Québec : la Loi 25, et la loi fédérale qui reprend à la frontière

Ce que la loi québécoise demande, et depuis quand

Les obligations sont arrivées par étapes, et les dates comptent parce qu’elles disent depuis quand chacune est exigible. Depuis le 22 septembre 2022 : désigner une personne responsable de la protection des renseignements personnels et publier son titre et ses coordonnées sur le site Internet de l’entreprise ; tenir un registre de tous les incidents de confidentialité ; prendre rapidement des mesures pour diminuer le risque de préjudice ; aviser la Commission d’accès à l’information et les personnes concernées de tout incident qui présente un risque sérieux de préjudice.

Depuis le 22 septembre 2023 : les règles de gouvernance des renseignements personnels, l’évaluation des facteurs relatifs à la vie privée, les nouvelles règles de consentement — une demande présentée distinctement des autres informations, un consentement parental pour un enfant de moins de 14 ans —, le droit de faire cesser la diffusion et de faire désindexer, l’information à fournir au moment de la collecte, et l’évaluation obligatoire avant toute communication à l’extérieur du Québec.

Depuis le 22 septembre 2024 : le droit à la portabilité, c’est-à-dire l’obligation de communiquer, sur demande, les renseignements informatisés, dans un format technologique structuré et couramment utilisé.

Le texte officiel de la loi québécoise (RLRQ, c. P-39.1), à jour au 12 août 2026, a été lu le 21 octobre 2026 pour notre guide sur l’enregistrement des appels, qui en cite les articles. L’article 3.1 vise la personne responsable et la publication de son titre et de ses coordonnées, l’article 8 l’information due au moment de la collecte, l’article 17 l’évaluation faite avant une communication hors Québec. Les deux premières dates viennent des communiqués gouvernementaux que nous avons lus et que nous rendons plus bas ; la troisième repose sur des sources secondaires concordantes, et nous la donnons pour ce qu’elle est.

Le point que presque personne n’écrit correctement

Le décret d’exclusion québécois écarte la loi fédérale pour l’activité qui se déroule au Québec. Il n’écarte pas le reste. L’énoncé d’analyse publié avec un décret de la même famille énumère ce qui demeure au fédéral : les transferts de renseignements au-delà des frontières provinciales ou nationales, les entreprises fédérales — banques, télécommunications, transport interprovincial — et les renseignements personnels des employés.

Pour une entreprise québécoise qui fait répondre ses appels par un logiciel, la conséquence est directe : dès qu’un renseignement quitte la province, la loi fédérale gouverne ce transfert, en plus de ce que la loi québécoise exige déjà. Les deux s’additionnent, elles ne se remplacent pas.

La plainte suit la même ligne de partage. Pour ce qui se passe au Québec, elle va à la Commission d’accès à l’information. Pour ce qui en sort, elle va au Commissariat à la protection de la vie privée du Canada. Un fournisseur qui vous présente une seule autorité vous donne une carte incomplète.

L’évaluation exigée avant une communication hors Québec

C’est l’obligation qui touche le plus directement un service comme le nôtre. Depuis septembre 2023, avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit effectuer une évaluation des facteurs relatifs à la vie privée, et la communication ne peut avoir lieu que si l’évaluation démontre que le renseignement bénéficiera d’une protection adéquate.

Cette obligation pèse sur l’entreprise qui communique : sur vous comme sur nous. Ce que vous pouvez exiger d’un fournisseur est donc précis, et se demande en quatre questions. Où vivent vos dossiers d’appels ? Quel traitement est confié à qui ? Combien de temps une copie existe-t-elle ailleurs ? Où en est son évaluation pour ce transfert ?

L’état de la nôtre est écrit au bas de chaque page de ce site, dans la seule formulation que nous employons pour cela. Nous ne la réécrivons pas ici : une deuxième version finirait par dire autre chose que la première, et c’est exactement ce qu’on ne veut pas sur une page de ce genre.

