Loi 25 : ce que les PME doivent savoir sur les appels et les textos

La Loi 25 en quelques mots

On appelle « Loi 25 » la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée par l'Assemblée nationale en septembre 2021. Elle a surtout modifié la Loi sur la protection des renseignements personnels dans le secteur privé, celle qui s'applique aux entreprises du Québec, peu importe leur taille.

Ses obligations sont entrées en vigueur en trois étapes : en septembre 2022, en septembre 2023, puis en septembre 2024 avec le droit à la portabilité des données. Aujourd'hui, l'ensemble des règles s'applique. Une entreprise de deux personnes est donc concernée au même titre qu'une grande chaîne, même si on attend évidemment d'elle des mesures proportionnées à sa réalité.

Le principe de base est simple : un renseignement personnel, c'est toute information qui concerne une personne physique et qui permet de l'identifier. Un nom, un numéro de téléphone, une adresse, une photo de la maison d'un client ou le contenu d'un message vocal en font partie. Dès que votre entreprise recueille, utilise, conserve ou communique ce genre d'information, la loi s'applique.

Pourquoi vos appels et vos textos sont concernés

On pense souvent à la Loi 25 en lien avec les sites Web, les témoins (cookies) et les formulaires en ligne. Pourtant, pour la majorité des PME de services, la plus grande quantité de renseignements personnels circule par le téléphone. Chaque appel laisse un numéro dans votre historique. Chaque message vocal contient un nom, souvent une adresse et la description d'un besoin.

Les textos sont encore plus riches. Un client peut vous envoyer une photo de son entrée électrique, l'adresse de son chalet, ses disponibilités ou des détails sur sa situation familiale pour expliquer pourquoi c'est urgent. C'est précieux pour bien le servir, et c'est justement pour ça que ces informations méritent d'être bien gérées.

La bonne nouvelle, c'est que la plupart des obligations reviennent à du gros bon sens. Ne recueillir que ce qui est utile, savoir où sont les informations, limiter qui y a accès, et ne pas les garder indéfiniment.

Les obligations de base pour une petite entreprise

La Loi 25 contient plusieurs obligations, mais certaines touchent directement toutes les PME. Voici les principales, résumées simplement. Pour les détails propres à votre situation, la Commission d'accès à l'information du Québec (CAI) publie des guides gratuits, et un conseiller juridique peut vous accompagner.

Rappelez-vous que l'objectif n'est pas de produire une pile de documents que personne ne lit. C'est d'avoir quelques réflexes clairs, connus de toute l'équipe, et de pouvoir les expliquer si un client ou la CAI vous pose la question.

• Désigner une personne responsable de la protection des renseignements personnels. Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise (souvent le propriétaire), mais cette fonction peut être déléguée par écrit. Son titre et ses coordonnées doivent être publiés sur votre site Web, s'il y en a un.
• Adopter des règles internes simples sur la façon dont vous gérez les renseignements personnels (qui y a accès, combien de temps on les garde, comment on les détruit, comment on traite une plainte).
• Publier une politique de confidentialité en termes simples et clairs si vous recueillez des renseignements par un moyen technologique, comme un site Web ou un formulaire en ligne.
• Recueillir uniquement les renseignements nécessaires aux fins que vous avez déterminées, et informer la personne de ces fins.
• Tenir un registre des incidents de confidentialité et aviser la CAI et les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux.
• Détruire ou anonymiser les renseignements une fois que les fins pour lesquelles vous les avez recueillis sont atteintes, sous réserve des délais de conservation prévus par d'autres lois.

Le consentement : ce qui change pour vos communications

La Loi 25 exige que le consentement soit manifeste, libre, éclairé et donné à des fins spécifiques. En pratique, cela veut dire que la personne doit comprendre pourquoi vous utilisez ses informations. Quand un client vous appelle pour une soumission, il s'attend évidemment à ce que vous utilisiez son numéro pour lui répondre à ce sujet. C'est cohérent avec la raison de son appel.

