Loi 25 : ce que ça change concrètement pour un inspecteur en bâtiment
Beaucoup d'inspecteurs pensent que la Loi 25 vise les grandes entreprises technologiques. En réalité, un inspecteur travaillant seul détient exactement le type de renseignements que la loi encadre le plus strictement.
Ce texte est fourni à titre informatif et ne constitue pas un avis juridique. Pour votre situation précise, consultez un conseiller juridique.
Pourquoi vous êtes concerné
La Loi 25 — officiellement la loi modernisant des dispositions législatives en matière de protection des renseignements personnels — s'applique à toute entreprise qui exerce au Québec, quelle que soit sa taille. Un travailleur autonome est une entreprise au sens de la loi.
Regardez ce que contient un dossier d'inspection typique :
- Le nom, le téléphone et le courriel de votre client
- L'adresse résidentielle du bâtiment inspecté
- Des photos de l'intérieur d'une propriété privée
- Une signature manuscrite ou électronique
- Parfois des informations sur la transaction immobilière en cours
C'est un dossier de renseignements personnels sensibles. Le fait qu'il soit stocké dans un dossier sur votre ordinateur portable plutôt que dans une base de données ne change rien à vos obligations.
Les cinq obligations qui vous touchent directement
1. Désigner un responsable de la protection des renseignements personnels
Toute entreprise doit en désigner un. Dans une entreprise d'une personne, c'est vous. L'obligation n'est pas d'embaucher quelqu'un — c'est que le rôle soit identifié, et que ses coordonnées soient publiées, typiquement sur votre site web.
2. Obtenir un consentement clair et distinct
Le consentement doit être demandé de façon séparée pour chaque finalité. Une case unique qui couvre à la fois « réaliser l'inspection » et « m'envoyer votre infolettre » ne respecte pas la loi.
En pratique : votre contrat de service couvre la réalisation de l'inspection. Si vous voulez ensuite envoyer des communications commerciales, il faut une case distincte, non précochée.
3. Informer au moment de la collecte
Au moment où vous recueillez les renseignements, la personne doit savoir : pourquoi vous les recueillez, comment vous les utiliserez, à qui vous pourriez les transmettre, et quels sont ses droits.
Une courte mention dans votre contrat de service et une politique de confidentialité accessible sur votre site suffisent généralement.
4. Répondre aux demandes d'accès et de rectification
Un client peut vous demander une copie des renseignements que vous détenez sur lui, ou leur correction. Vous devez répondre dans les 30 jours.
La question pratique à se poser : si un client vous écrivait aujourd'hui, combien de temps vous faudrait-il pour rassembler tout ce que vous détenez sur lui — courriels, photos, contrat, rapport, facture? Si la réponse dépasse une heure, votre organisation est le vrai problème.
5. Signaler les incidents de confidentialité
En cas d'incident présentant un risque de préjudice sérieux, vous devez aviser la Commission d'accès à l'information et les personnes concernées, et tenir un registre des incidents.
Un incident, ce n'est pas seulement un piratage. C'est aussi : un portable perdu contenant des dossiers, un rapport envoyé au mauvais destinataire, une clé USB égarée, un compte courriel compromis.
Le point le plus souvent négligé
La loi exige une durée de conservation déterminée. Vous ne pouvez pas conserver indéfiniment les dossiers « au cas où ».
Cela crée une tension réelle avec votre gestion du risque professionnel, puisqu'une réclamation peut survenir des années après une inspection. La solution n'est pas de tout garder pour toujours, ni de tout détruire rapidement : c'est d'établir une politique de conservation écrite, avec des durées justifiées par vos obligations professionnelles et légales, puis de l'appliquer réellement.
Le cas particulier des photos
Les photos d'inspection méritent une attention distincte. Vous photographiez l'intérieur du domicile d'une personne. Ces images peuvent contenir bien plus que ce que vous documentez : effets personnels, documents laissés sur une table, photos de famille, parfois les occupants eux-mêmes.
Trois réflexes utiles :
- Ne photographiez que ce qui documente une observation.
- Évitez de capter des personnes ou des documents identifiables lorsque c'est évitable.
- Ne partagez jamais de photos d'inspection à des fins promotionnelles sans consentement écrit explicite.
Vos fournisseurs vous engagent aussi
Si vous utilisez un logiciel infonuagique, un service de courriel ou un outil de signature électronique, vos renseignements y transitent. Vous demeurez responsable.
Deux questions à poser à chaque fournisseur :
- Où les données sont-elles hébergées? Une communication hors Québec exige une évaluation des facteurs relatifs à la vie privée.
- Quelles mesures de sécurité sont en place? Chiffrement, contrôle des accès, journalisation, sauvegardes.
Liste de vérification
- Un responsable de la protection des renseignements personnels est désigné et ses coordonnées sont publiées
- Une politique de confidentialité est accessible publiquement
- Le consentement commercial est distinct du contrat de service
- Une politique de conservation écrite existe, avec des durées justifiées
- Les dossiers sont retrouvables par client en quelques minutes
- Un registre des incidents de confidentialité est prêt à être utilisé
- Les fournisseurs sont documentés, avec le lieu d'hébergement des données
- L'accès aux dossiers est protégé par une authentification forte
- Les rapports sont transmis par lien sécurisé plutôt qu'en pièce jointe non protégée
Par où commencer
Si tout cela paraît lourd, commencez par le plus simple et le plus visible : publiez une politique de confidentialité, désignez-vous comme responsable, et séparez le consentement commercial du contrat de service. Ces trois gestes règlent une bonne partie de ce qui est immédiatement vérifiable.
Le reste — conservation, incidents, fournisseurs — se construit ensuite, et gagne énormément à être porté par vos outils plutôt que par votre mémoire.
La confidentialité intégrée dès la conception
Consentements, accès contrôlés, liens sécurisés, politique de conservation et journalisation.
Voir l'approche DomiSpect