La Loi 25 pour les courtiers d'assurance du Québec : ce qu'elle vous demande, et ce qu'elle demande à votre CRM
La Loi 25 du Québec s'applique à un cabinet de toute taille qui détient des renseignements personnels sur des personnes au Québec. Ce guide présente ce que la loi exige, dans l'ordre de son entrée en vigueur, et les volets qui touchent le système où vivent vos dossiers clients.
Information générale à l'intention des courtiers, et non un avis juridique. La Commission d'accès à l'information du Québec (CAI) publie les orientations qui font autorité, et vos obligations dépendent de votre pratique.
Ce qu'est la Loi 25
La Loi 25 est le nom courant de la loi, adoptée en 2021 sous le nom de projet de loi 64, qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Elle est entrée en vigueur en trois étapes, et la CAI en assure l'application.
22 septembre 2022
Une personne responsable de la protection des renseignements personnels, et l'obligation de consigner et de déclarer les incidents de confidentialité.
22 septembre 2023
L'essentiel de la loi : politiques de gouvernance publiées, consentement resserré, évaluations des facteurs relatifs à la vie privée, destruction ou anonymisation, transparence sur les décisions automatisées, et les nouvelles sanctions.
22 septembre 2024
Le droit à la portabilité des renseignements.
S'applique-t-elle à votre cabinet?
Il n'y a aucune exemption pour les petites entreprises. Un cabinet d'une seule personne au Québec qui conserve des noms, des adresses, des dates de naissance, des dossiers de conduite ou des historiques de sinistres détient des renseignements personnels dans le cadre de l'exploitation d'une entreprise, ce que la loi vise.
Un cabinet établi dans une autre province qui sert des clients au Québec ne devrait pas présumer qu'il échappe à la loi. La question de savoir si elle s'applique à vous, et comment, relève d'un conseiller juridique; le point de départ pratique est de traiter les dossiers de vos clients québécois selon la norme de la Loi 25.
Ce qu'elle demande à un cabinet
- Désigner une personne responsable. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. La fonction peut être déléguée par écrit, et le titre et les coordonnées de la personne doivent être publiés sur votre site Web.
- Tenir un registre des incidents. Chaque incident de confidentialité est consigné. Lorsqu'un incident présente un risque de préjudice sérieux, la CAI et les personnes concernées doivent être avisées.
- Publier votre façon de traiter les renseignements personnels. Des politiques et pratiques de gouvernance en langage clair, et une politique de confidentialité partout où vous recueillez des renseignements par un moyen technologique, comme un formulaire de soumission en ligne.
- Obtenir un consentement valable. Le consentement doit être manifeste, libre et éclairé, donné à des fins spécifiques, et demandé pour chacune de ces fins distinctement de toute autre information.
- Évaluer avant de bâtir ou d'envoyer des renseignements hors du Québec. Une évaluation des facteurs relatifs à la vie privée (EFVP) est requise pour un projet d'acquisition, de développement ou de refonte d'un système qui traite des renseignements personnels, et avant de communiquer des renseignements personnels à l'extérieur du Québec.
- Dire quand une décision est automatisée. Si une décision concernant une personne est fondée exclusivement sur un traitement automatisé, elle doit en être informée et, sur demande, obtenir les raisons et la possibilité de la faire réviser par une personne.
- Répondre aux demandes d'accès, de rectification et de portabilité. Depuis septembre 2024, une personne peut demander les renseignements informatisés qu'elle a fournis dans un format technologique structuré et couramment utilisé.
- Détruire ou anonymiser à la fin. Une fois atteintes les fins pour lesquelles un renseignement a été recueilli, il est détruit ou anonymisé, sous réserve d'un délai de conservation prévu par une autre loi.
Ce qui est en jeu
La loi prévoit des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des amendes pénales pouvant atteindre 25 millions de dollars ou 4 %. Ces plafonds visent les grandes entreprises; pour un petit cabinet, les risques concrets sont un incident à déclarer auquel il n'était pas préparé et une demande de client à laquelle il ne peut pas répondre.
