Transactions commerciales et renseignements personnels : que nous enseigne la loi 25? 

Pour redonner le contrôle aux citoyens afin de protéger leurs renseignements personnels, la Loi 25 impose notamment aux organisations l’obligation d’obtenir un consentement manifeste, libre et éclairé et donné à des fins spécifiques (…)[2] et ce lors de toute collecte, utilisation ou communication de renseignements personnels.

Comme tout principe souffre d’exceptions, la Loi 25 a introduit de nouvelles exceptions au consentement dont celui prévu par un tout nouvel article[3] introduit par la Loi 25 et relatif aux transactions commerciales.

1. Champ d’application de l’exception au consentement

Tout d’abord, il semble essentiel de circonscrire le champ d’application de cette exception. La notion de transaction commerciale est ainsi définie par l’article 18.4 (in fine) :

« Pour l’application du présent article, une transaction commerciale s’entend de l’aliénation ou de la location de tout ou partie d’une entreprise ou des actifs dont elle dispose, d’une modification de sa structure juridique par fusion ou autrement, de l’obtention d’un prêt ou de toute autre forme de financement par celle-ci ou d’une sûreté prise pour garantir l’une de ses obligations. ».

Cette définition large (inspirée des dispositions de la LPRPDE[4]) englobe l’ensemble des situations dans lesquelles une vérification diligente préalable est requise, ce processus de vérification impliquant très souvent un transfert de renseignements personnels entre les deux parties à la transaction.

2. Les conditions d’application de l’exception au consentement

Le premier alinéa de l’article 18.4 dispose :

« Lorsque la communication d’un renseignement personnel est nécessaire aux fins de la conclusion d’une transaction commerciale à laquelle elle entend être partie, une personne qui exploite une entreprise peut communiquer un tel renseignement, sans le consentement de la personne concernée, à l’autre partie à la transaction ».

La communication d’un renseignement personnel sans consentement est donc autorisée lorsque cela est nécessaire pour les fins de la transaction commerciale envisagée.

Prenons pour exemples, l’achat d’actifs ou la modification de la structure juridique (achat d’actions) d’une entreprise : dans ces deux cas il faut notamment vérifier les risques inhérents à l’entreprise (car il y a une continuité d’entreprise malgré l’aliénation ou la modification de la structure juridique) et valider les paramètres et hypothèses ayant servi à établir le prix.

Dans ces deux cas de vérification, le futur acquéreur ou actionnaire doit avoir accès à des documents tels que les contrats d’emploi, les livres et registres de la société, les antécédents en matière de santé et sécurité du travail, aux contrats liant l’entreprise… autant de documents susceptibles de comporter des renseignements personnels.

3. L’entente préalable avec l’autre partie

Parce que l’exception au consentement n’est pas synonyme de diffusion incontrôlée des renseignements personnels, la Loi 25 prévoit à l’article 18.4 (alinéa 2) la conclusion d’une entente avec l’autre partie qui comporte des clauses spécifiques :  

Une entente doit préalablement être conclue avec l’autre partie, stipulant notamment que cette dernière partie s’engage :

« 1° à n’utiliser le renseignement qu’aux seules fins de la conclusion de la transaction commerciale; 

2° à ne pas communiquer le renseignement sans le consentement de la personne concernée, à moins d’y être autorisée par la présente loi; 

3° à prendre les mesures nécessaires pour assurer la protection du caractère confidentiel du renseignement; 

4° à détruire le renseignement si la transaction commerciale n’est pas conclue ou si l’utilisation de celui-ci n’est plus nécessaire aux fins de la conclusion de la transaction commerciale. »

On retrouve ici les principales obligations imposées aux organisations qui collectent, détiennent, communiquent et conservent des renseignements personnels quant à l’utilisation conforme à la finalité, à la communication, la protection et la destruction des renseignements personnels.

En pratique, cette nouvelle disposition impose aux entreprises de bonifier les ententes de confidentialité habituellement signées dans un tel contexte pour y ajouter les stipulations prévues ci-dessus.

‍

4. Les formalités post-clôture de la transaction commerciale

À la suite de la clôture de la transaction, la partie ayant reçu communication des renseignements personnels et qui désire continuer à les utiliser ou les communiquer doit le faire en conformité avec les dispositions de la Loi 25.

La partie réceptrice doit aussi, dans un délai raisonnable après la conclusion de la transaction commerciale, aviser les personnes concernées qu’elle détient des renseignements personnels les concernant en raison de ladite transaction.

En pratique, cette nouvelle obligation impose aux entreprises d’intégrer dans leur processus de clôture cette notification aux personnes concernées.

Conclusion :

Cet assouplissement (attendu) des exigences du consentement en matière transactionnelle est le bienvenu et devrait permettre de rendre plus simple les vérifications des futurs acquéreurs d’actifs ou actionnaires et favoriser ainsi la dynamique des affaires tout en gardant le contrôle sur les renseignements personnels communiqués.