Ce qu’est la Loi 25
Son nom au complet est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (2021, chapitre 25). Elle a été présentée sous le nom de projet de loi 64 et sanctionnée le 22 septembre 2021. On l’appelle Loi 25 d’après le numéro du chapitre, et à peu près personne ne l’appelle autrement.
Elle ne remplace rien. Elle modifie les lois qui existaient déjà, dont la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P‑39.1), qui est celle qui vise les entreprises. C’est une distinction utile quand vous cherchez le texte exact d’une obligation : la Loi 25 dit ce qui a changé, et P‑39.1 dit ce qui s’applique aujourd’hui.
Les obligations sont entrées en vigueur par étapes, sur trois ans : le 22 septembre 2022 pour le responsable désigné et le registre des incidents, le 22 septembre 2023 pour le consentement, la politique de confidentialité, l’évaluation avant toute communication hors Québec et la gouvernance, et le 22 septembre 2024 pour le droit à la portabilité. Tout est en vigueur maintenant.
À qui elle s’applique
À toute personne qui exploite une entreprise et qui recueille, détient, utilise ou communique des renseignements personnels dans le cadre de cette entreprise. Une clinique de trois personnes est visée au même titre qu’une chaîne. Il n’y a pas de seuil d’effectif ; le seuil de 25 employés dont on entend parler appartient à la Charte de la langue française et à l’inscription auprès de l’Office québécois de la langue française, pas à celle-ci.
Être constituée ailleurs ne règle pas la question. La Loi 25 s’attache aux renseignements personnels recueillis dans le cadre d’une entreprise au Québec, et l’emplacement du serveur n’exempte de rien : au contraire, puisque l’obligation d’évaluation se déclenche précisément quand l’information sort du Québec. Une entreprise ontarienne qui répond à des appels venant du Québec peut donc être à la fois assujettie et en train d’effectuer la communication transfrontalière que la loi lui demande d’évaluer au préalable.
Les obligations, une par une
Six, dans l’ordre où une entreprise les rencontre plutôt que dans l’ordre où la loi les numérote. Aucune ne demande un projet ; toutes demandent une décision, écrite quelque part, que quelqu’un puisse retrouver dans deux ans.
Un responsable, nommé publiquement
Depuis le 22 septembre 2022, une entreprise privée au Québec doit désigner une personne responsable de la protection des renseignements personnels. Par défaut c’est la personne ayant la plus haute autorité, et le rôle peut être délégué. Le titre et les coordonnées doivent être publiés, sur votre site Web ou, à défaut, par un autre moyen approprié. Désigner quelqu’un à l’interne sans le dire ne suffit pas.
Une politique de confidentialité publiée
Écrite en termes simples et clairs, elle dit ce que vous recueillez et pourquoi. Pour une ligne téléphonique, cela veut dire écrire noir sur blanc que vous détenez des registres d’appels, et pour combien de temps. C’est la page qu’un client mécontent lit en premier, et c’est aussi celle qu’on cite contre vous si elle décrit autre chose que ce que vous faites.
Un consentement valide, une fin à la fois
Le consentement doit être manifeste, libre, éclairé et donné à des fins précises, et il est demandé pour chacune de ces fins, en termes simples et clairs. Demandé par écrit, il se présente distinctement du reste. Un consentement qui n’est pas donné conformément à la loi est sans effet. Article 14 de la loi sur le secteur privé. C’est la plus exigeante des obligations pour une ligne téléphonique, et elle a sa page.
Une évaluation avant toute sortie du Québec
Avant de communiquer des renseignements personnels hors Québec, il faut évaluer s’ils y bénéficieraient d’une protection adéquate, au regard notamment du cadre juridique de la destination. C’est une évaluation, pas une interdiction : conserver des données hors Québec n’est pas défendu, le faire sans avoir évalué l’est. Et l’obligation vous appartient, à vous qui recueillez, pas à votre fournisseur.
Un registre des incidents, et un avis quand le risque est sérieux
Tout incident de confidentialité se consigne dans un registre, quelle qu’en soit la gravité. La Commission demande que le registre porte la description de l’incident, sa date, le nombre de personnes visées, l’évaluation du risque, les dates des avis et les mesures prises, et qu’il soit conservé au moins cinq ans après la connaissance de l’incident. L’avis à la Commission et aux personnes visées, lui, est dû seulement lorsque l’incident présente un risque de préjudice sérieux. Les orientations de la Commission décrivent les deux.
Des politiques de gouvernance, et le reste du calendrier
Depuis le 22 septembre 2023 s’ajoutent des politiques et pratiques de gouvernance (conservation, rôles du personnel, traitement des plaintes), la confidentialité par défaut pour un produit ou un service technologique, et l’anonymisation selon les meilleures pratiques lorsque vous choisissez de ne pas détruire. Depuis le 22 septembre 2024 s’ajoute le droit à la portabilité : remettre à une personne, sur demande, les renseignements qu’elle vous a fournis, dans un format technologique structuré et couramment utilisé.
