Avant de confier ses appels à une réceptionniste IA, une entreprise de plomberie doit vérifier cinq choses : qui est son responsable de la protection des renseignements personnels, si un contrat écrit encadre ce que le fournisseur fait des renseignements de ses clients, où ces renseignements sont hébergés, comment un incident de confidentialité serait traité et ce que l'on dit aux clients qui appellent. Le fournisseur agit pour votre compte, mais c'est votre entreprise qui reste responsable des renseignements qu'elle détient.
Cet article vulgarise des obligations de la Loi sur la protection des renseignements personnels dans le secteur privé, telles qu'elles se lisent en septembre 2026. Il ne constitue pas un avis juridique. Pour votre situation précise, consultez la Commission d'accès à l'information ou un juriste.
La Loi 25 s'applique-t-elle vraiment à une entreprise de plomberie ?
Oui. « Loi 25 » est le nom courant d'une loi adoptée en 2021 qui a modifié en profondeur la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Selon son article 1, cette loi vise les renseignements personnels recueillis dans le cadre de l'exploitation d'une entreprise au sens du Code civil, ce qui comprend la prestation de services. Une entreprise de plomberie, avec ou sans employés, est donc concernée.
Un appel de service contient presque toujours des renseignements personnels : le nom du client, son numéro de téléphone, son adresse, ses disponibilités, parfois des détails sur son logement ou sur la présence d'une personne âgée à la maison. L'article 1 précise aussi que la loi s'applique quelle que soit la forme des renseignements, y compris sonore. Un enregistrement, une transcription ou un résumé d'appel sont donc visés.
Qui est responsable de la protection des renseignements personnels chez vous ?
Par défaut, c'est la personne qui a la plus haute autorité dans l'entreprise : le propriétaire ou le président. L'article 3.1 prévoit qu'elle exerce la fonction de responsable de la protection des renseignements personnels et qu'elle peut la déléguer par écrit, en tout ou en partie. Le titre et les coordonnées de ce responsable doivent être publiés sur le site Internet de l'entreprise. La Commission d'accès à l'information rappelle que la personne ayant la plus haute autorité demeure imputable même après une délégation.
L'article 3.2 exige en outre des politiques et des pratiques de gouvernance proportionnées à la nature et à l'importance des activités de l'entreprise. Pour une petite entreprise de plomberie, cela peut tenir en quelques pages, mais ces pages doivent exister et des informations détaillées à leur sujet doivent être publiées en termes simples et clairs.
Le fournisseur peut-il recevoir les renseignements de vos clients sans leur consentement ?
Oui, à des conditions précises. L'article 18.3 permet de communiquer un renseignement personnel sans consentement à un fournisseur lorsque c'est nécessaire à l'exécution du mandat ou du contrat de service que vous lui confiez. Dans ce cas, vous devez :
- confier le mandat ou le contrat par écrit ;
- y indiquer les mesures que le fournisseur doit prendre pour protéger la confidentialité des renseignements, pour qu'ils ne servent qu'à l'exécution du contrat et pour qu'il ne les conserve pas après son expiration.
Le même article oblige le fournisseur à aviser sans délai votre responsable de toute violation ou tentative de violation des obligations de confidentialité, et à lui permettre d'effectuer toute vérification relative à cette confidentialité. Concrètement, de simples conditions d'utilisation acceptées en ligne ne suffisent pas toujours : lisez-les en ayant ces exigences en tête.
Faut-il faire une évaluation des facteurs relatifs à la vie privée ?
C'est probable, et elle doit être proportionnée. Deux articles peuvent s'appliquer.
Lors de l'acquisition d'un nouveau système
L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services impliquant des renseignements personnels. Le responsable doit être consulté dès le début du projet. La loi précise que l'évaluation est proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Pour une petite entreprise, cela peut être un document court, mais réfléchi.
Lorsque les renseignements sortent du Québec
L'article 17 exige une EFVP avant de communiquer un renseignement personnel à l'extérieur du Québec, et aussi lorsque vous confiez à une personne ou à un organisme à l'extérieur du Québec la tâche de recueillir, d'utiliser ou de conserver ces renseignements pour votre compte. L'évaluation tient compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection, y compris contractuelles, et du régime juridique de l'endroit où il serait communiqué. La communication doit ensuite faire l'objet d'une entente écrite.
Attention à un piège : « hébergé au Canada » ne veut pas dire « hébergé au Québec ». Un serveur en Ontario est à l'extérieur du Québec au sens de cet article. Demandez à tout fournisseur où se trouvent précisément ses serveurs et ceux de ses propres sous-traitants, par exemple pour la reconnaissance vocale.
Que devez-vous dire aux clients qui appellent ?
Au moment de la collecte, l'article 8 exige d'informer la personne, en termes simples et clairs :
- des fins pour lesquelles les renseignements sont recueillis ;
- des moyens par lesquels ils sont recueillis ;
- de ses droits d'accès et de rectification ;
- de son droit de retirer son consentement à la communication ou à l'utilisation des renseignements.
