Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
L’article 3.2 de la LPRPSP porte sur les politiques et les pratiques qui encadrent la gouvernance d’une entreprise à l’égard des renseignements personnels. Ce billet ne fournit pas de modèle : il cite le texte de loi et, à part, la lecture de la Commission d’accès à l’information (CAI).
Ce que la loi prévoit (art. 3.2)
La loi prévoit3.2. Toute personne qui exploite une entreprise doit établir et mettre en oeuvre des politiques et des pratiques encadrant sa gouvernance à l'égard des renseignements personnels et propres à assurer la protection de ces renseignements. Celles-ci doivent notamment prévoir l'encadrement applicable à la conservation et à la destruction de ces renseignements, prévoir les rôles et les responsabilités des membres de son personnel tout au long du cycle de vie de ces renseignements et un processus de traitement des plaintes relatives à la protection de ceux-ci. Elles doivent également être proportionnées à la nature et à l'importance des activités de l'entreprise et être approuvées par le responsable de la protection des renseignements personnels.
Des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont, en termes simples et clairs, publiées sur le site Internet de l'entreprise ou, si elle n'a pas de site, rendues accessibles par tout autre moyen approprié.
Source : LPRPSP (RLRQ, c. P-39.1), art. 3.2, LégisQuébec, à jour au 15 octobre 2026
Ce que ces politiques et pratiques prévoient
Le premier alinéa nomme notamment trois éléments :
- l’encadrement applicable à la conservation et à la destruction des renseignements ;
- les rôles et les responsabilités des membres du personnel tout au long du cycle de vie des renseignements ;
- un processus de traitement des plaintes relatives à la protection des renseignements.
Il prévoit aussi qu’elles sont proportionnées à la nature et à l’importance des activités de l’entreprise, et approuvées par le responsable de la protection des renseignements personnels.
Ce qui se publie sur le site
Le deuxième alinéa prévoit que des informations détaillées au sujet de ces politiques et de ces pratiques, notamment en ce qui concerne le contenu exigé au premier alinéa, sont publiées en termes simples et clairs sur le site Internet de l’entreprise. Le texte vise des informations détaillées ; il ne dit pas que le document de gouvernance lui-même est publié.
Ce que la CAI en dit
Selon la CAI (non contraignant)Selon la CAI (non contraignant)« Ces politiques et ces pratiques doivent minimalement prévoir : »
« Des règles applicables à la conservation et à la destruction des renseignements personnels; »
« Les rôles et les responsabilités des membres du personnel, tout au long du cycle de vie des renseignements personnels; »
« Un processus de traitement des plaintes relatives à la protection des renseignements personnels. »
« Ces politiques et ces pratiques doivent être proportionnelles à la nature et à l’importance des activités de l’entreprise. »
« Les entreprises doivent faire connaître leurs politiques et leurs pratiques dans leur site Web. L’information publiée à ce sujet doit être détaillée et expliquée en termes simples et clairs. »
Gouvernance et politique de confidentialité
La politique de confidentialité de l’article 8.2 et les informations sur la gouvernance de l’article 3.2 relèvent de deux articles distincts. Le billet Politique de confidentialité et Loi 25 traite du premier.
Information générale à jour au 2026-11-03. Ne constitue pas un avis juridique.