Ce que ça veut dire pour un système téléphonique
Les obligations ne s’assouplissent pas parce que le canal est sonore. Une ligne d’affaires détient les numéros des appelants, les enregistrements s’ils sont activés, l’audio des messages vocaux et leur transcription, les journaux d’appels, les fiches de contact constituées à partir du trafic, et les adresses IP des sessions du softphone. Tout cela constitue des renseignements personnels dès qu’on peut les associer à une personne. La transcription mérite d’être signalée : c’est un nouveau document dérivé de l’enregistrement, et il se conserve séparément.
L’enregistrement et le consentement
Un message annonçant que l’appel « pourrait être enregistré » satisfait à l’information et ne constitue pas automatiquement un consentement valide. L’écart entre annoncer et obtenir est l’endroit où se situent la plupart des systèmes téléphoniques. Et « contrôle de la qualité », « formation » et « preuve en cas de litige » sont trois fins, pas une : le consentement obtenu pour la première ne couvre pas les deux autres.
Le registre des incidents
Pour une ligne téléphonique, la liste réaliste est plus banale qu’une fuite spectaculaire : une boîte vocale encore accessible à une personne partie, un enregistrement envoyé à la mauvaise adresse, un journal d’appels exporté puis laissé dans un espace partagé, un softphone resté connecté sur un portable rendu, quelqu’un qui réécoute des enregistrements sans raison de le faire. Ce dernier cas compte : l’utilisation non autorisée est un incident même si rien n’est sorti de l’entreprise et qu’aucun attaquant n’est en cause.
Où vivent les données d’appel
C’est l’obligation dont on parle le moins et celle qui rattrape presque tous les systèmes téléphoniques infonuagiques, parce que presque aucun ne conserve les données québécoises au Québec. Dans notre propre revue de huit fournisseurs concurrents, faite le 19 août 2026, aucun des huit ne nommait la Loi 25 où que ce soit sur son site. Une bonne réponse à « où mes données sont-elles stockées ? » nomme une région. Une mauvaise dit « l’infonuagique ».
La conservation
La conservation est une limite de finalité, pas un réglage de stockage. Un enregistrement gardé indéfiniment a survécu à la fin de contrôle de la qualité pour laquelle il a été recueilli, et c’est votre propre avis qu’un plaignant citera. La réponse à incident la moins coûteuse consiste à ne pas détenir l’enregistrement du tout : une suppression planifiée réduit la surface de façon permanente, et c’est une décision de configuration, pas un projet.
Où en est Ringfully
Nos données sont chez AWS dans us-east-1 : Virginie du Nord, aux États-Unis. Pas une région canadienne. Si vous êtes une entreprise québécoise, nous communiquer des renseignements personnels constitue une communication hors Québec, et la loi vous demande de l’évaluer avant de commencer. Nous préférons écrire cette phrase plutôt que vous la laisser découvrir dans un tableau de sous-traitants.
L’enregistrement est désactivé par défaut : une organisation qui ne l’a pas configuré n’enregistre pas. Quand il est activé, la règle appartient à l’entreprise et non à chaque personne, et réécouter un enregistrement est une permission distincte de celle d’en faire un. La conservation se règle plutôt que de rester ouverte : un administrateur fixe une durée par catégorie de données, une tâche nocturne supprime ce qui l’a dépassée sans archive derrière, et une organisation qui ne fixe rien suit 30 jours pour les enregistrements et 90 pour les messages vocaux.
Notre liste de sous-traitants est publiée intégralement, sans formulaire et sans connexion, et elle nomme chaque partie et ce qu’elle reçoit : c’est la moitié du travail de votre évaluation, faite à l’avance. Ce que nous détenons, qui peut y accéder et ce qui nous manque encore est énuméré sur sécurité.
Ce que nous ne pouvons pas faire à votre place
Nous ne déterminons pas vos fins, et aucun système téléphonique ne le peut. Nous ne pouvons pas non plus tenir votre registre : les incidents qu’il consigne sont les vôtres, et il vous suit même le jour où vous changez de fournisseur. Et nous ne pouvons pas vous dire que la communication hors Québec est acceptable ; ce jugement vous appartient, et tout fournisseur qui le porte à votre place vous renseigne sur le sérieux avec lequel il a lu la loi.
Nous ne nommons pas encore de responsable de la protection des renseignements personnels, parce que l’entité exploitante n’est pas encore constituée. C’est une lacune et non une caractéristique, et chaque page juridique du site le dit sur sa face tant que ce n’est pas réglé. Nous préférons qu’elle soit visible plutôt que sous-entendue.
Pour aller plus loin
Loi 25 : cinq obligations pour votre téléphonie
Le consentement à l’enregistrement d’appel
L’avis d’enregistrement : quoi dire
Registre des incidents et avis à la Commission
Où sont hébergées vos données d’appel
Servir le Québec de l’extérieur : Lois 96 et 25
Description de ce que la loi demande ; ceci ne constitue pas un avis juridique. Les obligations dépendent de ce que votre entreprise recueille et pourquoi. Validez votre situation auprès d’un conseiller qualifié au Québec.