La question du consentement que les PME continuent de mal comprendre

La Commission d'accès à l'information du Québec a ouvert 33 dossiers liés à des plaintes en vertu de la Loi 25 au cours de sa première année complète d'application, selon le rapport annuel 2023-2024 du régulateur. La plupart ne concernaient pas de grandes entreprises. Des cabinets dentaires, des gestionnaires d'immeubles, des gyms — le genre d'entreprise qui recueille un nom, un courriel, parfois une note de santé, et qui n'a jamais pensé à se demander si cela constituait quelque chose exigeant un consentement.

C'est généralement le cas. La règle de base, tant sous la Loi 25 au Québec que sous la Loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE), est simple à énoncer et plus difficile à appliquer. Si des renseignements personnels sont recueillis, utilisés ou communiqués à une fin que la personne ne s'attendrait pas raisonnablement, un consentement est requis, et il doit être significatif. Pas enfoui dans un lien vers des conditions d'utilisation que personne n'ouvre.

Ce qui déclenche réellement le consentement

Tout ne le fait pas. Un client qui achète une chaise et fournit une adresse courriel pour une confirmation de livraison a implicitement consenti à cette utilisation précise. Utiliser la même adresse six mois plus tard pour un bulletin marketing constitue une fin différente, et en vertu de la LPRPDE, cela exige généralement un nouveau consentement explicite. Pas une case précochée, pas une supposition d'intérêt parce que la personne est déjà cliente.

La Loi 25 du Québec va plus loin que la LPRPDE sur quelques points concrets. Elle exige une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels hors du Québec. Elle donne aux résidents québécois un droit à la portabilité des données. Elle exige que le consentement soit demandé séparément des autres renseignements, dans un langage clair et simple, et non noyé dans une entente de seize pages.

Les entreprises les plus exposées sont celles qui n'ont jamais rien écrit de tout cela. Un système de réservation de salon de coiffure qui conserve des numéros de téléphone et un historique de rendez-vous traite des renseignements personnels, que le propriétaire ait déjà utilisé cette expression ou non. Un gestionnaire d'immeubles qui effectue des vérifications d'antécédents par l'entremise d'un service tiers communique des renseignements à ce fournisseur, ce qui déclenche ses propres obligations.

Le consentement doit être demandé pour chaque fin, dans un langage clair et simple, et séparément de tout autre renseignement fourni, selon les lignes directrices de la Commission d'accès à l'information sur le consentement valide en vertu de la Loi 25. Cette seule exigence — un consentement distinct et propre à chaque fin — est celle que la plupart des formulaires d'accueil des PME ratent en premier.

Il existe une exception plus étroite qui piège les gens dans l'autre sens. La Loi 25 n'exige pas de consentement lorsque la collecte, l'utilisation ou la communication est nécessaire à la fourniture d'un service demandé par la personne, ou à l'exécution d'une obligation légale — un comptable n'a pas besoin d'un nouveau consentement pour remettre les feuillets T4 d'un client à l'Agence du revenu du Canada, parce que cette communication est exigée par la loi, et non choisie par l'entreprise. La même exception couvre un propriétaire qui transmet les renseignements d'un locataire à un assureur après un incendie, lorsque le bail lui-même l'exige. L'exception est étroite par conception. Elle couvre ce que la loi ou le contrat de service précis impose, pas ce qui serait simplement pratique ou profitable pour l'entreprise de faire ensuite.

Le pli de l'IA que personne n'avait budgété

Les PME qui adoptent des outils d'IA ont ajouté une nouvelle catégorie de risque de consentement sans nécessairement s'en rendre compte. Un cabinet d'avocats qui colle les détails d'un règlement de client dans un clavardeur généraliste pour les résumer transfère des renseignements personnels à quiconque exploite ce clavardeur, et à la juridiction où se trouvent les serveurs de cette entreprise. Si l'outil est hébergé aux États-Unis, ce transfert exige le même examen que l'envoi d'un dossier à un centre d'appels délocalisé.

