Protection des renseignements personnels au Québec
La Loi 25 appliquée à vos appels traités par une IA
Vos formulaires web ont été revus. Votre ligne téléphonique, qui capte un nom, une adresse, un motif d’appel et parfois bien plus, ne l’a probablement jamais été.
Français canadien + anglais • Transfert humain configurable • Numéro existant compatible selon votre fournisseur
En bref
Une solution définie par le parcours, pas seulement par la voix
La Loi 25 — officiellement la loi modernisant des dispositions législatives en matière de protection des renseignements personnels — s’est déployée par étapes entre septembre 2022 et septembre 2024. Elle s’applique à toute entreprise qui exerce des activités au Québec, sans seuil de taille : trois employés ou trois cents, les obligations sont les mêmes.
La plupart des entreprises ont traité leurs formulaires, leur infolettre et leur politique de confidentialité. Presque aucune n’a traité son téléphone. Pourtant, un appel est une collecte de renseignements personnels au même titre qu’un formulaire : il capte un nom, un numéro, souvent une adresse, un motif, parfois un détail de santé ou de situation financière — et, contrairement au formulaire, il produit un enregistrement et une transcription que quelqu’un doit décider de conserver ou de détruire.
Cette page décrit les obligations qui touchent directement une ligne téléphonique, ce qu’un fournisseur comme VocalOps peut paramétrer pour vous aider, et ce qui reste irréductiblement de votre ressort.
Ce n’est pas un avis juridique. La Loi 25 s’interprète selon votre secteur, vos données et vos ententes; faites valider votre situation par votre conseiller juridique. Nous décrivons ce que nous voyons dans les déploiements téléphoniques, pas ce que la loi signifie pour votre entreprise en particulier.
Résultats
Les obligations qui touchent directement un appel
Informer au moment de la collecte
L’appelant doit savoir pourquoi ses renseignements sont recueillis, à quelles fins, par quels moyens et quels sont ses droits — au début de l’appel, pas dans une politique qu’il ne lira jamais.
Dire qu’il ne parle pas à une personne
La transparence sur le caractère automatisé de l’interaction est le minimum défendable, et c’est aussi ce que les appelants tolèrent le mieux lorsque c’est dit franchement.
Encadrer la décision automatisée
Lorsqu’une décision repose exclusivement sur un traitement automatisé, la personne doit en être informée et pouvoir présenter ses observations à quelqu’un qui peut réviser.
Minimiser
Ne recueillir que ce que la fin poursuivie exige. Un agent qui pose une question ouverte de trop capte des renseignements que vous devrez ensuite protéger, conserver et détruire.
Fixer une durée et détruire
L’audio, la transcription, le résumé et la fiche client n’ont pas nécessairement la même durée de vie. « Au cas où » n’est pas une durée de conservation.
Désigner un responsable
Le responsable de la protection des renseignements personnels est, par défaut, la personne ayant la plus haute autorité. Son titre et ses coordonnées doivent être publiés.
Guide d’achat
Ce que la Loi 25 change concrètement pour vos appels
Les obligations de la Loi 25 sont rédigées pour toutes les collectes, pas pour le téléphone en particulier. Voici comment elles se traduisent lorsque le point de collecte est une conversation parlée, avec un agent automatisé au bout du fil.
Un appel est une collecte, au même titre qu’un formulaire
C’est le glissement mental qui explique presque tous les écarts. Une entreprise qui aurait refusé d’ajouter un champ « notes de santé » à son formulaire web laisse volontiers un agent poser une question ouverte qui produira exactement la même donnée, dans une transcription conservée plus longtemps qu’une base de données ne l’aurait gardée. Commencez par écrire ce que la ligne capte réellement, pas ce que vous pensiez qu’elle captait.
L’avis doit être compréhensible à l’oral
Un paragraphe juridique de quarante secondes lu au téléphone n’informe personne : l’appelant décroche mentalement avant la fin, et vous avez dégradé l’expérience sans gagner de protection. Un avis utile est court, placé au début, en langage clair, et il indique comment joindre une personne. Le détail complet vit dans la politique, à laquelle l’avis renvoie.
