Politique de confidentialité vs programme de protection des renseignements personnels : ce que la Loi 25 exige vraiment

Oui, vous pouvez avoir une politique de confidentialité et enfreindre quand même la loi québécoise sur la protection des renseignements personnels. Une politique, c'est une page sur votre site Web. Un programme, c'est ce que votre entreprise fait vraiment, chaque jour, avec les données des gens. La Loi 25 s'intéresse à la deuxième chose, pas à la première.

Beaucoup de petites entreprises tombent dans ce panneau, surtout celles qui viennent d'acheter un outil d'IA ou un ensemble de modèles et qui pensent avoir bouclé la boucle. Ce n'est pas le cas. Voici ce que la loi demande réellement, et ce que ça coûte d'y arriver.

Quelle est la différence entre une politique et un programme?

Une politique de confidentialité, c'est une promesse. Elle explique quelles données vous recueillez et pourquoi, habituellement en quelques paragraphes dans le bas de page de votre site.

Un programme de protection des renseignements personnels, c'est la machinerie derrière cette promesse. Il répond à des questions comme : qui peut voir les données des clients, combien de temps vous les gardez, que se passe-t-il si un ordinateur portable est volé, et qui est responsable quand un client vous demande de supprimer son dossier.

La loi québécoise sur la protection des renseignements personnels, connue sous le nom de Loi 25, a été construite autour de la deuxième idée. La politique n'est que le résumé public d'un programme qui devrait déjà exister.

Est-ce que ça s'applique à mon entreprise?

Si vous recueillez des renseignements personnels de personnes au Québec, la Loi 25 s'applique à vous. Noms, courriels, adresses, historique d'achats : tout ça compte. La taille de l'entreprise ne vous exempte pas. Être basé hors Québec non plus, si vous servez des clients qui y habitent.

La loi fédérale, la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques, souvent appelée PIPEDA), couvre le reste du pays d'une façon similaire. La plupart des provinces qui n'ont pas leur propre loi pour le secteur privé se rabattent sur la LPRPDE. Une entreprise de neuf personnes à Halifax qui vend à des clients de Montréal doit répondre aux deux lois.

Un détail que bien des gens manquent : si vous utilisez un fournisseur de paie, une banque ou une plateforme de réservation qui ne gère les données qu'à l'intérieur de son propre système fermé, vous êtes encore responsable. La loi suit les données, pas le logiciel. Confier des renseignements à un fournisseur ne transfère pas l'obligation. Vous pouvez sous-traiter le stockage. Vous ne pouvez pas sous-traiter la responsabilité.

Qu'est-ce que la Loi 25 exige concrètement?

Enlevez le jargon juridique et ça se résume à une courte liste d'habitudes.

• Nommer une personne responsable de la protection des renseignements personnels dans votre organisation — ça peut être le propriétaire, et ça n'a pas besoin d'un titre officiel
• Savoir quelles données personnelles vous détenez et où elles sont stockées
• Obtenir un consentement réel avant de recueillir ou de partager ces données, et faciliter le refus
• Avoir un plan en cas d'atteinte à la protection des données, incluant l'obligation d'aviser les personnes touchées
• Être capable de supprimer ou de transmettre les données de quelqu'un si cette personne le demande

Rien de tout ça n'exige un avocat sur place. Ça exige que quelqu'un dans l'entreprise prenne la responsabilité de la réponse, et l'écrive une fois. Une politique de confidentialité ne coûte rien à rédiger. Un programme de protection des renseignements personnels coûte environ une journée du temps de quelqu'un pour bien le mettre en place, et presque rien après ça.

Voici à quoi ressemble concrètement cette journée : une heure pour lister tous les endroits par où les données entrent dans votre entreprise — formulaires du site Web, factures, courriel, outils de clavardage. Une heure pour décider qui peut voir quoi, ce qui pour neuf personnes se résume souvent à « tout le monde » plus une note sur qui gère les demandes de suppression. Une heure pour écrire un plan d'une page en cas d'atteinte : qui appelle le client, qui appelle le régulateur, et à quelle vitesse. Le reste, c'est écrire tout ça quelque part où votre futur vous pourra le retrouver. Sautez une étape et le vide ne se voit pas — jusqu'à ce que quelque chose tourne mal et que vous deviez reconstruire la réponse sous pression, avec l'horloge du régulateur déjà en marche.

Qu'est-ce que ça coûte vraiment d'ignorer tout ça?

