La Loi 25 quand un logiciel répond à vos appels
Quatre obligations pèsent sur votre entreprise, pas sur votre fournisseur. Voici lesquelles, ce qu’un fournisseur doit vous donner pour les remplir, et ce qu’aucun ne peut faire à votre place.
Qu’exige la Loi 25 quand un logiciel répond et enregistre ?
Quatre choses, et elles pèsent sur votre entreprise : informer la personne et obtenir son consentement avant de collecter ses renseignements, désigner une personne responsable de la protection des renseignements personnels, tenir un registre des incidents de confidentialité, et traiter les renseignements sensibles avec plus de soin que les autres.
Un logiciel de réception ne vous dispense d’aucune des quatre. Il peut en exécuter une partie — annoncer l’enregistrement au début de l’appel, journaliser les accès, effacer un dossier sur demande — mais la responsabilité reste celle de l’entreprise qui a collecté le renseignement.
Ce que vous devez exiger d’un fournisseur, en revanche, est précis : où vivent vos dossiers, qui d’autre les traite, combien de temps une copie existe ailleurs, et par quel canal une demande d’accès ou de suppression est traitée.
Où vous en êtes probablement
Vous dirigez une PME de quelques personnes. Vous savez que la Loi 25 existe, vous avez peut-être déjà mis une phrase dans un formulaire de votre site, et vous n’avez pas de service juridique. Vous venez de réaliser qu’un logiciel qui répond au téléphone enregistre des conversations, et que ces conversations contiennent des noms, des adresses, parfois des renseignements de santé.
La bonne nouvelle : les quatre obligations se règlent avec des gestes simples, et trois d’entre elles ne coûtent rien. La mauvaise : personne d’autre que vous ne peut les poser, et un fournisseur qui vous dit le contraire vous rend un mauvais service.
Ce que la loi demande à votre entreprise
Le consentement doit être demandé avant la collecte, dans des termes compréhensibles, pour une finalité précise. Un appel qu’on enregistre s’annonce donc au début, avant que la conversation commence, et l’appelant garde le choix de raccrocher.
La personne responsable de la protection des renseignements personnels est nommée dans votre entreprise. Ce peut être vous. Son nom ou son titre et un moyen de la joindre doivent être publiés.
Le registre des incidents de confidentialité consigne les événements qui touchent un renseignement personnel, ce qui a été fait, et si le risque de préjudice sérieux exigeait de prévenir les personnes concernées et la Commission d’accès à l’information.
Les renseignements sensibles — santé, situation financière, données biométriques — appellent un niveau de protection plus élevé et un consentement plus explicite. Une clinique reçoit des appels qui en contiennent presque à chaque fois.
Ce que ça change concrètement à la réception
L’annonce de l’enregistrement se fait au début de l’appel, pas dans une page de votre site. Elle doit être courte, claire, et dire pourquoi la conversation est conservée.
La règle qui vaut pour l’appel vaut pour l’écrit : un message texte, une conversation sur votre site ou une réponse par courriel collectent aussi des renseignements, et demandent aussi une raison et un consentement.
Une demande d’accès ou de suppression doit trouver un chemin qui répond. Si un appelant vous écrit pour obtenir la copie de ce que vous détenez sur lui, ou pour la faire effacer, vous devez pouvoir le faire — donc votre fournisseur doit vous en donner le moyen dans l’outil, pas sur demande par courriel.
Enfin, la durée de conservation est une décision de votre entreprise, pas un réglage que le logiciel prend pour vous. Gardez ce dont vous avez besoin, aussi longtemps que vous en avez besoin, et pas davantage.
Ce que Zenvox fait, et ce qu’il ne peut pas faire pour vous
Ce que le produit fait : l’enregistrement est annoncé au début de chaque appel ; les accès sont journalisés ; l’export et l’effacement d’un dossier sont des opérations du produit, disponibles dans l’application ; le rôle de chaque membre de votre équipe limite ce qu’il voit.
Ce que le produit publie : l’endroit où vivent vos dossiers d’appels, le nom du traitement confié à un sous-traitant, la durée pendant laquelle une copie subsiste chez lui, et l’état de l’évaluation des facteurs relatifs à la vie privée pour ce transfert. Ces phrases sont écrites à un seul endroit du site et reprises partout, pour qu’aucune version divergente ne circule ; elles sont au bas de cette page.
Ce que le produit ne peut pas faire : nommer votre personne responsable, rédiger votre politique de confidentialité, décider de votre durée de conservation, ni tenir votre registre d’incidents à votre place. Aucune mesure technique ne rend non plus une donnée inviolable, et une page qui l’affirmerait vous mentirait.
Les questions que vos clients posent vraiment
« Est-ce que vous enregistrez ? » — oui, et c’est annoncé au début. « Est-ce que je peux parler à quelqu’un ? » — la réceptionniste transfère ou prend le message selon la règle que vous avez fixée, et une demande de transfert n’a pas besoin d’être justifiée.
« Qu’est-ce que vous faites avec mes informations ? » — vous répondez avec votre finalité à vous : rappeler, préparer une visite, ouvrir un dossier. C’est cette phrase-là, écrite dans vos consignes, que la réceptionniste dira à votre place.
Ce qui s’y rattache dans le produit
Les pages qui détaillent les mesures et leurs limites.