Là où il faut être prudent, c'est quand on utilise ces informations pour autre chose. Ajouter tous les numéros de votre historique d'appels à une liste d'envoi promotionnelle, par exemple, n'est pas la même chose que répondre à une demande. Pour la prospection et les messages commerciaux électroniques, une autre loi fédérale entre aussi en jeu : la Loi canadienne anti-pourriel (LCAP). Nous y consacrerons un article distinct.

Un bon réflexe consiste à séparer clairement deux types de messages : ceux qui répondent à une demande du client (soumission, rendez-vous, suivi d'un travail) et ceux qui font la promotion de vos services. Les premiers font partie de la relation que le client a lui-même amorcée. Pour les seconds, assurez-vous d'avoir un consentement clair et offrez toujours une façon simple de se désabonner.

Messagerie vocale, historique d'appels et textos : où sont vos données?

Une des premières étapes pour respecter la loi, c'est de savoir où se trouvent les renseignements de vos clients. Pour beaucoup de PME, la réponse est un peu gênante : un peu partout. Dans le cellulaire du propriétaire, dans celui d'un employé, dans la messagerie vocale de la ligne fixe, dans un cahier à la réception et dans un fichier Excel sur l'ordinateur du bureau.

Ce n'est pas un reproche : c'est la réalité de la plupart des petites entreprises, qui ont grandi un client à la fois. Mais quand les échanges sont éparpillés sur plusieurs téléphones personnels, il devient difficile de savoir qui a accès à quoi, de répondre à une demande d'accès d'un client ou de faire le ménage une fois le contrat terminé.

Prenez une heure pour faire l'inventaire. Notez chaque endroit où arrivent des appels, des messages vocaux et des textos de clients, qui peut les consulter, et combien de temps ils y restent. Ce simple exercice vous montrera souvent où mettre de l'ordre en premier.

• Les cellulaires personnels utilisés pour le travail (textos, photos, historique d'appels).
• La messagerie vocale de la ligne d'affaires et celle des cellulaires.
• Les applications de messagerie utilisées avec les clients.
• Les notes papier, les cahiers et les tableaux blancs à la réception.
• Les fichiers partagés, les courriels et les logiciels de gestion.

Bonnes pratiques concrètes pour vos textos d'affaires

Le texto est un excellent canal pour les PME : rapide, pratique, apprécié des clients. Avec quelques habitudes simples, il devient aussi un canal respectueux de leur vie privée. Ces pratiques ne demandent pas de budget, seulement un peu de discipline d'équipe.

L'idée générale : réservez le texto à la logistique et aux échanges courants, et gardez les informations plus sensibles pour un canal mieux adapté. Dans le doute, demandez-vous si vous seriez à l'aise que ce message soit lu par quelqu'un d'autre que le client.

• Ne demandez jamais par texto un numéro d'assurance sociale, un numéro de carte de crédit, un numéro d'assurance maladie ou des renseignements de santé détaillés.
• Limitez-vous à ce qui est utile pour répondre au besoin : nom, adresse des travaux, disponibilités, description générale.
• Utilisez un numéro d'entreprise plutôt que des cellulaires personnels dispersés, pour garder les conversations au même endroit.
• Retirez les accès d'un employé qui quitte l'entreprise le jour même de son départ.
• Verrouillez les téléphones avec un code et activez les mises à jour automatiques.
• Respectez immédiatement toute demande d'arrêt : si une personne écrit STOP, on cesse de lui écrire.
• Faites le ménage régulièrement des photos et conversations qui ne sont plus nécessaires.