Le régulateur québécois de la protection des renseignements personnels peut imposer des amendes allant jusqu'à 10 M $ ou 2 % du chiffre d'affaires mondial pour des violations graves, selon le montant le plus élevé. La plupart des cas de petites entreprises n'atteignent pas ce plafond, mais le chiffre existe pour marquer un point. Ce n'est pas une amende symbolique.

Plus fréquent, et coûteux d'une manière plus discrète, c'est l'incident lui-même. Une liste de clients qui fuit, un ordinateur portable perdu, un courriel envoyé à la mauvaise liste : chaque cas déclenche une obligation d'avis, et chaque avis est un moment où vos clients décident s'ils vous font encore confiance. Ce coût-là n'apparaît pas sur une facture. Il apparaît six mois plus tard dans vos chiffres de perte de clients.

Une objection raisonnable ici : « On est neuf personnes, personne ne va s'intéresser à nous. » Peut-être pas de façon proactive. Mais le régulateur intervient souvent après une plainte, pas une ratissage général — un ancien employé, un client fâché, un concurrent. À ce moment-là, la taille de votre entreprise n'a plus d'importance. Ce qui compte, c'est de pouvoir démontrer que vous aviez un plan avant que la plainte arrive, pas un plan écrit la semaine suivante.

Comparez ça au coût de mise en place quand on fait les choses correctement. Quelques heures pour nommer votre responsable de la protection des renseignements personnels, cartographier les données que vous détenez, et choisir des outils qui n'envoient pas discrètement les données de vos clients quelque part où vous n'avez jamais consenti. C'est l'échange qui se fait ici.

Où se situe un outil d'IA canadien dans tout ça?

C'est ici que bien des petites entreprises se font prendre sans le vouloir. Vous vous inscrivez à un outil de clavardage IA basé aux États-Unis pour rédiger des courriels ou résumer des documents. Les données de vos clients — noms, détails de contrats, renseignements de santé, peu importe ce que vous avez copié dedans — se retrouvent maintenant chez un fournisseur régi par le droit américain, pas le droit canadien.

Ce n'est pas automatiquement illégal. Mais ça complique vos obligations en vertu de la Loi 25, parce que la loi s'attend à ce que vous sachiez où vont les renseignements personnels et que vous puissiez l'expliquer si on vous le demande. Une plateforme d'IA canadienne simplifie cette cartographie en gardant les données plus proches de l'endroit où se trouvent déjà vos autres dossiers d'entreprise.

Augure en est un exemple. C'est une entreprise canadienne sans société mère américaine, qui stocke les données des clients au Canada. L'inférence de l'IA pour les conversations et documents des clients tourne sur une infrastructure canadienne et avec des partenaires européens vérifiés, sous des conditions de non-conservation des données, jamais chez des fournisseurs basés aux États-Unis, de sorte que ce contenu échappe à la portée des autorités américaines en vertu du CLOUD Act. Le traitement des paiements et l'envoi des courriels impliquent bel et bien une certaine infrastructure américaine, et c'est documenté dans la politique de confidentialité plutôt que caché. Pour une entreprise qui essaie de garder sa cartographie de données simple, c'est une liste sensiblement plus courte d'endroits à surveiller.

Augure démarre gratuitement : 50 messages par jour, cinq documents, sans carte de crédit. Le forfait payant coûte 20 $/mois si vous avez besoin de plus d'espace, et ça n'efface pas vos obligations en vertu de la Loi 25. Rien ne fait ça. Ça veut juste dire un fournisseur de moins à expliquer un jour à un régulateur. Vous pouvez voir ce qui est stocké et où sur augureai.ca.

Quoi faire cette semaine

Nommez une personne comme responsable de la protection des renseignements personnels. Ça peut être vous. Écrivez son nom et son rôle en une seule phrase et gardez ça quelque part où on peut le retrouver facilement. C'est l'exigence, pas une offre d'emploi.

Listez où se trouvent réellement les données de vos clients. Votre CRM, votre boîte de courriel, votre outil de facturation, tout outil de clavardage IA où vous avez collé des renseignements de clients. Dix minutes, un onglet de feuille de calcul.

Vérifiez où sont traitées les données dans vos outils d'IA et infonuagiques actuels. Si c'est un outil américain et que vous manipulez des renseignements sensibles de clients, évaluez si une plateforme d'IA canadienne comme Augure rendrait cette conversation avec un régulateur — ou un client — plus courte et plus claire.

D'où vient tout ça : la Loi 25 prévoit des amendes allant jusqu'à 10 M $ ou 2 % du chiffre d'affaires mondial pour des violations graves.