La Loi 25 pour le courtier immobilier
Ce que la Loi 25 exige d'un courtier immobilier au Québec, d'après le résumé de la Commission d'accès à l'information, et les questions à poser sur votre CRM.
Ce que la loi québécoise sur la protection des renseignements personnels exige d’une entreprise qui détient des renseignements de clients, ce que cela donne dans une agence, et les questions à poser au sujet de votre CRM. Information générale, et non un avis juridique.
En bref
La Loi 25 a modifié la Loi sur la protection des renseignements personnels dans le secteur privé en trois étapes, en septembre 2022, 2023 et 2024. Une entreprise qui détient des renseignements personnels doit désigner un responsable, publier ses pratiques, demander le consentement pour chaque fin, évaluer les facteurs relatifs à la vie privée avant de communiquer des renseignements hors Québec ou d’adopter un nouveau système, tenir un registre des incidents et remettre à une personne ses données dans un format utilisable lorsqu’elle le demande.
Ce que la loi exige
Les sanctions
La Commission peut imposer des sanctions administratives pécuniaires aux entreprises qui contreviennent à la Loi sur le privé. Selon son résumé, ces sanctions pourraient atteindre 2 % du chiffre d’affaires mondial ou 10 millions de dollars. Ce sont des plafonds. Une entreprise en défaut peut aussi prendre un engagement auprès de la Commission pour y remédier.
Sept questions à poser à tout fournisseur de CRM
Un CRM contient la plupart des renseignements personnels qu’un courtier recueille. Il est donc au centre de l’évaluation. Posez ces questions par écrit :
Les réponses de Realtor Desk
- La base de données de production et le stockage de fichiers sont au Canada, dans la région ca-central-1.
- Certaines fonctions transmettent du contenu à des fournisseurs externes, comme l’envoi de textos, l’envoi de courriels et l’assistant de rédaction, et ces fournisseurs peuvent le traiter à l’extérieur du Canada. Votre évaluation doit en tenir compte.
- La date et la source du consentement sont consignées pour chaque contact, et un message est refusé si aucun consentement n’est enregistré.
- Vous pouvez exporter vos données à partir des paramètres et supprimer un contact.
- Le pointage des clients potentiels repose sur des règles, et la fiche montre la contribution de chaque élément. Un pointage fondé sur l’engagement d’un contact peut relever de ce que la loi appelle le profilage; décidez avec votre conseiller de ce que vous devez dire aux clients.
- Rien n’est envoyé à un contact sans vous.
- L’interface et les courriels aux clients fonctionnent en français, selon le contact.
Ce qu’il ne fait pas : réaliser votre évaluation, rédiger votre politique de confidentialité, désigner votre responsable ou tenir votre registre des incidents. Nous ne détenons aucune certification de sécurité et n’en revendiquons aucune.
Questions fréquentes
À lire aussi
- La LCAP et les courriels d’un courtier immobilier , la loi fédérale anti-pourriel, qui s’applique aussi au Québec.
- Importer des contacts par CSV , et pourquoi le consentement n’est pas importé.
- Un CRM immobilier en français .
Un CRM hébergé au Canada, en français et en anglais
Essai de 14 jours; une carte est demandée au départ et rien n’est facturé avant le 14e jour. Ensuite, 149 $ CA par mois pour un courtier seul.
Un responsable
La personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels et peut déléguer cette fonction par écrit. Son titre et ses coordonnées doivent être publiés sur le site Web de l'entreprise.
Si vous travaillez pour une agence, demandez qui exerce cette fonction. Si vous avez votre propre entreprise, c'est vous, tant que vous ne l'avez pas déléguée.
Des politiques de gouvernance
L'entreprise doit établir et appliquer des politiques et des pratiques sur la conservation et la destruction des renseignements, les rôles et responsabilités du personnel et le traitement des plaintes, et publier de l'information détaillée à leur sujet.
Mettez par écrit combien de temps vous gardez les dossiers, qui peut les consulter et comment un client porte plainte.
Une politique de confidentialité
L'entreprise qui recueille des renseignements personnels par un moyen technologique doit diffuser une politique de confidentialité en termes simples et clairs, et aviser de toute modification.
Un formulaire de contact sur votre site est une collecte par un moyen technologique.
La transparence à la collecte
Depuis septembre 2023, au moment de la collecte, l'entreprise doit indiquer les fins et les moyens de la collecte, les droits d'accès et de rectification, le droit de retirer son consentement, les tiers concernés et la possibilité que les renseignements soient communiqués à l'extérieur du Québec.
Vérifiez que vos formulaires et votre première rencontre avec un client couvrent chaque point.
Le consentement
Depuis septembre 2023, le consentement doit être demandé pour chacune des fins, en termes simples et clairs. Une demande écrite doit être présentée distinctement de toute autre information. Sauf exception, un renseignement ne peut servir à une autre fin sans consentement.