C'est ici que l'expression IA canadienne a commencé à apparaître dans des conversations d'approvisionnement qui, il y a deux ans, n'auraient porté que sur le prix. Un nombre croissant de petites et moyennes organisations canadiennes posent maintenant une question de juridiction aux fournisseurs avant une question de fonctionnalités : où se trouvent les données, qui peut en forcer l'accès, et si la réponse change en vertu d'une loi étrangère.

Augure, une plateforme basée à Vancouver destinée aux organisations canadiennes réglementées, est l'un des fournisseurs bâtis autour de cette question plutôt que de la traiter comme une réflexion après coup. Les données des clients sont stockées au Canada. L'inférence, soit le traitement réel qui génère une réponse de clavardage ou révise un contrat, s'exécute sur une infrastructure canadienne pour certains paliers de modèles, avec des partenaires européens vérifiés fonctionnant sous des ententes de non-conservation des données pour les autres, offrant aussi une capacité de reprise. Rien de tout cela ne va vers des fournisseurs américains. Augure n'a ni société mère américaine ni investisseurs américains, selon l'entreprise, ce qui signifie que les conversations, documents et inférences d'IA des clients ne sont pas traités par des fournisseurs relevant de la juridiction américaine, ce qui réduit la portée du CLOUD Act sur ce contenu client précisément. La livraison des courriels et le traitement des paiements touchent encore des réseaux basés aux États-Unis, un fait qu'Augure divulgue dans sa politique de confidentialité plutôt que de le passer sous silence. Cela importe pour toute entreprise qui fait sa propre évaluation des transferts.

Rien de tout cela ne rend automatiquement conformes les propres pratiques de consentement d'une entreprise. Un outil d'IA hébergé au Canada ne recueille pas de consentement valide au nom d'une entreprise, et il ne peut pas dispenser celle-ci de l'obligation d'informer un client, en langage clair, que sa demande pourrait être traitée par un système d'IA. Mais choisir une infrastructure qui garde l'inférence et le contenu client au Canada et en Europe plutôt qu'aux États-Unis élimine une branche de l'arbre de conformité : l'évaluation des transferts transfrontaliers qu'une entreprise devrait autrement effectuer pour chaque outil américain de sa pile technologique.

Un propriétaire sceptique pourrait raisonnablement demander ce que signifie réellement le palier d'inférence européen pour une évaluation des transferts propre au Québec, étant donné que l'Europe demeure hors des frontières québécoises. L'évaluation des facteurs relatifs à la vie privée de la Loi 25 pour les transferts transfrontaliers ne s'arrête pas précisément à la frontière canadienne — elle s'applique à tout transfert hors Québec, Europe incluse. Ce qui change, c'est l'analyse, pas le fait qu'elle soit requise. L'évaluation pour un processeur européen opérant sous le cadre de consentement et de conservation propre au RGPD, avec une entente de non-conservation des données par-dessus, se présente différemment de l'évaluation pour un processeur américain assujetti au CLOUD Act. Différent ne veut pas dire plus simple, et cela ne veut pas dire que l'entreprise peut sauter la paperasse. Cela veut dire que la paperasse part d'un point de départ plus favorable.

Un consentement qui tient vraiment la route

Quelques catégories reviennent constamment dans les mesures d'application de la CAI et les lignes directrices du CPVP, et elles méritent d'être nommées directement.

• Les courriels et textos marketing exigent un consentement explicite en vertu de la Loi canadienne anti-pourriel (LCAP), distinct de tout consentement en matière de vie privée, avec un mécanisme de désabonnement fonctionnel.
• La surveillance des employés — enregistrement de frappe, suivi de localisation, images de caméra — exige un avis et, dans la plupart des cas, un consentement, même si les employés forment un public captif.
• Les données biométriques, y compris les horodateurs à empreintes digitales, déclenchent les exigences renforcées de consentement et d'enregistrement de la Loi 25 spécifiquement au Québec, parce que les identifiants biométriques sont traités par défaut comme sensibles.
• Le partage de listes de clients avec une entreprise partenaire, même amicale, constitue une communication à un tiers et nécessite son propre fondement de consentement.
• Les images de caméras de sécurité captant des clients, si elles sont utilisées pour autre chose que la prévention de base des pertes, comme l'analyse comportementale, entrent dans un territoire exigeant une divulgation.

