Blogue

Loi 25 et LCAP : ce qu’il faut savoir avant d’automatiser vos relances

21-08-2026 · 9 min

Une relance automatique paraît anodine. Juridiquement, elle déclenche deux régimes distincts : la Loi 25 parce qu’elle traite un renseignement personnel, et la Loi canadienne anti-pourriel parce qu’elle envoie un message électronique commercial.

Les deux se confondent facilement. Elles ne protègent pourtant pas la même chose, ne relèvent pas du même organisme, et ne se satisfont pas des mêmes gestes.

Loi 25 — les éléments clés

La loi québécoise sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, impose une série d’obligations dont voici celles qui touchent directement l’automatisation.

• Un responsable désigné. Vous devez publier le titre et les coordonnées de la personne responsable de la protection des renseignements personnels. Le nom n’est pas exigé — le titre et un moyen de la joindre le sont.
• Un avis de collecte. Au moment de recueillir un renseignement, vous devez informer la personne des fins, des moyens, de ses droits d’accès et de rectification, de son droit de retirer son consentement, et de la possibilité que le renseignement soit communiqué hors Québec.
• Une évaluation avant d’adopter un système. L’article 3.3 l’impose pour tout projet d’acquisition, de développement ou de refonte d’un système ou d’un service électronique impliquant le cycle de vie de renseignements personnels. Le transfert hors Québec n’est pas une condition.
• Une évaluation avant tout transfert hors Québec. L’article 17 vise les communications à l’extérieur du Québec — pas à l’extérieur du Canada — en tenant compte du régime juridique du lieu de traitement.
• Un registre des incidents. Tout incident de confidentialité doit être consigné ; ceux qui présentent un risque de préjudice sérieux doivent être déclarés aux personnes concernées et à la Commission d’accès à l’information.
• La portabilité. Une personne peut demander à recevoir, dans un format technologique structuré et couramment utilisé, les renseignements qu’elle vous a fournis.

Le piège de l’article 12.1

On lit souvent que la Loi 25 « encadre les décisions automatisées ». C’est imprécis, et l’imprécision coûte cher dans les deux sens.

L’article 12.1 vise les décisions fondées exclusivement sur un traitement automatisé. La loi ne précise pas quel degré d’intervention humaine suffit pour qu’une décision cesse d’être « exclusivement » automatisée, et la Commission d’accès à l’information avait elle-même signalé, dans son mémoire sur le projet de loi 64, le risque qu’une intervention minime contourne la disposition.

Par prudence, une révision humaine devrait être réelle, documentée, et effectuée par une personne ayant l’autorité et l’information nécessaires pour modifier la décision. C’est une bonne pratique de gouvernance — pas un seuil juridique établi.

LCAP — les éléments clés

La Loi canadienne anti-pourriel régit les messages électroniques commerciaux. Une relance peut en constituer un lorsqu’un de ses objets encourage une activité commerciale. Des exceptions et dispenses existent toutefois — notamment à l’article 6(6) pour certains messages purement transactionnels ou factuels, et au règlement pour ceux destinés à faire respecter un droit ou une obligation juridique. Le contenu et le contexte de chaque scénario doivent être analysés avant de l’automatiser. La loi est appliquée par le CRTC.

Trois choses doivent être réunies pour chaque envoi.

• Le consentement. Exprès — donné explicitement, et il n’expire pas — ou tacite.
• L’identification. Le message doit indiquer qui l’envoie et pour le compte de qui, avec des coordonnées valides pendant au moins 60 jours après l’envoi.
• Le désabonnement. Un mécanisme simple, présent dans chaque message, fonctionnel pendant au moins 60 jours, et la demande doit être honorée dans les 10 jours ouvrables.

Le consentement tacite, et sa date de péremption

C’est là que l’automatisation crée le risque, parce que le consentement tacite s’éteint tout seul pendant qu’un système continue d’envoyer.

• Deux ans après un achat, une location ou une entente d’affaires acceptée.
• Pour un contrat écrit : pendant toute son existence, et deux ans après sa fin — pas deux ans après sa signature.
• Six mois après une demande ou une candidature, mais seulement lorsqu’elle porte sur les biens, services, terrains, droits ou occasions visés par la définition légale.
• Une adresse professionnelle publiée bien en vue, sans mention interdisant les messages, et pertinente aux fonctions de la personne — sans période fixe.
• Toutes ces bases cessent dès qu’un désabonnement est exprimé.

Un système qui relance un contact vingt-cinq mois après le dernier achat envoie un message sans consentement valide. Personne ne s’en apercevra — jusqu’à ce que quelqu’un s’en aperçoive.

Les sanctions, et une nuance qu’on oublie

Sous la LCAP, la sanction administrative pécuniaire maximale est de un million de dollars pour une personne physique et de dix millions pour toute autre personne. Du côté de la Loi 25, il faut distinguer deux régimes : les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, tandis que les amendes pénales peuvent atteindre 25 millions ou 4 %, selon le plus élevé. Confondre les deux montants est une erreur fréquente.

La nuance oubliée : le droit privé d’action prévu par la LCAP, qui aurait permis à toute personne de poursuivre directement, a été suspendu indéfiniment par décret en juin 2017, avant même son entrée en vigueur. Il n’a pas été abrogé. Le reste de la loi, lui, s’applique pleinement.

Ce que ça exige d’un outil d’automatisation

Si vous confiez vos relances à un système, quatre capacités cessent d’être du confort.

• Une trace par envoi — quel message, à qui, à quel moment, sur quel consentement. C’est ce qui vous permet de répondre à une plainte deux ans plus tard.
• Le respect du désabonnement dans les délais, y compris quand la demande arrive par un autre canal que le lien.
• Une distinction entre ce qui part seul et ce qui attend une décision humaine, décidée à l’avance et non improvisée.
• Une durée de conservation définie, appliquée, et documentée.

Ce que nous ne prétendrons pas

Probaro ne vous rend conforme ni à la Loi 25, ni à la LCAP. Aucun logiciel ne le peut : la conformité dépend de vos politiques, de vos consentements et de vos décisions.

Ce que nous fournissons, c’est la trace : quelle action, pour quel dossier, à quel moment, approuvée par qui. Et un registre de nos fournisseurs et lieux de traitement que votre conseiller peut verser à son évaluation au lieu de partir de zéro.

Probaro ne garantit pas la conformité à une loi ou à une norme. Cet article fournit de l’information générale à la date indiquée ; il ne constitue pas un avis juridique et ne remplace pas l’analyse d’un conseiller qualifié tenant compte de votre situation.

Questions fréquentes