Comment Alloia s'inscrit dans cette démarche

Les appels manqués viennent avec le métier. Quand vous êtes sur un chantier, en rendez-vous ou avec un client, il est normal de ne pas pouvoir décrocher. Alloia vous aide simplement à ne pas perdre ce client : lorsqu'un appel n'est pas répondu, la personne reçoit automatiquement un texto envoyé depuis votre numéro actuel, grâce au renvoi d'appel conditionnel. La conversation se poursuit ensuite par texto, au moment où vous êtes disponible.

Du point de vue de la Loi 25, l'avantage est surtout organisationnel. Au lieu d'avoir des échanges éparpillés sur plusieurs cellulaires personnels, les conversations avec les clients sont regroupées dans une seule boîte de réception liée au numéro de l'entreprise. Il devient plus facile de savoir où se trouvent les informations et qui y a accès. Le texto envoyé répond directement à l'appel que le client vient de faire, ce qui reste cohérent avec la raison de son contact.

Alloia ne remplace ni votre jugement ni votre équipe : c'est vous qui répondez aux clients, qui décidez quoi leur demander et comment les servir. Et comme pour tout outil qui traite des renseignements de clients, prenez le temps de lire la politique de confidentialité et de vérifier que l'utilisation que vous en faites correspond à vos règles internes.

Que faire en cas d'incident de confidentialité

Un incident de confidentialité, c'est notamment un accès, une utilisation ou une communication non autorisée d'un renseignement personnel, ou sa perte. Dans une PME, ça peut être aussi banal qu'un cellulaire de travail oublié dans un restaurant, sans code de verrouillage, avec des centaines de conversations clients à l'intérieur.

La loi demande de prendre rapidement des mesures raisonnables pour diminuer les risques. Si l'incident présente un risque de préjudice sérieux pour les personnes concernées, vous devez aviser la CAI et ces personnes. Dans tous les cas, l'incident doit être inscrit dans votre registre. Pour évaluer le risque, on tient compte notamment de la sensibilité des renseignements et des conséquences possibles de leur utilisation.

• Agir vite : changer les mots de passe, effacer le téléphone à distance si c'est possible, retirer les accès.
• Noter ce qui s'est passé, la date, les renseignements touchés et les mesures prises.
• Évaluer le risque de préjudice sérieux, idéalement avec l'aide d'un conseiller si vous avez un doute.
• Aviser la CAI et les personnes concernées si le risque est sérieux.
• Corriger la cause pour éviter que ça se reproduise (code obligatoire, sauvegarde, formation).

FAQ : Loi 25, appels et textos

Est-ce que je peux répondre par texto à un client qui m'a appelé? Oui. Répondre à une personne qui vient de communiquer avec vous, au sujet de sa demande, est cohérent avec la raison de son appel. Restez simplement dans le sujet de sa demande et respectez-le s'il préfère un autre moyen de communication.

La Loi 25 s'applique-t-elle aux travailleurs autonomes? Oui, la loi vise toute personne qui exploite une entreprise au Québec et qui recueille des renseignements personnels dans ce cadre. Les mesures attendues restent proportionnées à la taille et à la nature de vos activités.

Quelles sont les sanctions possibles? La loi prévoit des sanctions administratives pécuniaires pouvant aller jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des amendes pénales plus élevées dans les cas les plus graves. Ces montants sont des plafonds : la CAI tient compte de la situation de l'entreprise. L'objectif, pour une PME, est surtout de démontrer de la bonne foi et des mesures raisonnables.

Dois-je supprimer mes vieux textos de clients? La loi demande de détruire ou d'anonymiser les renseignements une fois que les fins pour lesquelles ils ont été recueillis sont atteintes, sous réserve des délais prévus par d'autres lois (par exemple pour vos dossiers comptables ou les garanties). Fixez-vous une règle simple et appliquez-la régulièrement.

Où trouver de l'aide? Le site de la Commission d'accès à l'information du Québec offre des guides et des outils destinés aux entreprises. Pour une situation précise, consultez un avocat ou un conseiller en protection des renseignements personnels. Cet article est informatif et ne constitue pas un avis juridique.