Est-ce que les organismes à but non lucratif sont soumis aux obligations légales en matière de protection des renseignements personnels dans le secteur privé (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels dans le secteur privé, ci-après la « Loi 25 »)?
Toute personne qui recueille, détient, utilise ou communique à des tiers des renseignements personnels sur autrui dans le cours des activités d’une « entreprise » doit se conformer aux obligations imposées par la Loi 25.
Qu’est-ce qu’une entreprise ?
Il faut se référer à l’article 1525 alinéa 3 du Code civil du Québec qui la définit comme suit :
« Constitue l’exploitation d’une entreprise l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services ».
Cette notion d’entreprise est interprétée largement par les tribunaux qui vérifient l’existence des éléments suivants pour qualifier une entreprise :
1) un plan précisant les objectifs économiques de l’entreprise et en fonction duquel l’activité est organisée;
2) des actifs reliés à la poursuite des objectifs;
3) une série d’actes juridiques habituels, usuels, impliquant l’entrepreneur et faits dans la poursuite des objectifs préétablis;
4) d’autres intervenants économiques réceptifs aux biens ou services offerts par l’entreprise, généralement définis comme la clientèle, l’achalandage ou le marché, et
5) la présence d’une valeur économique ou d’un bénéfice directement attribuable aux efforts de l’entrepreneur.
Ainsi, même les organismes à but non lucratif sont considérés comme exploitant une entreprise lorsqu’ils répondent aux critères ci-dessus[1].
Autrement dit, peu importe l’aspect lucratif ou non de l’activité en question. Tout dépendra de la mission de l’organisme et des activités exercées.
En effet, pour que l’exercice d’une activité économique organisée constitue l’exploitation d’une entreprise, il faut que cette activité soit elle-même la mission de l’organisme visé ou, en d’autres mots, son objectif, sa finalité ou son but.
Au contraire, si l’activité économique organisée n’est exercée que pour atteindre la mission ou le but de l’organisme (qui est autre), alors on ne peut parler d’exploitation d’une entreprise au sens de la loi.
Par exemple, les tribunaux ont décidé que le fait pour une organisation religieuse de recevoir et gérer des dons, et d’administrer les biens achetés grâce à ces dons ne fait pas d’elle une entreprise au sens de l’article 1525 C.c.Q puisque son activité principale demeure éminemment religieuse[2].
Dans une autre affaire, les tribunaux ont conclu que le Conseil de Presse du Québec n’est pas une entreprise considérant que sa mission est de protéger la liberté de presse et d’assurer le droit à l’information du public[3].
Tout dépendra donc des circonstances propres à chaque affaire.
Toutefois, même si la Loi 25 n’est pas applicable à un organisme qui n’exploite pas une entreprise, cet organisme devra toujours demeurer prudent à l’égard des renseignements personnels qu’il détient.
En effet, le Code civil du Québec[4] contient, quant à lui, plusieurs obligations de protection de la vie privée qui sont applicables à « toute personne » ! Entre autres, toute personne qui recueille des renseignements personnels sur autrui doit s’assurer de ne pas les communiquer à des tiers et de ne les utiliser qu’aux fins pour lesquels ils ont été recueillis.
Pour toute question à ce sujet ou si vous avez besoin d’aide pour vous mettre en conformité avec la nouvelle réglementation, n’hésitez pas à communiquer avec nous.
[1] Association générale des étudiants hors campus de l’Université du Québec à Trois-Rivières (AGEHCUQTR) c. Autorité des marchés financiers, (C.S., 2021-11-15), 2021 QCCS 5090, SOQUIJ AZ-51815046, 2022EXP-147 (appel accueilli, à la seule fin de corriger une erreur matérielle, par (C.A., 2023-03-31), 2023 QCCA 427, SOQUIJ AZ-51926556, 2023EXP-985)
[2] Congrégation des témoins de Jéhovah d’Issoudun-Sud c. Maiily, 2000 CanLII 18306
[3] Conseil de Presse du Québec c. Lamoureux-Gadoury, 2004
[4] Articles 37 à 40