Exigences de la Loi 25 : politique de confidentialité ou programme de confidentialité au Canada

Oui, vous pouvez avoir une politique de confidentialité et quand même enfreindre les exigences de la Loi 25. Une politique, c'est une page sur votre site web. Un programme, c'est ce que votre entreprise fait réellement avec les données des gens, chaque jour. La Loi 25 s'intéresse à la deuxième chose, pas à la première.

Ça piège beaucoup de petites entreprises, surtout celles qui viennent d'acheter un outil d'IA ou un ensemble de modèles et qui pensaient avoir réglé le dossier. Ce n'est pas le cas. Voici ce que la loi demande réellement, et ce que ça coûte d'y arriver.

Quelle est la différence entre une politique et un programme?

Une politique de confidentialité, c'est une promesse. Elle dit quelles données vous recueillez et pourquoi, habituellement en quelques paragraphes près du bas de page de votre site web.

Un programme de confidentialité, c'est la machinerie derrière cette promesse. Il répond à des questions comme qui peut voir les données clients, combien de temps vous les gardez, ce qui arrive si un ordinateur portable se fait voler, et qui est responsable quand un client vous demande de supprimer son dossier.

La loi québécoise sur la protection des renseignements personnels, connue sous le nom de Loi 25, a été bâtie autour de la deuxième idée. La politique n'est que le résumé public d'un programme censé déjà exister. Si vous êtes encore en train de décider où investir votre premier dollar en matière de conformité, la conformité avec un budget serré est un bon point de départ avant de poursuivre votre lecture ici.

Est-ce que ça s'applique à mon entreprise?

Si vous recueillez des renseignements personnels auprès de gens au Québec, la Loi 25 s'applique à vous. Noms, courriels, adresses, historique d'achats — tout ça compte. La taille de l'entreprise ne vous exempte pas. Être situé en dehors du Québec non plus, si vous desservez des clients là-bas.

La loi fédérale, la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques), couvre le reste du pays de façon similaire, bâtie autour de 10 principes relatifs à l'équité dans le traitement de l'information — des principes comme la responsabilisation, le consentement et la limitation de la collecte. La grande différence structurelle : le régulateur québécois, la Commission d'accès à l'information (CAI), peut imposer des amendes directement. Le Commissariat à la protection de la vie privée du Canada ne le peut pas. Si une enquête sous la LPRPDE révèle un problème, le commissaire doit s'adresser à la Cour fédérale pour obtenir une ordonnance exécutoire. Le Québec, la Colombie-Britannique et l'Alberta ont chacun leur propre loi « substantiellement similaire » pour le secteur privé, ce qui explique pourquoi une entreprise peut être assujettie à plus d'un régime selon l'endroit où vivent ses clients.

Une entreprise de neuf personnes à Halifax qui vend à des clients à Montréal répond à la fois à la LPRPDE et à la Loi 25.

Un détail que bien des gens manquent : si vous utilisez un fournisseur de paie, une banque ou une plateforme de réservation qui ne fait que gérer les données à l'intérieur de son propre système fermé, vous êtes quand même responsable. La loi suit les données, pas le logiciel. Confier l'information à un fournisseur ne transfère pas l'obligation. Vous pouvez sous-traiter le stockage. Vous ne pouvez pas sous-traiter la responsabilité — un point qui revient constamment dans les dossiers de données d'employés, où les propriétaires présument que c'est leur fournisseur de paie qui est légalement responsable.

Qu'est-ce que la Loi 25 exige réellement, en pratique?

