Loi 25 : cinq obligations pour votre téléphonie

Cinq obligations de la Loi 25 atteignent directement un système téléphonique : désigner un responsable de la protection des renseignements personnels et publier ses coordonnées, publier une politique de confidentialité, obtenir un consentement valide, réaliser une évaluation des facteurs relatifs à la vie privée avant toute communication hors Québec, et tenir un registre des incidents de confidentialité.

La plupart des guides sur la Loi 25 s'adressent aux sites Web et aux CRM. Une ligne téléphonique recueille elle aussi des renseignements personnels (numéros, enregistrements, messages vocaux, transcriptions, journaux d'appels), et les obligations ne s'assouplissent pas parce que le canal est sonore.

1. Un responsable désigné

Depuis le 22 septembre 2022, toute entreprise privée au Québec doit désigner une personne responsable de la protection des renseignements personnels. Par défaut, il s'agit de la personne ayant la plus haute autorité, et le rôle peut être délégué. Le titre et les coordonnées doivent être publiés sur votre site Web : désigner quelqu'un à l'interne sans le dire ne suffit pas.

2. Une politique de confidentialité publiée

Elle est écrite en termes simples et clairs, et elle indique ce que vous recueillez et pourquoi. Pour un système téléphonique, cela signifie dire que vous détenez des registres d'appels, et pour combien de temps.

3. Un consentement valide

Manifeste, libre, éclairé, précis et granulaire. Le consentement à l'enregistrement fait l'objet d'un article distinct, parce que c'est le plus difficile des cinq.

4. Une évaluation avant toute communication hors Québec

Il s'agit d'une évaluation des facteurs relatifs à la vie privée, faite avant toute communication de renseignements personnels hors Québec. C'est celle qu'on oublie le plus souvent, et celle qui rattrape presque tous les systèmes téléphoniques infonuagiques, parce que presque aucun ne conserve les données québécoises au Québec. Où vivent vos données d'appel traite la question.

5. Un registre des incidents de confidentialité

Tous les incidents, pas seulement ceux qui doivent être déclarés. Ce qu'il faut faire lorsqu'un incident touche vos registres d'appels traite du registre et du seuil de déclaration.

On sous-estime facilement. Une ligne d'affaires détient généralement :

• les numéros des appelants, qui identifient une personne
• les enregistrements d'appels, s'ils sont activés
• l'audio des messages vocaux et leur transcription automatique
• les registres d'appels : qui a appelé qui, quand, combien de temps
• des fiches de contact constituées à partir du trafic d'appels
• les adresses IP des sessions du softphone

Tout cela constitue des renseignements personnels au sens de la Loi 25 dès que l'on peut les associer à une personne. La transcription mérite d'être signalée : c'est un nouveau document dérivé de l'enregistrement, et il se conserve séparément.

Liste courte, et les réponses devraient se trouver sans passer par un appel de vente :

• Où les données sont-elles stockées, physiquement ?
• Avez-vous réalisé une évaluation pour les communications hors Québec, ou attendez-vous que je la fasse ?
• Qu'est-ce qui est conservé, combien de temps, et puis-je le modifier ?
• Qui, chez vous, peut accéder à mes enregistrements ?
• Qu’arrive-t-il à l’accès d’un employé qui quitte, et en combien de temps ? (Le jour même est la bonne réponse.)
• Votre liste de sous-traitants est-elle publiée et complète ?

Cette dernière est plus révélatrice qu'il n'y paraît. Un fournisseur dont la liste de sous-traitants est derrière un formulaire ou une connexion vous dit quelque chose sur son rapport à la divulgation en général.

Nous publions une liste de sous-traitants complète et nommée : sans formulaire, sans connexion. Nos données sont chez AWS dans us-east-1, aux États-Unis, ce qui est dit clairement plutôt que décrit comme « l'infonuagique ». L'enregistrement est désactivé par défaut. Nous ne nommons pas encore de responsable, parce que l'entité exploitante n'est pas encore constituée, et chaque page juridique le dit sur sa face tant que ce n'est pas fait.

Ce dernier point est une lacune, pas une caractéristique. Nous préférons qu'elle soit visible plutôt que sous-entendue.

Description de ce que la loi demande ; ceci ne constitue pas un avis juridique. Les obligations dépendent de ce que votre entreprise recueille et pourquoi. Validez votre situation auprès d'un conseiller qualifié au Québec. Nos propres lacunes sont énumérées sur sécurité.