La Loi 25 quand on enregistre ses appels : le guide pratique de la PME

Si votre entreprise enregistre ses appels — ou confie sa ligne à un service qui les transcrit, humain ou IA — vous manipulez des renseignements personnels au sens de la loi québécoise. Bonne nouvelle : les obligations qui viennent avec sont moins mystérieuses qu’elles en ont l’air. Ce guide les traduit en gestes concrets, avec une checklist à la fin et les questions à poser à n’importe quel fournisseur.

Ce guide est un survol pratique rédigé pour des gestionnaires de PME ; ce n’est pas un avis juridique. Pour votre situation particulière, consultez un juriste ou les publications officielles de la Commission d’accès à l’information du Québec.

La Loi 25, en deux mots

Son nom complet est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée en septembre 2021 — mais tout le monde dit « Loi 25 ». Elle a resserré les règles que les entreprises québécoises doivent suivre quand elles recueillent des renseignements personnels, et ses obligations sont entrées en vigueur par étapes : septembre 2022, septembre 2023, puis septembre 2024. La période de transition est donc terminée ; tout ce qui suit s’applique aujourd’hui.

Deux choses la distinguent des anciennes règles. Un, elle a des dents : la Commission d’accès à l’information (CAI) peut imposer des sanctions administratives pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les infractions pénales les plus graves peuvent monter jusqu’à 25 millions ou 4 %. Deux, elle s’applique à toutes les entreprises, sans seuil de taille : une PME de trois personnes a les mêmes obligations de principe qu’une institution financière.

Ce qu’un appel contient, au sens de la loi

Un renseignement personnel, c’est tout renseignement qui permet d’identifier une personne. Une conversation téléphonique en déborde : le nom de l’appelant, son numéro, sa voix elle-même, la raison de son appel — un rendez-vous médical, un problème de voiture, une question sur une facture. Dès que vous enregistrez ou transcrivez, vous recueillez et conservez ces renseignements, et les obligations ci-dessous s’activent. Ça vaut autant pour la boîte vocale qui garde ses messages que pour un système de prise d’appels moderne.

Vos quatre obligations concrètes

1. Désigner une personne responsable

Depuis septembre 2022, chaque entreprise doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité — souvent le ou la propriétaire, dans une PME — mais le rôle peut être délégué par écrit. Son titre et ses coordonnées doivent être publiés, normalement sur votre site web. Concrètement : choisissez quelqu’un, consignez-le, ajoutez une ligne à votre page de contact. C’est une heure de travail, pas un chantier.

2. Informer l’appelant et obtenir un consentement valable

La loi exige d’informer la personne, au moment de la collecte, des fins pour lesquelles ses renseignements sont recueillis. Pour un appel enregistré ou transcrit, la pratique simple et éprouvée : un court message au début de l’appel qui annonce l’enregistrement et sa raison — assurer le suivi des demandes, par exemple. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. La règle de gros bon sens qui en découle : dites clairement ce que vous faites avec l’appel, puis faites seulement ce que vous avez dit.

3. Tenir un registre des incidents de confidentialité

Toujours depuis septembre 2022, tout incident de confidentialité — un accès non autorisé, une fuite, une perte de données — doit être consigné dans un registre, même s’il est mineur. Si l’incident présente un risque de préjudice sérieux, vous devez aviser la CAI et les personnes concernées. Le registre lui-même peut être un simple document tenu à jour ; la CAI publie des gabarits. Le vrai travail, c’est de décider d’avance qui constate, qui consigne et qui avise — pas de l’improviser pendant l’incident.

4. Évaluer ce qui sort du Québec

Depuis septembre 2023, avant de communiquer des renseignements personnels à l’extérieur du Québec — y compris vers un sous-traitant ou un service infonuagique américain — vous devez mener une évaluation des facteurs relatifs à la vie privée (EFVP) et vous assurer, entente écrite à l’appui, que les renseignements y recevront une protection adéquate. Un système téléphonique dont les serveurs ou la synthèse vocale sont aux États-Unis, c’est exactement ce cas de figure. La loi ne vous l’interdit pas ; elle vous demande de le savoir, de l’évaluer et de pouvoir l’expliquer.

La checklist de la PME qui enregistre ses appels

• Nommer la personne responsable, publier son titre et ses coordonnées.
• Rédiger (ou dépoussiérer) une politique de confidentialité en langage clair.
• Ajouter un message d’information au début des appels enregistrés.
• Inventorier où vivent vos enregistrements, transcriptions et messages vocaux — fournisseur par fournisseur.
• Documenter par une EFVP tout renseignement qui sort du Québec, avec l’entente écrite du fournisseur.
• Créer le registre des incidents et désigner qui le tient.
• Prévoir la réponse à une demande d’accès ou de suppression d’un client.
• Fixer une durée de conservation, puis détruire ou anonymiser ce qui a fait son temps.

Choisir un fournisseur : les questions qui comptent

Votre fournisseur de téléphonie ou d’agent vocal fait partie de votre dossier de conformité, que vous le vouliez ou non. Avant de signer, posez-lui par écrit : où sont hébergés mes enregistrements et mes transcriptions ? La voix de mes clients transite-t-elle par des serveurs hors Canada, et chez quel sous-traitant ? Qui, chez vous, a accès à mes données ? Que se passe-t-il si je demande leur suppression ? Y a-t-il des frais ou des conditions qui ne figurent pas sur votre site ?

Un fournisseur sérieux répond noir sur blanc, sans se faire tirer le bras. Chez VoiceX, on a mis nos propres réponses en ligne — enregistrements et transcriptions hébergés à Montréal, accès limité et documenté — précisément parce que c’est le niveau de clarté qu’on pense que vous devriez exiger de tout le monde, nous compris.

Par où commencer cette semaine

Ne visez pas la conformité parfaite en sept jours ; visez la traçabilité. Nommez la personne responsable lundi. Faites l’inventaire de vos systèmes qui touchent aux appels mardi. Envoyez les cinq questions ci-dessus à vos fournisseurs mercredi. Ce qui reste — politique, registre, EFVP — se planifie ensuite, un morceau à la fois. La Loi 25 récompense les entreprises capables de montrer leur démarche ; commencez donc par en avoir une.