• Élaborer des lignes directrices pour faciliter l’application de la Loi

Deux nouvelles obligations de la Loi 25 s’appliquent déjà aux entreprises, soit la nomination d’un responsable de la protection des renseignements personnels ainsi que le signalement des incidents de confidentialité.

La principale responsabilité du responsable de la protection des renseignements personnels est qu’il s’assure que l’entreprise respecte et mette en œuvre la Loi sur la protection des renseignements personnels dans le secteur privé. Cela peut comprendre la mise en place de mesures facilitant le droit à la portabilité des données, la gestion des incidents de confidentialité ainsi que le processus de notification ainsi que la mise en place de politiques et de pratiques encadrant la gouvernance des renseignements personnels au sein de l’entreprise. Dans l’optique où une entreprise ne nomine pas de responsable, ce sera la personne ayant la plus haute autorité dans l’entreprise qui occupera la fonction. Il est possible pour cette dernière de déléguer la fonction par écrit.

Pour ce qui est du signalement des incidents de confidentialité, les entreprises devront aviser la Commission d’accès à l’information et les personnes concernées de tout incident de confidentialité présentant un risque de préjudice sérieux impliquant des renseignements personnels. Une atteinte à la protection des renseignements personnels présente un risque sérieux selon notamment le niveau de sensibilité des renseignements personnels, les conséquences de leur utilisation et la probabilité de leur utilisation à des fins préjudiciables.