Loi 25 et protection des données : ce que chaque entrepreneur doit savoir

Qu'est-ce que la Loi 25

La Loi 25 (anciennement projet de loi 64) est la modernisation de la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Entrée en vigueur progressivement depuis 2022, ses dernières dispositions s'appliquent pleinement en 2026. Cette loi affecte toutes les entreprises qui collectent des renseignements personnels au Québec, y compris les entrepreneurs en construction.

La Loi 25 s'inspire du RGPD européen et impose des obligations strictes concernant :

• La collecte de renseignements personnels
• Le consentement des personnes concernées
• La conservation et la destruction des données
• La transparence sur l'utilisation des données
• La notification en cas d'incident de confidentialité

En tant qu'entrepreneur en construction, vous collectez quotidiennement des données personnelles : noms, adresses, numéros de téléphone, courriels, informations de paiement de vos clients. La Loi 25 vous concerne directement.

Vos obligations en tant qu'entrepreneur

Voici les principales obligations imposées par la Loi 25 :

• Désigner un responsable : nommez une personne responsable de la protection des renseignements personnels dans votre entreprise (par défaut, c'est le dirigeant)
• Politique de confidentialité : publiez une politique claire sur votre site web et rendez-la accessible à vos clients
• Évaluation des risques : avant tout nouveau projet impliquant des données personnelles, évaluez les risques pour la vie privée
• Registre des incidents : tenez un registre de tout incident de confidentialité (piratage, perte de données, accès non autorisé)
• Notification obligatoire : en cas d'incident présentant un risque sérieux, vous devez notifier les personnes touchées et la Commission d'accès à l'information
• Destruction des données : détruisez les renseignements personnels lorsqu'ils ne sont plus nécessaires

Le consentement : la pierre angulaire

La Loi 25 renforce considérablement les exigences en matière de consentement :

• Consentement manifeste : le consentement doit être clair, libre et éclairé — pas de cases pré-cochées
• Finalité précise : vous devez expliquer pourquoi vous collectez chaque donnée et à quoi elle servira
• Droit de retrait : le client peut retirer son consentement à tout moment
• Minimalisme : ne collectez que les données strictement nécessaires à la prestation de vos services

En pratique, pour un entrepreneur en construction, cela signifie :

• Informer le client lors de la collecte de ses coordonnées que vous les utiliserez pour la gestion du projet, la facturation et la communication
• Obtenir un consentement distinct si vous souhaitez utiliser ses données pour du marketing (ex. : envoi de promotions)
• Ne pas partager les données du client avec des tiers sans son accord

Protéger les données de vos clients dans votre CRM

Votre CRM est l'endroit où se concentrent la majorité des données personnelles de vos clients. Voici les bonnes pratiques :

• Accès contrôlé : utilisez les permissions par rôle pour que chaque employé n'accède qu'aux données nécessaires à ses fonctions
• Authentification sécurisée : mots de passe robustes et authentification à deux facteurs pour tous les utilisateurs
• Chiffrement : les données sensibles (informations de paiement, numéros d'assurance sociale) doivent être chiffrées
• Sauvegardes : des sauvegardes régulières protègent contre la perte de données
• Journalisation : un journal des accès permet de tracer qui a consulté quelles données et quand

Horizon CRM intègre ces mesures de sécurité par défaut : gestion des permissions granulaire, connexion sécurisée, données hébergées au Canada et chiffrement des données sensibles.

Les sanctions en cas de non-conformité

La Loi 25 a considérablement augmenté les sanctions :

• Amendes administratives : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial
• Amendes pénales : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial
• Droit privé d'action : les personnes affectées peuvent poursuivre votre entreprise en dommages-intérêts
• Dommages punitifs : un minimum de 1 000 $ par personne en cas d'atteinte intentionnelle ou de négligence grossière

Même si ces montants maximaux visent les grandes entreprises, les PME de construction ne sont pas à l'abri. Une plainte d'un client mécontent peut déclencher une enquête de la Commission d'accès à l'information et mener à des sanctions significatives.

La conformité à la Loi 25 n'est pas seulement une obligation légale — c'est aussi un argument de confiance auprès de vos clients qui sont de plus en plus sensibles à la protection de leurs données personnelles.