Beaucoup d’organismes à but non lucratif ont encore cette conviction tranquille : « On est un OBNL, on n’a rien à cacher, ça ne nous concerne pas vraiment. » C’est exactement ce genre de raisonnement qui va finir par coûter très, très cher.
Un mythe tenace : les OBNL seraient à l’abri
La Loi 25 ne fait aucune distinction entre une PME florissante et un organisme communautaire qui roule avec trois employés et un budget serré. Toute organisation qui collecte, utilise ou conserve des renseignements personnels au Québec est visée — point final. Votre liste de membres, vos dossiers de bénévoles, les coordonnées de vos donateurs, les informations sur les personnes que vous aidez : tout ça, c’est des renseignements personnels. Et ils sont protégés par la loi depuis septembre 2022.
Le laxisme, c’est un choix qui se documente
La Commission d’accès à l’information (CAI) ne débarque pas à l’improviste pour épingler les organisations de bonne foi. Mais elle surveille. Elle reçoit des plaintes. Et elle enquête. Ce que bien des directions d’OBNL ignorent, c’est que la négligence, même non intentionnelle, peut être sanctionnée. Autrement dit : « On ne savait pas » ne constitue pas une défense valable. La CAI a d’ailleurs clairement indiqué qu’après une phase pédagogique, les manquements graves ou répétés seraient sanctionnés sans hésitation.
Des chiffres qui devraient déranger tout le monde
Parlons argent — parce que c’est souvent ce qui finit par faire bouger les choses. Les amendes administratives prévues par la Loi 25 peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial pour certaines infractions. Pour les cas les plus graves — utilisation de données sans consentement, non-déclaration d’un incident — les sanctions pénales peuvent grimper jusqu’à 25 millions de dollars ou 4 % du chiffre d’affaires annuel. Et ce n’est pas tout : les citoyens peuvent aussi intenter des poursuites civiles, avec des dommages-intérêts qui commencent à 1 000 $ par personne touchée. Pour un organisme dont la liste de membres compte 500 personnes, faites le calcul.
Ce que les OBNL font (ou ne font pas)
La réalité du terrain est souvent la même : pas de responsable désigné pour la protection des renseignements personnels, des fichiers Excel avec les données de membres qui circulent par courriel, aucun registre d’incidents, des formulaires de collecte qui ne mentionnent pas à quoi servent les données. Ces lacunes ne sont pas des détails techniques — ce sont des infractions. Et elles sont visibles au premier regard d’un vérificateur.
Quand les citoyens comprendront leurs droits…
Il suffit d’un seul incident mal géré — un courriel envoyé à la mauvaise liste, un ordinateur portable volé, une base de données mal sécurisée — pour que la situation bascule. Les membres, les donateurs et les personnes que vous accompagnez ont désormais des droits clairs sur leurs données. Le jour où ils commenceront à les exercer massivement, les OBNL qui n’auront rien fait se retrouveront dans une position très inconfortable.
Besoin d’un coup de main pour votre conformité ?
Charles Groleau et l’équipe de PME Conforme accompagnent les organismes à but non lucratif dans chaque étape de leur mise en conformité à la Loi 25 — de la désignation d’un responsable jusqu’à la mise en place d’un registre des incidents et la révision des formulaires de collecte. Vous avez des questions sur la protection des données de vos membres, bénévoles ou donateurs ? Contactez-nous pour un portrait gratuit de votre situation.