En retirant le jargon juridique, ça se résume à une courte liste d'habitudes, la plupart liées à des articles précis de la loi :

• Désigner une personne responsable de la protection des renseignements personnels dans votre organisation (art. 3.1) — ça peut être le propriétaire, et aucun titre n'est requis
• Savoir quelles données personnelles vous détenez et où elles sont stockées
• Obtenir un consentement réel avant de recueillir ou de partager ces données (art. 8, art. 14), et faciliter le refus — c'est la partie où les entreprises se trompent le plus souvent, traitée plus en détail dans la question du consentement
• Avoir un plan pour ce qui arrive en cas d'incident de confidentialité (art. 3.5), y compris aviser la CAI et les personnes concernées lorsqu'il y a un risque réel de préjudice sérieux
• Être capable de supprimer ou de remettre les données de quelqu'un sur demande (art. 27, art. 28.1)

Rien de tout ça ne nécessite un avocat à temps plein. Ça demande que quelqu'un dans l'entreprise prenne la responsabilité des réponses et les mette par écrit une fois. Une politique de confidentialité ne coûte rien à rédiger. Un programme de confidentialité coûte environ une journée de temps pour bien le mettre en place, et presque rien après.

À quoi ressemble concrètement cette journée : une heure à dresser la liste de tous les endroits où des données entrent dans votre entreprise — formulaires du site web, factures, courriel, outils de clavardage. Une heure à décider qui peut voir quoi, ce qui, pour neuf personnes, se résume habituellement à « tout le monde » plus une note sur qui gère les demandes de suppression. Une heure à rédiger un plan d'une page en cas d'incident : qui appelle le client, qui appelle le régulateur, à quelle vitesse. Le reste, c'est de tout écrire quelque part où votre futur vous-même pourra le retrouver. Sauter une étape, et le trou ne se voit pas avant que quelque chose tourne mal — et là, vous reconstruisez la réponse sous pression, pendant que l'horloge du régulateur tourne déjà.

Qu'est-ce que ça coûte réellement d'ignorer tout ça?

Les pénalités de la Loi 25 fonctionnent sur deux volets, et l'article que vous avez lu il y a cinq minutes n'en mentionnait probablement qu'un seul. Les sanctions administratives pécuniaires (art. 90.1) vont jusqu'à 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, pour des manquements comme ne pas désigner de responsable de la protection des renseignements personnels ou avoir des mesures de sécurité insuffisantes. Les dispositions pénales (art. 91 à 93) vont encore plus loin : jusqu'à 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé, réservées aux infractions graves comme le fait de ne pas déclarer sciemment un incident ou de communiquer illégalement des renseignements personnels. Tous les détails se trouvent sur le site de la CAI.

La plupart des dossiers de petites entreprises n'atteignent pas ce plafond, mais ce chiffre existe pour faire passer un message. Ce n'est pas une amende symbolique.

Plus fréquent, et plus coûteux de façon discrète, c'est l'incident lui-même. Une liste de clients qui fuite, un ordinateur portable perdu, un courriel envoyé à la mauvaise liste : chacun déclenche une obligation de notification, et chaque notification est un moment où vos clients décident s'ils vous font encore confiance. Ce coût n'apparaît pas sur une facture. Il apparaît six mois plus tard dans vos chiffres d'attrition. Si vous voulez voir comment ces échecs commencent habituellement, cinq mythes sur la conformité en matière de confidentialité passe en revue les suppositions erronées les plus courantes.

Une objection légitime ici : « On est neuf personnes, personne ne va venir nous chercher. » Peut-être pas de façon proactive. Mais le régulateur se présente souvent après une plainte, pas lors d'un balayage général — un ancien employé, un client en colère, un concurrent. À ce moment-là, la taille de votre entreprise n'a plus d'importance. Ce qui compte, c'est si vous pouvez démontrer que vous aviez un plan avant que la plainte n'arrive, pas un plan écrit la semaine suivante.

Comparez ça au coût de la mise en place faite correctement. Quelques heures pour nommer votre responsable de la confidentialité, cartographier les données que vous détenez, et choisir des outils qui n'envoient pas discrètement les données de vos clients quelque part où vous n'aviez pas consenti. C'est l'échange qui se joue ici.

Où se situe un outil d'IA canadien dans tout ça?

