Lors de l’acquisition d’une entreprise, l’acheteur et ses conseillers procèdent généralement à une vérification diligente et demandent au vendeur de divulguer une quantité importante d’informations sur l’entreprise et ses activités.
Il est fréquent que, parmi les informations devant être divulguées, certaines contiennent des « renseignements personnels », c’est-à-dire des renseignements qui permettent d’identifier une personne physique. Il peut notamment s’agir d’informations sur les employés, les fournisseurs ou les clients de l’entreprise.
Jusqu’à récemment, l’entreprise visée par une transaction devait obtenir le consentement des personnes concernées avant de pouvoir transmettre tout document contenant des renseignements personnels à un acheteur ou à ses conseillers. Autrement, le vendeur devait, préalablement à toute divulgation, procéder à une analyse exhaustive des informations à divulguer pour identifier les renseignements personnels et faire le nécessaire afin de ne pas les divulguer (par exemple, caviardage, anonymisation des informations, etc.).
À partir du 22 septembre 2022, de nouvelles dispositions législatives entreront en vigueur et permettront désormais à une entreprise de divulguer à l’autre partie, dans le cadre d’une transaction commerciale, des renseignements personnels lorsque cette communication est dite « nécessaire » pour la conclusion de la transaction, et ce, sans le consentement des personnes concernées. Cette divulgation sera soumise au respect de certaines conditions, comme indiqué ci-dessous.
Cette nouvelle exception découle de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, laquelle modifie notamment la Loi sur la protection des renseignements personnels dans le secteur privé (la « LPRPSP »).
Exception à l’obtention du consentement en matière de transaction commerciale
Le nouvel article 18.4 de la LPRPSP précise les conditions qui devront être respectées pour bénéficier de cette nouvelle exception :
- La conclusion d’une entente préalable entre les parties à la transaction, incluant la personne qui exploite l’entreprise. Cette entente devra notamment prévoir les engagements suivants de la part de la partie à qui sont communiqués les renseignements personnels :
i) N’utiliser les renseignements qu’aux seules fins de la conclusion de la transaction commerciale;
ii) Ne pas communiquer les renseignements sans le consentement de la personne concernée, à moins d’y être autorisée par la LPRPSP;
iii) Prendre les mesures nécessaires pour assurer la protection du caractère confidentiel des renseignements; et
iv) Détruire les renseignements si la transaction commerciale ne se conclut pas ou si l’utilisation de ceux-ci n’est plus nécessaire à sa conclusion.
- La divulgation des renseignements personnels doit être « nécessaire » à la conclusion de la transaction commerciale.
Un renseignement personnel sera généralement considéré comme « nécessaire » si sa divulgation est requise pour la conclusion de la transaction commerciale (caractère légitime, important et réel de l’objectif poursuivi) et si l’atteinte au droit à la vie privée en résultant est minimisée (critère de proportionnalité).
L’absence de l’une des conditions précitées implique que le consentement de la personne concernée par le renseignement personnel est requis préalablement à la divulgation.
Post-transaction
Une fois la transaction conclue, l’acheteur qui souhaite continuer à utiliser ou à communiquer les renseignements personnels obtenus dans le cadre de la transaction commerciale devra, dans un délai raisonnable, aviser la ou les personnes concernées qu’il détient de tels renseignements les concernant.
L’acheteur devra également se conformer aux différentes exigences de la LPRPSP relatives à l’utilisation et la communication de tels renseignements, ainsi qu’à leur sécurité.
Transactions visées
Bien que le présent article fasse référence à la vente et à l’acquisition d’une entreprise, nous soulignons que la nouvelle exception prévue à la LPRPSP s’applique également aux transactions commerciales suivantes :
- L’aliénation ou la location de tout ou partie d’une entreprise ou des actifs dont elle dispose;
- La modification de la structure juridique de l’entreprise par fusion ou autrement; et
- L’obtention d’un prêt ou de toute autre forme de financement par l’entreprise ou d’une sûreté prise pour garantir une de ses obligations.
Ce qu’il faut retenir pour votre prochaine transaction commerciale
Que vous soyez vendeur ou acheteur, assurez-vous le plus tôt possible dans le processus d’achat-vente que les différentes modalités et conditions requises pour bénéficier de cette exception ont bien été appliquées et répondent aux exigences de la LPRPSP. Rappelons que la conclusion d’une entente de confidentialité et de non-divulgation est généralement l’une des premières étapes réalisées par les parties à une transaction.
Le non-respect de la LPRPSP peut mener à des sanctions administratives pécuniaires ou à des amendes dont les montants peuvent varier en fonction de la nature de l’infraction. Il convient également de préciser que les dirigeants, les administrateurs ou tout représentant d’une entreprise peuvent également être passibles d’une peine en cas de non-respect de la LPRPSP.
À titre informatif, plusieurs autres domaines directement liés aux entreprises sont visés par la modernisation du cadre juridique applicable aux renseignements personnels. Nous vous invitons à cet égard à consulter les articles Protection des renseignements personnels : que retenir un an après… et Protection des renseignements personnels : une entrée en vigueur échelonnée sur trois ans une fois la loi sanctionnée pour en apprendre davantage à cet égard.
