE ne couvre les employés que pour les entreprises fédérales, comme une banque, une entreprise de télécommunications ou un transporteur interprovincial.
Ce qu'il ne faut pas conclure
Avoir un siège à Montréal ne dispense pas d'évaluer un transfert hors du Québec. Avoir des clients en Ontario ne remplace pas les obligations de la Loi 25 sur les activités faites au Québec, dont la politique, le responsable et les incidents de confidentialité.
Un programme qui porte les deux lois sans les dupliquer
CapGRC rattache les exigences de la Loi 25 et de la LPRPDE aux mêmes contrôles et aux mêmes preuves.