C'est là que beaucoup de petites entreprises se font prendre sans le vouloir. Vous vous inscrivez à un outil de clavardage par IA basé aux États-Unis pour rédiger des courriels ou résumer des documents. Les données de vos clients — noms, détails de contrats, renseignements médicaux, peu importe ce que vous y avez collé — se retrouvent maintenant chez un fournisseur régi par la loi américaine, pas la loi canadienne. Si votre équipe a déjà adopté un outil d'IA sans trop y réfléchir, ce qui change quand votre équipe adopte l'IA passe en revue les obligations qui changent dès ce moment-là.

Ce n'est pas automatiquement illégal. Mais ça complique vos obligations sous la Loi 25, parce que la loi s'attend à ce que vous sachiez où vont les renseignements personnels et que vous puissiez l'expliquer si on vous le demande. Une partie de la préoccupation vient du CLOUD Act américain (2018), qui permet aux autorités américaines de forcer les fournisseurs établis aux États-Unis à remettre des données qu'ils contrôlent, peu importe où ces données sont physiquement stockées. Garder les données sur des serveurs canadiens aide, mais ce n'est pas une réponse complète en soi — ce qui compte le plus, c'est quelle entreprise contrôle légalement l'infrastructure et si cette entreprise est assujettie à la juridiction américaine. Un fournisseur constitué et exploité en dehors du contrôle américain occupe une position bien différente d'une entreprise américaine qui ne fait que louer de l'espace dans un centre de données canadien.

Une plateforme d'IA canadienne simplifie cette cartographie en gardant à la fois les données et le contrôle corporatif plus près de l'endroit où se trouvent déjà vos autres dossiers d'affaires. Augure est bâtie ainsi : c'est une entreprise canadienne sans société mère américaine, qui stocke les données clients au Canada. Selon la documentation publiée par Augure elle-même, l'inférence par IA pour les conversations et documents des clients tourne sur une infrastructure canadienne et avec des partenaires européens vérifiés selon des conditions de rétention zéro des données, en évitant les fournisseurs d'inférence basés aux États-Unis. Le traitement des paiements et l'envoi des courriels impliquent effectivement une certaine infrastructure américaine, et Augure le documente directement dans sa politique de confidentialité plutôt que de le passer sous silence. Pour une entreprise qui essaie de garder sa cartographie de données simple, ça fait une liste plus courte de fournisseurs à expliquer à un régulateur — même s'il vaut toujours la peine de vérifier les certifications actuelles, comme tout alignement avec les cadres de certification en cybersécurité du Canada (CPCSC), avant de considérer les affirmations d'un fournisseur comme un substitut à votre propre vigilance.

Augure est gratuit pour commencer : 50 messages par jour, cinq documents, sans carte de crédit. Le palier payant est de 20 $/mois si vous avez besoin de plus d'espace, et ça n'efface pas vos obligations sous la Loi 25. Rien ne fait ça. Ça veut simplement dire un fournisseur de moins à expliquer un jour à un régulateur. Vous pouvez voir ce qui est stocké et où sur augureai.ca.

Quoi faire cette semaine

Nommez une personne comme responsable de la confidentialité. Ça peut être vous. Écrivez son nom et son rôle dans une seule phrase et gardez-la quelque part facile à retrouver. C'est ça, l'exigence selon l'art. 3.1, pas une offre d'emploi.

Dressez la liste des endroits où se trouvent réellement les données clients. Votre CRM, votre boîte de courriel, votre outil de facturation, tout outil de clavardage par IA où vous avez collé des renseignements clients. Dix minutes, un onglet de chiffrier.

Vérifiez vos outils d'IA et infonuagiques actuels pour savoir où les données sont traitées et qui contrôle le fournisseur. Si c'est un outil américain et que vous traitez des renseignements clients sensibles, évaluez si une plateforme d'IA canadienne comme Augure rendrait cette conversation avec un régulateur, ou un client, plus courte et plus simple.

D'où vient tout ça : les sanctions administratives de la Loi 25 atteignent 10 millions de dollars canadiens ou 2 % du chiffre d'affaires mondial (art. 90.1); ses dispositions pénales atteignent 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial (art. 91 à 93). Consultez les lignes directrices de la CAI pour les détails à jour.