Enregistrer un appel : deux régimes, pas un

Le Code criminel n’interdit pas à une entreprise partie à l’appel de l’enregistrer : le consentement d’une seule des personnes en communication suffit à écarter l’infraction, et l’entreprise qui participe à la conversation est l’une de ces personnes.

Cela ne règle rien du côté de la vie privée, et c’est là que beaucoup de pages commerciales se trompent. La loi sur la vie privée exige que l’appelant soit informé au début de l’appel de l’enregistrement et de sa finalité, que la finalité annoncée soit la seule utilisée, qu’une solution de rechange existe pour la personne qui refuse, qu’elle puisse demander l’accès à son enregistrement, et que la conservation soit limitée. Les deux régimes s’appliquent en même temps ; l’un ne dispense pas de l’autre.

Chez nous, la divulgation est énoncée avant l’ouverture du micro, au début de l’appel. C’est un mécanisme, pas une étiquette : il s’entend, et vous pouvez l’entendre vous-même en appelant votre propre réceptionniste.

La décision prise sans intervention humaine

Depuis 2023, l’entreprise qui prend à l’égard d’une personne une décision fondée exclusivement sur un traitement automatisé doit l’en informer au plus tard au moment où elle lui communique cette décision. Sur demande, elle doit lui indiquer les renseignements utilisés, les raisons ainsi que les principaux facteurs et paramètres qui ont mené à la décision, et son droit de faire rectifier ces renseignements. Elle doit aussi lui donner l’occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision.

Une réceptionniste qui trie, qualifie ou écarte une demande sans qu’une personne la revoie entre dans cette définition. C’est une raison de garder quelqu’un dans la boucle sur les refus et sur les priorités, et de pouvoir montrer, sur demande, ce qui a servi à la décision.

Le produit vous donne la matière : le journal des accès, l’export d’un dossier, sa suppression, et un rôle par membre de l’équipe qui limite ce que chacun voit. La décision de laisser ou non un tri se faire sans personne, elle, reste la vôtre, et elle se prend en connaissance de cette obligation.

Ce que le produit ne fera pas à votre place

Désigner votre personne responsable, publier son titre et ses coordonnées sur votre site, tenir votre registre d’incidents, rédiger votre politique, fixer votre durée de conservation, faire votre évaluation avant une communication hors Québec : ce sont des obligations de votre entreprise. Un fournisseur qui vous laisse croire qu’il les remplit à votre place vous rend un mauvais service.

Ce que nous vous devons, en revanche, se vérifie de l’extérieur : une divulgation qui s’entend au début de l’appel, un journal des accès, un export et une suppression qui fonctionnent dans l’application, et des phrases publiques sur le lieu de traitement qui ne changent pas d’une page à l’autre.

La loi québécoise prévoit des sanctions administratives et pénales élevées. Elles sont exprimées en plafonds — un maximum que la loi autorise, pas une somme qu’une entreprise paie d’ordinaire. Nous n’en imprimons pas le chiffre : un plafond cité hors contexte sert à faire peur, pas à décider.

Où en est la loi fédérale, au moment où nous écrivons

La loi fédérale en vigueur aujourd’hui reste la Loi sur la protection des renseignements personnels et les documents électroniques. Elle n’a pas été remplacée. Depuis le 1er novembre 2018, elle impose à l’entreprise qui y est assujettie de déclarer au commissaire fédéral et d’aviser les personnes concernées toute atteinte aux mesures de sécurité qui présente un risque réel de préjudice grave, et de tenir un registre de toute atteinte pendant 24 mois.

Une réforme est à l’étude. Le projet de loi C-36 a été déposé en première lecture le 15 juin 2026 ; au 23 octobre 2026 il était à l’étape de la deuxième lecture à la Chambre des communes et n’avait pas reçu la sanction royale. Rien de son contenu n’est en vigueur. C’est la troisième tentative de réforme en six ans, et les deux précédentes sont mortes au feuilleton : nous datons cette page plutôt que de parier sur son adoption.