Le cas échéant, la personne est aussi informée du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements, et de la possibilité qu'ils soient communiqués à l'extérieur du Québec. D'autres informations, comme la durée de conservation ou les coordonnées du responsable, doivent être fournies sur demande. Par ailleurs, l'article 8.2 exige de publier une politique de confidentialité lorsque les renseignements sont recueillis par un moyen technologique.
Au téléphone, une courte phrase d'accueil suivie d'un renvoi à votre politique de confidentialité est une façon réaliste de répondre à ces exigences. Elle peut indiquer que l'appel est traité par une réceptionniste IA, qu'il est transcrit pour traiter la demande et où trouver la politique. Annoncer d'emblée qu'il s'agit d'une IA est aussi une bonne pratique de transparence envers vos clients.
Enregistrement, transcription et technologies d'identification
Un enregistrement ou une transcription est un moyen de collecte comme un autre : il doit servir une fin déterminée avant la collecte (article 4) et ne recueillir que les renseignements nécessaires à cette fin (article 5). Si l'outil comporte des fonctions permettant d'identifier, de localiser ou de profiler la personne, l'article 8.1 impose d'en informer la personne au préalable ; la Commission précise que ces fonctions ne peuvent pas être activées par défaut. Demandez au fournisseur si son outil comporte de telles fonctions.
Que se passe-t-il en cas de fuite de données ?
Un incident de confidentialité, selon l'article 3.6, c'est un accès, une utilisation ou une communication non autorisés par la loi, ou la perte d'un renseignement personnel. Si vous avez des motifs de croire qu'un incident s'est produit, l'article 3.5 vous oblige à prendre des mesures raisonnables pour diminuer les risques et éviter qu'il se reproduise. Si l'incident présente un risque de préjudice sérieux, vous devez aviser avec diligence la Commission d'accès à l'information et les personnes concernées.
L'article 3.8 impose de tenir un registre de tous les incidents, graves ou non, et d'en transmettre une copie à la Commission sur demande. La Commission précise que les renseignements du registre doivent être mis à jour et conservés pendant au moins cinq ans. Si l'incident survient chez votre fournisseur, c'est l'avis prévu à l'article 18.3 qui vous permettra de remplir ces obligations : d'où l'importance du contrat.
Combien de temps garder les résumés et les transcriptions ?
Pas plus longtemps que nécessaire. L'article 23 prévoit que lorsque les fins de la collecte sont accomplies, les renseignements sont détruits ou anonymisés, sous réserve d'un délai de conservation prévu par une loi. Fixez une durée de conservation cohérente avec vos besoins réels, par exemple le suivi du dossier et de la garantie des travaux, et vérifiez que le fournisseur peut l'appliquer. N'oubliez pas que, selon l'article 27, un client peut demander d'avoir accès aux renseignements que vous détenez sur lui, ce qui peut inclure la transcription de son appel.
Les enjeux ne sont pas théoriques : l'article 90.12 fixe le montant maximal d'une sanction administrative pécuniaire à 10 000 000 $ ou 2 % du chiffre d'affaires mondial de l'exercice précédent pour une entreprise autre qu'une personne physique, si ce dernier montant est plus élevé.
Quelles questions poser à tout fournisseur de réceptionniste IA ?
- Où, précisément, les enregistrements, transcriptions et résumés sont-ils hébergés : dans quelle province, chez quel hébergeur ?
- Quels sous-traitants traitent les appels (reconnaissance vocale, modèle de langage, téléphonie) et où sont-ils situés ?
- Le contrat indique-t-il par écrit les mesures de confidentialité, l'usage limité aux fins du contrat et la non-conservation après son expiration ?
- Les renseignements de mes clients servent-ils à entraîner des modèles ou à toute autre fin que mon service ?
- Dans quel délai et par quel moyen serai-je avisé d'un incident de confidentialité ?
- Puis-je effectuer ou obtenir des vérifications sur la confidentialité des renseignements ?
- Quelle durée de conservation puis-je fixer, et comment se fait la destruction ?
- Qui, chez vous, a accès aux appels de mes clients ?
- Les appels sont-ils enregistrés, transcrits ou les deux ?
- L'outil comporte-t-il des fonctions d'identification, de localisation ou de profilage ?
- Comment puis-je extraire les renseignements d'un client qui exerce son droit d'accès ?
- Pouvez-vous m'aider à formuler la phrase d'accueil qui informe les appelants ?
Un fournisseur sérieux répond à ces questions par écrit, sans détour.
En résumé
Confier ses appels à une IA est compatible avec la Loi 25, à condition de garder la maîtrise : un responsable désigné, un contrat écrit, une évaluation proportionnée, un registre des incidents et des clients informés. Pour aller plus loin sur l'organisation des appels, lisez notre article sur le service de réponse, la boîte vocale et la réceptionniste IA.
Zenicall héberge les données des appels au Canada, et le service est conçu pour s'inscrire dans les obligations de ses clients en vertu de la Loi 25 : votre entreprise reste responsable des renseignements de sa clientèle, et Zenicall agit comme sous-traitant. Posez-nous les questions ci-dessus comme à tout autre fournisseur. Nos pratiques sont décrites sur la page sécurité et Loi 25, et notre service pour les entreprises de plomberie sur la page réceptionniste IA pour plombiers.