Auteurs(trice)
Sociétaire, Litiges, Montréal
Associé, Litiges, Montréal
Le 22 septembre 2023, la majorité des modifications à la législation québécoise sur la protection des renseignements personnels introduites dans la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, auparavant le projet de loi 64) sont entrées en vigueur. Ces modifications prévoient l’octroi de plusieurs nouveaux pouvoirs de mise en application de la loi à la Commission d’accès à l’information duQuébec (la Commission).
Le présent blogue présente les nouveaux pouvoirs d’enquête de la Commission, ainsi que les amendes et pénalités auxquelles s’expose quiconque enfreint la Loi sur la protection des renseignements personnels dans le secteur privé (la Loi). Enfin, nous discutons également de la nouvelle disposition législative relative aux dommages-intérêts punitifs.
Pouvoirs d’enquête
Alors que la version précédente de la Loi prévoyait déjà des pouvoirs d’enquête, la Loi 25 élargit la portée des pouvoirs de la Commission lui permettant d’obtenir des renseignements et de prendre certaines ordonnances.
Par exemple, la Commission peut désormais :
- exiger d’une personne, assujettie ou non à la Loi, la production de tout renseignement ou de tout document permettant de vérifier l’application de la Loi et de ses règlements (art. 81.3);
- lorsqu’un incident de confidentialité est porté à son attention, ordonner à toute personne l’application de toute mesure visant à protéger les droits des personnes concernées (art. 81.4);
- demander à toute personne qui exploite une entreprise de lui fournir toute information qu’elle requiert sur l’application de la Loi (art. 83.1).
Sanctions administratives pécuniaires
La Loi 25 prévoit des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars canadiens ou un montant correspondant à 2 % du chiffre d’affaires mondial de l’entreprise pour l’exercice financier précédent si ce dernier montant est plus élevé.
Poursuites pénales
La Loi 25 prévoit également un nouveau mécanisme de mise en application des sanctions pénales. Depuis le 22 septembre 2023, la Commission peut intenter une poursuite pénale dans un délai de cinq (5) ans de la perpétration de l’infraction et imposer des amendes pouvant atteindre 25 millions de dollars canadiens ou le montant correspondant à 4 % du chiffre d’affaires mondial de l’entreprise pour l’exercice financier précédent si ce dernier montant est plus élevé. La Loi 25 prévoit également une amende minimale de 15 000 $ pour les sociétés et le doublement des amendes en cas de récidive.
Dommages-intérêts punitifs prévus par la loi
Au Québec, les dommages-intérêts punitifs ne peuvent être accordés que s’ils sont expressément prévus par la loi. Seules quelques lois permettent aux personnes physiques de réclamer des dommages-intérêts punitifs. La disposition la plus utilisée dans les poursuites civiles relatives au respect de la vie privée est l’article 49 de la Charte des droits et libertés de la personne du Québec, qui autorise l’octroi de dommages-intérêts punitifs en cas d’atteinte illicite et intentionnelle aux droits et libertés qui y sont prévus, y compris le droit au respect de la vie privée (article 5).
La Loi 25 introduit un nouveau droit privé indépendant permettant de réclamer des dommages-intérêts punitifs lorsque l’atteinte à un droit conféré par la Loi ou par les articles 35 à 40 du Code civil du Québec cause un préjudice et que cette atteinte est intentionnelle ou résulte d’une faute lourde.
Contrairement à toute autre loi prévoyant l’octroi de dommages-intérêts punitifs en vigueur au Québec, l’article 93.1 de la Loi stipule que « le tribunal accorde des dommages-intérêts punitifs d’au moins 1 000 $ », minimum fixé sans égard aux critères habituels d’analyse du montant des dommages-intérêts punitifs (par exemple, l’état d’esprit, les profits générés, la capacité de payer, etc.). Bien que le nouvel article 93.1 puisse être invoqué dans le cadre d’une poursuite civile, la réclamation de dommages-intérêts punitifs en vertu de cet article nécessitera toujours la démonstration d’un préjudice réel et d’un lien de causalité, en plus du fait que l’atteinte était intentionnelle ou résultait d’une faute lourde.
Commentaires
Le nouveau mécanisme de mise en application de la loi instauré par la Loi 25, qui est entré en vigueur le 22 septembre 2023, aura certainement une incidence sur les activités de toute entreprise faisant affaire au Québec et devrait être pris en compte au moment de la mise à jour des lignes directrices en matière de protection des renseignements personnels.
