La Loi 25 en bref
La « Loi 25 » est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en 2021. Elle a modifié la Loi sur la protection des renseignements personnels dans le secteur privé, qui s'applique aux entreprises qui recueillent des renseignements sur des personnes au Québec. Ses obligations sont entrées en vigueur en trois étapes, en septembre 2022, 2023 et 2024. La Commission d'accès à l'information du Québec (CAI) veille à son application.
Les entreprises de télécommunication peuvent aussi être soumises à des règles fédérales : la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), sous la surveillance du Commissariat à la protection de la vie privée du Canada, et des règles du Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) sur la confidentialité des renseignements des clients.
Quelles données téléphoniques sont protégées
Un renseignement personnel est tout renseignement qui concerne une personne et permet de l'identifier, directement ou indirectement. Au téléphone, cela comprend :
- votre numéro de téléphone, votre nom et l'adresse de votre compte;
- les registres d'appels et de textos : numéros, dates, heures et durées, même sans le contenu;
- le contenu de vos textos, de vos photos et de vos messages vocaux;
- les enregistrements d'appels et leurs transcriptions, y compris les résumés produits par l'intelligence artificielle;
- l'adresse que vous inscrivez pour le 9-1-1;
- les renseignements techniques liés à votre compte, comme l'adresse IP ou le modèle d'appareil.
Ce que la loi exige des entreprises
- Désigner une personne responsable de la protection des renseignements personnels. Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise; son titre et ses coordonnées doivent être publiés sur le site Web.
- Publier une politique de confidentialité en termes simples et clairs.
- Recueillir seulement les renseignements nécessaires, pour des fins déterminées et annoncées.
- Obtenir un consentement manifeste, libre et éclairé, demandé à des fins précises et séparément de toute autre information quand il porte sur des renseignements sensibles ou sur des usages secondaires.
- Régler par défaut au niveau le plus élevé de confidentialité les paramètres des produits technologiques offerts au public.
- Évaluer les facteurs relatifs à la vie privée avant de communiquer des renseignements à l'extérieur du Québec, et encadrer la communication par une entente écrite.
- Détruire ou anonymiser les renseignements quand la fin pour laquelle ils ont été recueillis est accomplie, sous réserve des durées imposées par d'autres lois.
- Tenir un registre des incidents de confidentialité et aviser la CAI et les personnes concernées quand un incident présente un risque de préjudice sérieux.
Vos droits
L'entreprise doit répondre à une demande d'accès ou de rectification dans un délai de 30 jours. Faites votre demande par écrit à la personne responsable, en précisant ce que vous demandez.
- Savoir quels renseignements une entreprise détient sur vous et en obtenir une copie.
- Faire corriger un renseignement inexact, incomplet ou équivoque.
- Retirer votre consentement, par exemple aux courriels promotionnels ou au traitement par l'IA.
- Recevoir les renseignements que vous avez fournis dans un format technologique structuré et couramment utilisé (portabilité), depuis septembre 2024.
- Demander la désindexation d'un renseignement ou la cessation de sa diffusion lorsque la loi le permet.
- Être informé quand une décision est prise uniquement par un traitement automatisé, et présenter vos observations.
Le cas des appels enregistrés
« Cet appel peut être enregistré » : ce message n'est pas une simple formule. Il informe la personne avant que l'enregistrement commence. Une entreprise qui enregistre ses appels devrait dire pourquoi elle le fait, qui pourra écouter l'enregistrement et combien de temps elle le garde. Si vous ne voulez pas être enregistré, vous pouvez demander un autre moyen de communication, par exemple le courriel. Plus tard, vous pouvez demander l'accès à un enregistrement qui vous concerne : adressez-vous à l'entreprise que vous avez appelée, pas à son fournisseur de téléphonie.
L'intelligence artificielle au téléphone
Transcription de la messagerie vocale, résumés d'appels, réponses suggérées, réceptionniste virtuel : ces fonctions traitent des renseignements personnels, souvent chez un fournisseur situé à l'extérieur du Québec. Une approche respectueuse de la loi les rend facultatives, demande votre consentement distinct et clair, explique ce qui est envoyé au fournisseur d'IA, et vous permet de retirer ce consentement sans perdre le service de base. Un agent virtuel devrait aussi se présenter comme tel dès le début de l'appel.
Pour les petites entreprises
Votre téléphone d'entreprise contient les coordonnées de vos clients, l'historique de vos échanges et parfois des enregistrements. Quelques gestes simples aident à respecter la loi : choisir un fournisseur qui publie une politique de confidentialité claire et précise où sont stockées les données; limiter l'accès aux registres et aux enregistrements aux employés qui en ont besoin; retirer les accès d'un employé qui quitte l'entreprise; fixer une durée de conservation pour les enregistrements; et noter dans votre registre tout incident, comme un téléphone perdu sans verrouillage.
Les sanctions prévues par la Loi 25 peuvent être importantes : des sanctions administratives pécuniaires jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des amendes pénales plus élevées encore. La CAI publie des guides pratiques pour les petites organisations.
Porter plainte
Commencez par écrire à la personne responsable de la protection des renseignements personnels de l'entreprise. Si la réponse ne vous satisfait pas, ou si vous n'en recevez pas dans le délai, vous pouvez vous adresser à la Commission d'accès à l'information du Québec. Pour une entreprise de télécommunication sous compétence fédérale, le Commissariat à la protection de la vie privée du Canada peut aussi recevoir votre plainte.
Avec MIMT
Chez MIMT, la personne responsable de la protection des renseignements personnels est le président de GROUPE TAKATAK. Notre politique de confidentialité indique ce que nous recueillons, nos fournisseurs, et les durées de conservation réellement appliquées par nos systèmes. Les fonctions d'IA sont facultatives et désactivées par défaut; voyez notre page IA.