Avant d’importer une liste dans un outil de suivi, vérifiez ce que vous détenez, pourquoi vous le détenez et ce que vous avez le droit d’en faire.
Une liste de clients n’est pas seulement un fichier pratique. Un nom, un courriel ou un numéro de téléphone peut constituer un renseignement personnel. La protection de ces données vous concerne aussi quand un fournisseur les conserve pour vous. Champ d’application de la loi.
Voici des points de départ pour une entreprise de services au Québec. Ce guide est général : les règles applicables dépendent aussi de votre secteur et de l’utilisation envisagée.
1. Définissez une utilisation précise.
Avant la collecte, demandez-vous quels renseignements sont nécessaires et pour quel objectif. Un consentement ne rend pas nécessaire une collecte qui ne l’est pas. Une utilisation différente peut exiger un nouveau consentement, sauf exception prévue par la loi. Comprendre le consentement.
En pratique, séparez vos besoins. Un logiciel de demandes d’avis n’a généralement pas besoin de toutes les notes de votre dossier client. Préparez un export limité aux champs justifiés par votre usage.
2. Ne confondez pas rendez-vous et marketing.
Un numéro donné pour confirmer un rendez-vous ne constitue pas automatiquement une autorisation pour toutes les communications futures. Documentez les fins annoncées, le consentement obtenu et les changements d’utilisation.
La LCAP est une vérification distincte. Si votre message est commercial, elle exige notamment un consentement valable, l’identification de l’expéditeur et un mécanisme de désabonnement. Le consentement tacite dépend de conditions précises. Ne présumez pas qu’un ancien achat autorise indéfiniment des envois. Guide du CRTC.
Pour une demande d’avis, faites vérifier la qualification du message selon son contenu et son contexte. Ajouter une promotion peut changer l’analyse.
3. Vérifiez votre fournisseur.
Demandez où les données sont hébergées, qui peut y accéder et comment elles seront supprimées. Si des renseignements sont communiqués à l’extérieur du Québec, une évaluation des facteurs relatifs à la vie privée est requise avant cette communication. La CAI décrit aussi des obligations d’évaluation pour certains projets de systèmes traitant des renseignements personnels. Principaux changements de la Loi 25.
Conservez les réponses du fournisseur et faites examiner les engagements contractuels. Un bouton « supprimer » dans une interface ne dit pas, à lui seul, ce qui arrive aux copies et aux sauvegardes.
4. Prévoyez la fin de conservation.
Définissez un calendrier lié à vos besoins et aux obligations légales. Une fois les fins accomplies, les renseignements doivent être détruits ou anonymisés conformément aux règles applicables, sous réserve des délais imposés par la loi. L’anonymisation ne consiste pas simplement à effacer un nom. Conservation et destruction : explications de la CAI.
La copie utilisée pour une campagne et le dossier conservé pour la comptabilité n’ont pas nécessairement la même durée de vie. Évitez de garder tous les exports « au cas où ».
5. Organisez les demandes des clients.
Identifiez le responsable de la protection des renseignements personnels et rendez ses coordonnées accessibles, comme l’exige la loi. Prévoyez un point d’entrée pour les demandes d’accès, de rectification ou de retrait du consentement. Responsabilités présentées par la CAI.
Un retrait ne signifie pas automatiquement que chaque document doit disparaître immédiatement : certaines obligations de conservation peuvent demeurer. Faites traiter la demande selon les règles applicables et distinguez la conservation d’un dossier de son utilisation pour de futurs envois.
