Par Jacob Chessman, fondateur de Courtier Content. Publié le .
Ce guide résume des textes officiels à la date de publication. Il ne remplace pas un avis juridique.
La Loi 25 s’applique-t-elle au formulaire de leads d’un courtier immobilier ?
Oui. L’art. 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé rend toute personne qui exploite une entreprise responsable des renseignements personnels qu’elle détient, et la Commission d’accès à l’information (CAI) range le travailleur autonome parmi les entreprises visées.
Selon l’art. 2, un renseignement personnel concerne une personne physique et permet de l’identifier. Le nom, le téléphone, le courriel et l’adresse qu’un propriétaire inscrit dans un formulaire Facebook ou un questionnaire Web pour obtenir une évaluation en sont.
Que doit dire le formulaire au moment de la collecte ?
Quatre choses, selon l’art. 8 : les fins de la collecte, les moyens utilisés, les droits d’accès et de rectification, et le droit de retirer son consentement. Le tout « en termes simples et clairs ».
Le même article ajoute, le cas échéant, le nom du tiers pour qui la collecte est faite, les tiers à qui les renseignements doivent être communiqués et la possibilité d’une communication à l’extérieur du Québec. Avant cela, les art. 4 et 5 exigent de déterminer les fins et de ne recueillir que le nécessaire. Voici ce que votre formulaire et votre page doivent contenir.
- Les fins de la collecte et les moyens utilisés (art. 8).
- Les droits d’accès et de rectification, et le droit de retirer son consentement (art. 8).
- Le cas échéant : votre nom si un tiers recueille pour vous, les tiers destinataires et une communication possible hors Québec (art. 8).
- Une demande de consentement présentée à part du reste (art. 14).
- Sur votre site : la politique de confidentialité (art. 8.2), puis le titre et les coordonnées du responsable (art. 3.1).
Quand le consentement du prospect est-il valide ?
Quand il est « manifeste, libre, éclairé » et donné à des fins spécifiques, selon l’art. 14.
Une demande faite par écrit est présentée distinctement de toute autre information. Le consentement ne vaut que pour la durée nécessaire aux fins pour lesquelles il a été demandé, et un consentement non conforme à la Loi est sans effet.
L’art. 12 limite l’utilisation aux fins de la collecte et précise que la prospection commerciale n’est pas une fin compatible. Quand vous prospectez, l’art. 22 vous oblige à vous identifier et à informer la personne de son droit de retirer son consentement.
Textos, courriels et appels aux prospects : ce que la loi permet
Faut-il une politique de confidentialité et un responsable désigné ?
Oui pour la politique; quant au responsable, la Loi le désigne d’office. L’art. 8.2 oblige quiconque recueille des renseignements par un moyen technologique à publier sur son site une politique de confidentialité en termes simples et clairs.
Selon l’art. 3.1, le responsable est la personne ayant la plus haute autorité dans l’entreprise. Son titre et ses coordonnées sont publiés sur le site; la CAI précise qu’elle n’a pas à en être informée.
Si votre page recourt à une technologie qui permet d’identifier, de localiser ou de profiler la personne, l’art. 8.1 exige de l’en informer au préalable, ainsi que des moyens offerts pour activer ces fonctions. La CAI en conclut qu’elles ne peuvent pas être activées par défaut. Aucun texte consulté ne qualifie nommément le pixel de Meta : posez la question à un avocat.
Quel contrat faut-il avec une agence marketing ou un fournisseur de CRM ?
Un mandat ou un contrat de service écrit. L’art. 18.3 permet alors de communiquer les renseignements au fournisseur sans le consentement de la personne, si c’est nécessaire à l’exécution du mandat ou du contrat.
L’écrit indique les mesures que le fournisseur prend pour protéger la confidentialité, pour n’utiliser les renseignements que dans le cadre du mandat et pour ne pas les conserver après son expiration.
Avant de communiquer un renseignement à l’extérieur du Québec, ou d’en confier la conservation à un fournisseur hors Québec, l’art. 17 exige une évaluation des facteurs relatifs à la vie privée. La communication n’est permise que si l’évaluation démontre une protection adéquate, et elle fait l’objet d’une entente écrite. La CAI précise que cela comprend les autres provinces.
Combien de temps conserver un lead, et que faire d’une demande d’accès ?
La Loi ne fixe aucun nombre de mois. L’art. 23 exige de détruire ou d’anonymiser les renseignements une fois accomplies les fins de la collecte, sous réserve d’un délai de conservation prévu par une loi.
Une personne peut demander par écrit l’accès à ses renseignements (art. 27) ou leur rectification (art. 28). Le responsable répond par écrit au plus tard dans les 30 jours de la réception (art. 32).
Que faire en cas d’incident de confidentialité ?
Limiter le préjudice, inscrire l’incident au registre et, s’il présente un risque de préjudice sérieux, aviser avec diligence la CAI et les personnes concernées (art. 3.5 et 3.8).
La CAI précise que le registre inclut les incidents sans risque de préjudice sérieux. Il se conserve au moins 5 ans (art. 8 du Règlement sur les incidents de confidentialité). Des sanctions administratives pécuniaires (art. 90.1) et des sanctions pénales (art. 91) sont prévues.
Quelles obligations à chaque étape ?
Le tableau résume la vie d’un lead, de la collecte à la destruction.
| Étape | Obligation | Article |
|---|---|---|
| Avant la collecte | Déterminer les fins et ne recueillir que le nécessaire. | Art. 4 et 5 |
| Formulaire | Informer des fins, des moyens, des droits et des tiers. | Art. 8 |
| Consentement | Manifeste, libre, éclairé, spécifique; demande écrite présentée à part. | Art. 14 |
| Site Internet | Politique de confidentialité; titre et coordonnées du responsable. | Art. 8.2 et 3.1 |
| Agence ou CRM | Mandat ou contrat écrit qui prévoit les mesures de protection. | Art. 18.3 |
| Données hors Québec | Évaluation des facteurs relatifs à la vie privée, puis entente écrite. | Art. 17 |
| Prospection | S’identifier et informer du droit de retrait. | Art. 22 |
| Demande d’accès ou de rectification | Réponse écrite dans les 30 jours. | Art. 27, 28 et 32 |
| Fins accomplies | Détruire ou anonymiser. | Art. 23 |
| Incident | Limiter le préjudice, tenir le registre, aviser si le risque de préjudice est sérieux. | Art. 3.5 et 3.8 |
Sources et lectures utiles
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)
- Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1)
- Commission d’accès à l’information, section Entreprises : champ d’application de la Loi
- Commission d’accès à l’information, section Entreprises : collecte de renseignements personnels
- Commission d’accès à l’information, section Entreprises : responsable de la protection des renseignements personnels
- Commission d’accès à l’information, section Entreprises : utilisation et communication de renseignements personnels
- Commission d’accès à l’information, section Entreprises : incidents de confidentialité et mesures de sécurité