La Loi 25, en clair.
Ce que la loi québécoise demande à votre entreprise, et ce que notre système fait pour vous aider à y répondre. Écrit pour un propriétaire de PME, pas pour un juriste.
Elle s'applique à toutes les entreprises du Québec, sans seuil d'employés. Une entreprise de trois personnes y est soumise comme une banque.
- S'applique à
- Toute entreprise au Québec
- Seuil d'employés
- Aucun
- Surveillance
- Commission d'accès à l'information
- En vigueur depuis
- 22 septembre 2022
Ce que la loi vous demande
Six obligations qui touchent une PME ordinaire.
Les numéros renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25.
- Nommer un responsable art. 3.1
- C'est d'office la personne ayant la plus haute autorité dans l'entreprise — le propriétaire, le plus souvent — et la fonction peut être déléguée par écrit. Son titre et ses coordonnées doivent être publiés sur votre site web. C'est l'obligation la plus simple à remplir, et la plus souvent oubliée.
- Écrire vos politiques art. 3.2
- Comment les renseignements sont conservés et détruits, qui fait quoi dans l'entreprise, et comment une plainte est traitée. Proportionné à votre taille : quelques pages suffisent pour une PME.
- Être prêt pour un incident art. 3.5 à 3.8
- Un accès, une utilisation ou une perte non autorisés : s'il y a un risque de préjudice sérieux, vous devez aviser la Commission et les personnes touchées avec diligence. Et dans tous les cas, tenir un registre des incidents — même pour ceux que vous jugez sans gravité.
- Protéger ce que vous détenez art. 10
- Des mesures de sécurité « raisonnables compte tenu, notamment, de leur sensibilité ». La loi ne nomme aucune technologie : c'est à vous de montrer que vos mesures sont à la hauteur de ce que vous détenez.
- Dire ce que fait votre technologie art. 8.1
- Si un outil identifie une personne, la localise ou dresse son profil, vous devez l'en informer avant, et lui donner les moyens de désactiver ces fonctions. C'est ce qui vise le suivi sur un site web, et ça va plus loin qu'une bannière de témoins.
- Évaluer avant d'envoyer hors Québec art. 17
- Avant de communiquer un renseignement personnel à l'extérieur du Québec — un fournisseur infonuagique américain, par exemple — il faut une évaluation des facteurs relatifs à la vie privée. Choisir un hébergement au Québec ou au Canada vous l'évite.
Ce que ça change pour le téléphone
Un système téléphonique détient plus de renseignements qu'on pense.
- L'appel lui-même. Nom, adresse, date de naissance, numéro de carte : ce sont des renseignements personnels, et l'article 10 vaut aussi pendant leur transport.
- Les messages vocaux et leurs transcriptions. Conservés quelque part, pour une durée que quelqu'un a choisie — ou que personne n'a choisie.
- Le journal d'appels. Qui a appelé qui, quand, combien de temps. Souvent consultable par toute l'équipe, sans que personne ne se soit posé la question.
- Les enregistrements d'appels. S'il y en a, les personnes doivent en être informées, et la durée de conservation doit être décidée.
- Le fournisseur. S'il héberge aux États-Unis, c'est l'article 17 qui s'applique — à vous, pas à lui.
Ce que nous faisons pour vous
La part du travail qui revient à votre téléphonie.
- Les appels sont chiffrés
- Signalisation et voix, par défaut, sans supplément : votre mesure de sécurité au sens de l'article 10, pour la partie téléphonie. Comment, et comment le vérifier.
- L'hébergement reste au Canada
- Vous n'avez pas d'évaluation des facteurs relatifs à la vie privée à produire pour votre système téléphonique.
- Les accès sont nominatifs et journalisés
- Vous pouvez répondre à « qui a écouté ce message ? » et « qui a changé ce renvoi ? » — ce qu'un registre d'incident exige le jour où il en faut un.
- Les durées de conservation se règlent
- Messages vocaux, enregistrements, journaux : on fixe ensemble combien de temps, et le système efface tout seul ensuite.
- Un incident vous est rapporté par écrit
- Si quelque chose touche votre téléphonie, vous recevez les faits datés : ce qui s'est passé, quand, ce qui a été touché, ce qui a été fait. De quoi remplir votre registre et décider s'il faut aviser.
- Ce qui est livré est écrit
- Les mesures en place sont documentées dans votre dossier. Le jour où un client, un assureur ou la Commission pose la question, vous avez une réponse datée plutôt qu'un souvenir.
Ce qui reste à vous
Nous ne faisons pas votre conformité.
Un fournisseur qui vous promet d'être « conforme Loi 25 » à votre place vend quelque chose qui n'existe pas. La responsabilité est celle de l'entreprise. Ce qui vous revient :
- Nommer le responsable et publier son titre et ses coordonnées sur votre site.
- Écrire votre politique de confidentialité et la rendre accessible.
- Tenir le registre des incidents, même vide.
- Savoir quels renseignements vous détenez, où, et pour combien de temps.
- Expliquer tout ça à votre personnel — la majorité des incidents sont des erreurs, pas des attaques.
Nous couvrons la part téléphonie, par écrit. Le reste, un conseiller ou un avocat le fera mieux que nous, et nous le disons plutôt que de le facturer.
Et sur ce site
On s'applique à nous-mêmes ce qu'on explique.
Nous mesurons la fréquentation de ce site avec un outil que nous hébergeons nous-mêmes, au Canada. Il ne dépose aucun témoin, ne conserve aucune adresse IP et ne suit personne d'un site à l'autre : il compte des visites, pas des individus. Rien n'est envoyé à Google ni à un réseau publicitaire, et il n'y a donc rien à vous faire accepter dans une fenêtre.
Le formulaire de contact envoie votre message par courriel et ne le conserve pas sur le serveur. Le détail est dans la politique de confidentialité.
Cette page n'est pas un avis juridique
Elle résume, en termes simples, des obligations que nous rencontrons chez nos clients. Le texte officiel fait foi : Loi sur la protection des renseignements personnels dans le secteur privé. La Commission d'accès à l'information du Québec publie des guides pour les entreprises. Pour une situation précise, consultez un conseiller juridique.
Par où commencer ?
Si vous ne savez pas si vos appels sont chiffrés, ni où dorment vos messages vocaux, c'est la bonne première question. Elle se répond en une rencontre.
- Courriel
- telecom@opsnode.ca
- Téléphone
- 514 826-2207
- Formulaire
- Écrivez-nous