Accepter d'être joint au sujet d'une propriété n'est pas accepter une infolettre. Demandez chacun.
L'évaluation des facteurs relatifs à la vie privée
Une évaluation est exigée avant de communiquer un renseignement personnel à l'extérieur du Québec (depuis septembre 2023) et pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. Elle est proportionnée à la sensibilité et à la quantité des renseignements.
Le choix d'un nouveau CRM est le genre de projet que vise la règle. Demandez où le fournisseur héberge et traite les données.
Les incidents de confidentialité
L'entreprise doit aviser la Commission et les personnes concernées de tout incident présentant un risque de préjudice sérieux, et tenir un registre des incidents.
Un portable perdu ou un courriel envoyé au mauvais client s'inscrit au registre, même si aucun avis n'est requis.
Le profilage et l'identification
L'entreprise qui recueille des renseignements au moyen d'une technologie permettant d'identifier, de localiser ou de profiler une personne doit l'en informer au préalable et indiquer comment activer ces fonctions. Elles ne peuvent pas être activées par défaut.
Demandez à vos fournisseurs si un outil attribue un pointage aux contacts ou les suit, et ce que vous devez en dire aux clients.
Les décisions automatisées
La personne doit être informée lorsqu'une décision la concernant est fondée exclusivement sur un traitement automatisé, et pouvoir présenter ses observations à un membre du personnel en mesure de la réviser.
Gardez une personne dans toute décision qui touche un client.
La portabilité
Depuis le 22 septembre 2024, sur demande, l'entreprise doit communiquer à la personne les renseignements personnels informatisés recueillis auprès d'elle, dans un format technologique structuré et couramment utilisé.
Vérifiez que vous pouvez exporter la fiche d'un client depuis votre CRM.
Dans quel pays et quelle région la base de données est-elle hébergée ?
Quels fournisseurs externes reçoivent des données de clients, à quelle fin, et où les traitent-ils ?
Puis-je exporter la fiche d'une personne dans un format structuré, et toutes mes données si je pars ?
Puis-je supprimer un contact, et que deviennent les copies de sauvegarde ?
Comment et dans quel délai serai-je avisé d'un incident de confidentialité ?
Le produit attribue-t-il un pointage aux contacts, les suit-il ou les profile-t-il, et puis-je voir comment ?
Quelque chose est-il envoyé à un contact sans qu'une personne l'approuve ?
Qu'est-ce que la Loi 25 ?
La Loi 25 est le nom courant de la loi québécoise adoptée en 2021 qui a modernisé les lois sur la protection des renseignements personnels, dont la Loi sur la protection des renseignements personnels dans le secteur privé. Ses changements sont entrés en vigueur par étapes, en septembre 2022, en septembre 2023 et en septembre 2024.
La Loi 25 s'applique-t-elle aux courtiers immobiliers ?
La Loi sur le privé rend toute personne qui exploite une entreprise responsable des renseignements personnels qu'elle détient. Un courtier ou une agence qui conserve des noms, des coordonnées et des renseignements financiers de clients détient des renseignements personnels. Le partage des obligations entre le courtier et l'agence est une question à poser à votre agence ou à un avocat en protection de la vie privée.
La Loi 25 est-elle la même chose que la LPRPDE ?
Non. La LPRPDE est la loi fédérale sur la protection des renseignements personnels dans le secteur privé. La Loi 25 a modifié la loi québécoise, qui encadre généralement le traitement des renseignements personnels par une entreprise au Québec. Un courtier québécois qui travaille aussi hors de la province peut devoir tenir compte des deux.
Puis-je conserver les données de mes clients dans un CRM hébergé hors Québec ?
La loi ne l'interdit pas, mais une évaluation vient d'abord. Depuis septembre 2023, une évaluation des facteurs relatifs à la vie privée est exigée avant de communiquer un renseignement personnel à l'extérieur du Québec. La communication peut avoir lieu si l'évaluation démontre que le renseignement bénéficierait d'une protection adéquate, et elle doit faire l'objet d'une entente écrite.
Quelles sont les sanctions prévues par la Loi 25 ?
La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires aux entreprises qui contreviennent à la Loi sur le privé. Selon le résumé de la Commission, ces sanctions pourraient atteindre 2 % du chiffre d'affaires mondial ou 10 millions de dollars. Ce sont des plafonds, pas des montants typiques.
Utiliser Realtor Desk me rend-il conforme à la Loi 25 ?
Non. Un logiciel ne rend pas une entreprise conforme. Realtor Desk héberge sa base de données au Canada, consigne la date et la source du consentement de chaque contact et vous permet d'exporter vos données. L'évaluation, les politiques, le responsable et le registre des incidents restent les vôtres.