La plupart des PME obtiennent le premier achat correctement et ne révisent jamais la liste à mesure qu'elles ajoutent des outils. Une appli de réservation ici, un programme de fidélité là, un assistant d'IA pour le service à la clientèle. Chacun constitue une nouvelle fin, et le consentement obtenu pour l'original ne s'étend pas automatiquement pour la couvrir.

Le coût de se tromper contre le coût de bien faire

Le Commissariat fédéral à la protection de la vie privée n'a actuellement pas le pouvoir d'imposer des amendes directement en vertu de la LPRPDE, bien que le projet de loi C-27, mort au feuilleton lors de la prorogation du Parlement en janvier 2025, aurait introduit des pénalités pouvant atteindre 5 % du chiffre d'affaires mondial pour les violations les plus graves. La Loi 25 du Québec a déjà des dents : des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, pour les cas les plus graves. La plupart des mesures de la CAI à ce jour contre de petits exploitants ont donné lieu à des ordonnances correctives plutôt qu'à des amendes maximales.

Le coût le plus courant est plus petit et plus corrosif. Une exigence de notification de violation, un client qui découvre que ses renseignements sont allés là où il ne s'y attendait pas, un coup à la réputation dans une ville où tout le monde se parle. Corriger les pratiques de consentement de façon proactive coûte une fraction de ce que coûte une enquête formelle de la CAI, ne serait-ce qu'en temps du personnel, avant même qu'une amende ne soit établie.

Les mécanismes d'une enquête de la CAI méritent d'être détaillés, car la plupart des propriétaires n'en ont jamais vu la description. Une plainte ou une violation autodéclarée déclenche l'ouverture d'un dossier, suivie d'une demande écrite de documentation — la politique de confidentialité, le langage de consentement utilisé lors de la collecte, un registre de qui a accédé aux données touchées et quand. L'entreprise dispose d'un délai fixe pour répondre, typiquement des semaines plutôt que des jours. Si la CAI constate une lacune, le premier résultat est habituellement une ordonnance corrective : corriger le langage de consentement, aviser les personnes touchées, faire rapport avant une échéance. Une sanction pécuniaire est réservée aux cas de violations répétées, de mauvaise foi, ou de refus de se conformer à l'ordonnance corrective elle-même. Le coût en temps de personnel se situe principalement à cette étape de collecte de documents — exactement l'étape qu'une entreprise évite si la paperasse existe déjà avant l'arrivée d'une plainte.

Une révision de base de la conformité — un langage de consentement mis à jour, une politique de confidentialité qui décrit réellement les flux de données actuels, un examen des fournisseurs qui touchent aux renseignements personnels et de l'endroit où ils se trouvent sur le plan juridictionnel — est un travail qu'un propriétaire ou un gestionnaire de bureau peut terminer en quelques après-midis en utilisant les modèles de la CAI et du CPVP, sans embaucher de conseiller juridique externe. Payer pour des outils ou des conseils commence à être logique une fois qu'une entreprise traite des données de santé, des données biométriques, ou un volume élevé de transferts transfrontaliers, où une mauvaise décision comporte une véritable exposition.

Les coûts logiciels entrent aussi en ligne de compte. Une plateforme d'IA canadienne à prix adapté aux petites équipes — le palier payant d'Augure coûte 20 $ par mois par utilisateur, avec un palier gratuit plafonné à 50 messages par jour — se situe sur une ligne budgétaire différente de celle des logiciels de conformité d'entreprise conçus pour les détaillants nationaux. Les entreprises qui évaluent des outils d'IA pour tout ce qui touche aux données clients devraient chiffrer la question de juridiction en même temps que la liste des fonctionnalités, et non après.

Plus de détails sur la façon dont l'infrastructure et la tarification d'Augure s'arriment à la Loi 25 et à la LPRPDE se trouvent sur augureai.ca.