Loi 25 au Québec : ce qu'elle change pour la génération de prospects

La « loi 25 » est le nom courant de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, adoptée au Québec. Elle a modifié notamment la loi sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur de manière progressive.

L'organisme de surveillance est la Commission d'accès à l'information du Québec (CAI). Elle publie des guides pratiques et dispose de pouvoirs de contrôle et de sanction. Le texte s'applique aux entreprises qui collectent, utilisent ou communiquent des renseignements personnels dans le cadre de leurs activités au Québec, y compris, selon les cas, des entreprises situées hors de la province.

Pour un professionnel qui génère des prospects, l'enjeu est simple : chaque formulaire rempli contient des renseignements personnels (nom, téléphone, courriel, parfois situation financière ou projet immobilier). Leur collecte et leur usage doivent respecter le cadre.

La loi 25 insiste sur la qualité du consentement. Il doit être donné à des fins spécifiques, être compris par la personne et être demandé pour chaque finalité distincte. En pratique, une case pré-cochée ou une mention noyée dans un long texte ne suffit pas.

Pour un formulaire de demande de soumission, cela signifie : expliquer clairement que le prospect demande à être contacté par votre entreprise, pour quel motif, et séparer les finalités. Recevoir une soumission hypothécaire est une chose ; recevoir votre infolettre en est une autre. Chaque usage supplémentaire mérite son propre consentement.

Quand les renseignements sont sensibles, par exemple des informations financières détaillées ou de santé, les exigences sont plus élevées. Ne collectez que ce qui est réellement nécessaire à l'étape où vous êtes.

Les entreprises doivent publier une politique de confidentialité rédigée en termes simples et clairs. Pour une landing page de génération de prospects, un lien bien visible vers cette politique, à proximité du formulaire, est le minimum.

La politique doit notamment indiquer qui collecte les renseignements, à quelles fins, qui y aura accès, combien de temps ils sont conservés et comment exercer ses droits (accès, rectification, retrait du consentement). Si vous utilisez des prestataires hors Québec, par exemple un CRM hébergé à l'étranger, la loi prévoit des obligations spécifiques d'évaluation avant de communiquer des renseignements hors de la province.

Les campagnes publicitaires reposent sur des technologies de suivi : pixel Meta, balise Google, outils d'analyse. La loi 25 encadre les technologies qui permettent d'identifier, de localiser ou de profiler une personne. Le principe général : ces fonctions doivent être désactivées par défaut, et la personne doit être informée et pouvoir les activer.

Concrètement, la plupart des sites québécois qui font de la publicité en ligne utilisent un bandeau de consentement aux témoins (cookies) qui ne déclenche aucune balise publicitaire avant l'accord du visiteur, et qui permet de refuser aussi facilement que d'accepter. C'est aussi la règle que nous appliquons sur nos propres sites.

La loi 25 prévoit qu'une personne soit responsable de la protection des renseignements personnels dans l'entreprise. Par défaut, il s'agit de la personne ayant la plus haute autorité, qui peut déléguer cette fonction. Ses coordonnées doivent être accessibles, généralement sur le site web.

Elle impose aussi de tenir un registre des incidents de confidentialité et, lorsqu'un incident présente un risque de préjudice sérieux, d'aviser la CAI et les personnes concernées. Pour une activité de génération de prospects, cela vise par exemple une fuite d'un fichier de demandes ou un accès non autorisé au CRM.

Enfin, les durées de conservation doivent être définies : un prospect qui n'a jamais donné suite n'a pas vocation à rester indéfiniment dans votre base.

La loi 25 favorise un modèle précis : celui où le prospect vous contacte directement, sous votre marque, en sachant à qui il confie ses renseignements. À l'inverse, l'achat de listes ou de leads revendus à plusieurs entreprises pose davantage de questions : le consentement initial couvrait-il vraiment un contact par votre entreprise ? Pouvez-vous le démontrer ?

Voici les vérifications que nous recommandons avant de lancer une campagne au Québec.

La loi 25 n'est pas le seul texte à connaître. Si vous relancez vos prospects par courriel ou par texto, la Loi canadienne anti-pourriel (LCAP), de portée fédérale, encadre l'envoi de messages électroniques commerciaux : consentement, identification de l'expéditeur, mécanisme de désabonnement. Une demande de soumission peut, selon les cas, fonder un consentement tacite limité dans le temps ; un consentement exprès reste la solution la plus sûre pour une relation durable.

Là encore, les modalités précises sont à vérifier auprès des sources officielles ou d'un juriste selon votre situation.

Nous gérons des campagnes au nom de nos clients, sous leur marque, dans leurs propres comptes publicitaires. Les prospects demandent eux-mêmes à être rappelés via un formulaire avec consentement explicite ; nous ne faisons aucun démarchage téléphonique et ne vendons aucun fichier. Le client reste propriétaire de ses données et de ses prospects.

Nous intégrons dès la conception les bons réflexes : bandeau de consentement sans balise par défaut, formulaires aux finalités claires, conservation de la preuve du consentement. Nous ne remplaçons pas un juriste, mais nous construisons un dispositif pensé pour faciliter votre conformité. Pour étudier votre projet au Québec, demandez un audit gratuit.