Dites franchement que l’interlocuteur est un agent automatisé
L’ambiguïté est un mauvais calcul. Un appelant qui découvre à mi-conversation qu’il parlait à une machine se sent trompé, et c’est l’origine d’une bonne part des plaintes. Dit d’entrée de jeu, avec un moyen immédiat de demander une personne, le caractère automatisé passe presque toujours sans friction.
La décision automatisée demande plus qu’un avis
Si une décision qui touche l’appelant repose exclusivement sur un traitement automatisé — refuser une demande, classer un dossier comme non prioritaire, appliquer un tarif — la personne doit en être informée et pouvoir faire valoir ses observations auprès de quelqu’un capable de réviser la décision. Dans une ligne téléphonique bien conçue, cela signifie qu’un refus ou un rejet n’est jamais final au bout du fil.
La conservation est une décision, pas un réglage par défaut
Fixez une durée par type de donnée : l’audio, la transcription, le résumé et la fiche client n’ont pas la même utilité ni le même risque. Beaucoup d’entreprises découvrent qu’elles n’ont aucun besoin réel de l’audio au-delà de quelques semaines, alors qu’elles le conservaient indéfiniment. Nommez ensuite qui exécute la suppression, et vérifiez au moins une fois qu’elle se produit.
Le transfert hors Québec s’évalue avant, pas après
Communiquer des renseignements personnels à l’extérieur du Québec exige une évaluation préalable des facteurs relatifs à la vie privée. Une pile de téléphonie et d’IA en comporte presque toujours : hébergement, transcription, modèles vocaux, outils de soutien. Demandez la liste à votre fournisseur, documentez l’évaluation, et refaites-la quand la liste change.
Le registre des incidents de confidentialité
L’obligation de tenir un registre et de signaler à la Commission d’accès à l’information ainsi qu’aux personnes concernées, lorsqu’un incident présente un risque de préjudice sérieux, est en vigueur depuis 2022. Un enregistrement d’appel envoyé au mauvais destinataire est un incident. Décidez maintenant qui le consigne et qui décide du signalement — pas le jour où cela arrive.
Le responsable de la protection des renseignements personnels
Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise, et la fonction peut être déléguée par écrit. Son titre et ses coordonnées doivent être publiés. C’est l’une des obligations les plus simples à remplir et l’une des plus faciles à constater comme absente : une page qui ne nomme personne se vérifie en dix secondes.
Vérifications pour votre ligne téléphonique
- Qui est le responsable de la protection des renseignements personnels, et ses coordonnées sont-elles publiées?
- L’avis donné au début de l’appel couvre-t-il les fins, les moyens et les droits?
- L’appelant sait-il qu’il parle à un agent automatisé, et comment joindre une personne?
- Quelle est la durée de conservation de l’audio, de la transcription, du résumé et de la fiche?
- Qui peut réécouter un appel, et cet accès est-il journalisé?
- Quels sous-traitants traitent ces données, et lesquels se trouvent hors Québec?
- Une évaluation a-t-elle été réalisée avant toute communication hors Québec?
- Le registre des incidents de confidentialité existe-t-il, et qui le tient?
Mise en œuvre
Mettre une ligne en conformité, étape par étape
- 1
Inventorier
Lister ce que la ligne capte réellement — audio, transcription, numéro, nom, adresse, motif — et où chaque élément aboutit, y compris chez vos sous-traitants.
- 2
Écrire l’avis
Rédiger le message d’accueil : enregistrement, agent automatisé, fins de la collecte, moyen d’atteindre une personne, renvoi à la politique.
- 3
Fixer les durées
Décider une durée par type de donnée, nommer qui exécute la suppression, et vérifier que la suppression se produit vraiment.
- 4
Préparer l’incident
Tenir le registre des incidents de confidentialité, définir qui est averti et à quel moment la CAI et les personnes concernées doivent l’être.
Scénarios
Là où une ligne téléphonique dérape le plus souvent
Un avis écrit après coup
Le message d’accueil a été enregistré il y a deux ans, avant que quiconque se demande ce qu’il devait contenir. Il souhaite la bienvenue et ne dit rien d’autre.
Des enregistrements gardés « au cas où »
Aucune durée fixée signifie une conservation indéfinie. C’est le manquement le plus répandu et le plus facile à constater lors d’une plainte.