Là où votre CRM entre en jeu
Un CRM ne rend pas un cabinet conforme à la Loi 25. C'est toutefois là que se trouve la majorité des renseignements personnels; cinq des obligations ci-dessus deviennent donc des questions à poser à son fournisseur.
1. Où les données sont-elles hébergées, et qui les traite ailleurs?
Il vous faut la liste des fournisseurs de services et leurs emplacements pour réaliser l'évaluation relative aux renseignements qui sortent du Québec.
2. Quelque chose décide-t-il à propos d'un client sans intervention humaine?
Un score qu'un courtier lit avant d'agir est une aide à la décision. Un système qui refuse, tarife ou annule de lui-même prend une décision automatisée, avec les obligations qui s'ensuivent.
3. Pouvez-vous extraire le dossier d'un client?
Les demandes d'accès et de portabilité se traitent à partir d'une exportation, dans un format que le client peut utiliser.
4. Pouvez-vous supprimer le dossier d'un client?
La destruction doit être possible en pratique, y compris dans les sauvegardes une fois leur période de conservation écoulée.
5. Qui peut voir quoi, et le fournisseur vous avisera-t-il d'un incident?
Un accès limité selon le rôle et un engagement à vous aviser rapidement sont ce qui vous permet de tenir votre propre registre et de respecter vos propres délais.
Ce que CovioIQ fait, et ne fait pas
CovioIQ est bâti autour de la LPRPDE et de la Loi 25 du Québec, et ne détient aucune certification en vertu de l'une ou de l'autre. Les faits qui se rapportent aux cinq questions :
- Les dossiers de clients et de polices sont hébergés au Canada, à Montréal (AWS ca-central-1). Certains fournisseurs de services traitent des données limitées à l'extérieur du Canada, dont le fournisseur du modèle d'IA de l'assistant optionnel Alex; chacun d'eux, ce qu'il reçoit et son emplacement figurent à la page Sous-traitants.
- Les scores de risque d'attrition et de prospects sont des ensembles de règles transparentes, avec les raisons affichées à côté de chaque score. Ils classent les clients à appeler; ils ne refusent, ne tarifent et n'annulent rien.
- Les clients et les polices s'exportent en CSV quand vous le voulez, et votre compte et ses données peuvent être supprimés à partir des Paramètres.
- L'accès est limité selon le rôle, et les dossiers de chaque cabinet sont cloisonnés au niveau de la base de données.
- Votre responsable de la protection des renseignements personnels, votre registre des incidents, vos formules de consentement, vos évaluations et vos politiques publiées demeurent votre responsabilité. CovioIQ ne les fournit pas.
Questions fréquentes
- La Loi 25 s'applique-t-elle à un petit cabinet de courtage d'assurance?
- Oui. La loi s'applique à toute entreprise qui détient des renseignements personnels au Québec, sans exemption fondée sur la taille. C'est l'effort qui varie avec la taille, pas l'obligation.
- Les données des clients doivent-elles demeurer au Québec?
- La Loi 25 n'interdit pas de communiquer des renseignements personnels à l'extérieur du Québec. Elle exige d'abord une évaluation des facteurs relatifs à la vie privée, et que les renseignements bénéficient d'une protection adéquate là où ils sont envoyés.
- Un score de risque d'attrition est-il une décision automatisée au sens de la Loi 25?
- L'obligation vise les décisions fondées exclusivement sur un traitement automatisé. Un score qu'un courtier consulte avant de décider quoi faire n'est pas, à première vue, une telle décision; un renouvellement refusé par un logiciel sans intervention humaine en serait une. En cas de doute, consultez un conseiller juridique.
Voyez où vos dossiers seraient hébergés
La page Sous-traitants énumère chaque fournisseur et son emplacement, et la page Sécurité décrit les mesures en place. Lisez les deux avant de décider.
Voir aussi : LPRPDE et Loi 25 pour un CRM de courtage, extraire les données clients d'un système.