Un traitement hors Québec jamais évalué
Communiquer des renseignements personnels à l’extérieur du Québec exige une évaluation préalable. Beaucoup de piles techniques en comportent sans que personne l’ait documenté.
Des renseignements sensibles captés par accident
Une question ouverte — « qu’est-ce qui vous amène? » — fait entrer un diagnostic ou une difficulté financière dans une transcription qui n’était pas prévue pour ça.
Aucun registre d’incident
L’obligation existe depuis 2022. Dans beaucoup d’entreprises, le registre n’a jamais été créé, ce qui rend le premier incident bien plus coûteux qu’il n’aurait dû l’être.
FAQ
Questions sur la Loi 25 et le téléphone
La Loi 25 s’applique-t-elle à ma petite entreprise?
Oui. Contrairement à d’autres régimes, elle ne prévoit pas de seuil de taille pour l’essentiel de ses obligations : une entreprise de trois personnes qui exerce des activités au Québec doit désigner un responsable, informer au moment de la collecte, fixer des durées de conservation et tenir un registre des incidents.
Faut-il prévenir l’appelant que l’appel est enregistré?
Oui, et cela doit être dit avant l’enregistrement, en termes compréhensibles. L’avis doit aussi indiquer les fins poursuivies, pas seulement le fait qu’un enregistrement a lieu — « cet appel peut être enregistré » seul ne couvre pas l’obligation d’informer sur les fins et les droits.
Faut-il dire que c’est une intelligence artificielle?
La transparence sur le caractère automatisé est la position défendable, et c’est celle que nous configurons par défaut. Elle évite le sentiment de tromperie, qui est à l’origine d’une bonne part des plaintes, et elle prépare le terrain si une décision automatisée est ensuite en jeu.
Combien de temps pouvons-nous conserver un enregistrement?
La loi n’impose pas un nombre de jours : elle exige que la durée soit déterminée en fonction des fins et que la destruction ait lieu ensuite. C’est à vous de fixer la durée, de la justifier et de l’appliquer. L’absence de durée est le manquement, pas la durée choisie.
VocalOps rend-il mon entreprise conforme?
Non, et aucun fournisseur ne le peut. Nous configurons l’avis d’accueil, les champs recueillis, les sujets refusés et les durées convenues, et nous documentons les flux. Le consentement, les avis, la désignation du responsable, le registre et les ententes restent vos obligations.
Les données doivent-elles rester au Québec?
Non, la loi n’exige pas la résidence des données au Québec. Elle exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur, et que la protection y soit adéquate. C’est une obligation de diligence documentée, pas une interdiction.
Quelles sont les sanctions?
La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et des poursuites pénales peuvent mener à des amendes allant jusqu’à 25 M$ ou 4 %, selon le montant le plus élevé. En pratique, les manquements les plus faciles à constater sont l’absence de responsable désigné et l’absence de registre.
Qu’est-ce qu’un incident de confidentialité?
L’accès, l’utilisation ou la communication non autorisés de renseignements personnels, leur perte, ou toute autre atteinte à leur protection. Un enregistrement d’appel envoyé au mauvais destinataire en est un. Il doit être consigné au registre, et signalé à la CAI et aux personnes concernées s’il présente un risque de préjudice sérieux.
À explorer
Pages connexes
sécurité agent téléphonique IA
Découvrez l’approche VocalOps pour la confidentialité, l’accès, la conservation, les permissions, le transfert humain et l’évaluation de sécurité.
Lire la page →conformité SOC 2
Chiffrement des données, hébergement canadien et accès au moindre privilège sont en place chez VocalOps, et la démarche SOC 2 Type II avec Drata est en cours.
Lire la page →réceptionniste virtuelle clinique dentaire
Répondez aux appels d’une clinique dentaire, qualifiez les demandes non urgentes et soutenez la prise de rendez-vous avec des limites claires.
Lire la page →agent téléphonique IA avocat
Structurez les nouveaux appels juridiques, les conflits potentiels et les demandes de rappel sans donner de conseil juridique automatisé.
Lire la page →Passons votre ligne en revue, cas par cas
Décrivez ce que vos appels captent aujourd’hui. Nous indiquons ce qui se paramètre de notre côté, ce qui relève de votre politique, et ce qui demande un avis juridique.