Loi 25 : ce qu'une école de conduite doit réellement faire (et ce que personne ne vous a dit)

La plupart des propriétaires d'écoles de conduite à qui on parle de la Loi 25 répondent une variante de : « c'est pour les grandes entreprises, ça ».

C'est faux, et c'est probablement l'erreur la plus coûteuse qu'on puisse faire sur ce sujet. La Loi 25 s'applique à toute entreprise québécoise qui recueille des renseignements personnels, du travailleur autonome à la multinationale. Il n'y a pas de seuil d'employés, pas de seuil de chiffre d'affaires, pas d'exemption pour les petites structures.

Une école de conduite recueille des renseignements personnels dès le premier formulaire d'inscription. Vous êtes assujetti depuis le jour un.

Pourquoi une école de conduite est plus exposée que la moyenne

Ce n'est pas une question de taille, mais de nature des renseignements que vous détenez.

Un commerce de détail connaît le nom, le courriel et l'historique d'achats de ses clients. Une école de conduite détient, pour chaque élève :

• son nom, sa date de naissance, son adresse, son téléphone;
• le numéro de son permis d'apprenti — un identifiant gouvernemental;
• les coordonnées d'un parent ou tuteur, parce qu'une bonne partie de votre clientèle est mineure;
• parfois des informations à caractère médical, lorsqu'une condition affecte l'aptitude à conduire;
• l'historique complet d'une relation qui s'étale sur plus d'un an.

Des mineurs, des identifiants gouvernementaux, parfois du médical. C'est un profil de risque qui n'a rien à voir avec celui d'un dépanneur, et c'est ce qui justifie de prendre le sujet au sérieux même avec 40 élèves.

Les huit obligations, concrètement

Voici ce que la loi demande. Cochez ce qui est déjà en place chez vous :

Aucun de ces points ne demande un budget. Ils demandent une décision, et une trace écrite de cette décision. C'est la bonne nouvelle : la conformité de base à la Loi 25 pour une école de conduite est essentiellement un exercice d'organisation, pas un investissement.

Trois de ces obligations méritent d'être détaillées, parce que ce sont celles qu'on comprend de travers le plus souvent.

1. Le responsable, c'est déjà vous

Beaucoup d'écoles pensent devoir « embaucher quelqu'un » ou « nommer un responsable ». En réalité, la loi désigne par défaut la personne ayant la plus haute autorité dans l'entreprise. Si vous êtes propriétaire, c'est vous, que vous l'ayez formalisé ou non.

Vous pouvez déléguer le rôle à un membre de votre personnel, mais cette délégation doit être écrite.

Et il y a un second volet que presque tout le monde oublie : le nom et les coordonnées de cette personne doivent être publiés sur votre site web. Ce n'est pas suffisant de savoir en interne qui c'est. Un élève, un parent, ou la Commission doivent pouvoir trouver l'information sans vous la demander.

C'est probablement la correction la plus rapide de toute cette liste : une ligne sur votre page de contact.

2. Le registre d'incidents inclut les incidents mineurs

Une confusion très répandue : on croit qu'il faut consigner uniquement les « vraies » fuites de données.

Ce n'est pas ce que dit la loi. Vous devez tenir un registre de tous les incidents de confidentialité, y compris ceux qui ne présentent pas de risque sérieux de préjudice.

Un courriel contenant les coordonnées d'un élève envoyé à la mauvaise personne est un incident. Un dossier papier oublié sur un comptoir est un incident. Un ancien employé dont l'accès n'a pas été révoqué est un incident.

La distinction entre « à consigner » et « à signaler » est celle-ci :

• Tout incident → inscrit au registre.
• Incident présentant un risque sérieux de préjudice → en plus, signalé à la Commission d'accès à l'information et aux personnes concernées.

Le registre n'est pas un aveu de faiblesse. Une entreprise qui n'a jamais rien consigné n'est pas une entreprise sans incidents : c'est une entreprise qui ne les remarque pas.

3. Vos fournisseurs hors Québec vous engagent

C'est l'obligation la plus ignorée, et celle qui touche le plus d'écoles sans qu'elles s'en rendent compte.

Avant de confier des renseignements personnels à une entreprise située hors du Québec, vous devez avoir réalisé une évaluation des facteurs relatifs à la vie privée et conclu une entente écrite avec ce fournisseur.

Le mot important est « hors du Québec » — pas « hors du Canada ». Un fournisseur en Ontario ou en Colombie-Britannique déclenche la même obligation.

Or, la plupart des écoles utilisent sans y penser :

• un service d'infonuagique pour leurs fichiers;
• une plateforme d'envoi de courriels ou de SMS;
• un logiciel de gestion hébergé ailleurs;
• une solution de sauvegarde en ligne.

Chacun de ces services, s'il est hébergé hors Québec et qu'il reçoit des renseignements sur vos élèves, entre dans le champ de l'article 17.

Ça ne veut pas dire que c'est interdit — la loi n'impose pas que vos données restent au Québec. Ça veut dire que le transfert doit être évalué et encadré par écrit, plutôt que subi par défaut.

Par où commencer si vous partez de zéro

Dans cet ordre, parce que c'est celui du meilleur rapport effort/risque :

1. Publiez le responsable. Une ligne sur votre site. Quinze minutes.
2. Ouvrez le registre d'incidents. Même un simple document daté suffit pour commencer — l'important est qu'il existe avant d'en avoir besoin.
3. Listez vos fournisseurs et repérez ceux hébergés hors Québec. Vous ne pouvez pas évaluer ce que vous n'avez pas inventorié.
4. Rédigez la politique de confidentialité. Elle découle naturellement des trois étapes précédentes, une fois que vous savez ce que vous détenez et qui y touche.

Le principe qui simplifie tout le reste

Il existe une façon de réduire massivement votre exposition, et elle ne coûte rien : ne détenez pas ce dont vous n'avez pas besoin.

Chaque document numérisé que vous conservez « au cas où » est un renseignement personnel de plus à protéger, à inclure dans un signalement en cas d'incident, et à retrouver si quelqu'un demande sa suppression.

Une école qui note quelles preuves existent et où elles sont conservées, plutôt que d'en stocker une copie, répond aux mêmes exigences d'inspection avec une fraction du risque. Ce qui n'est pas stocké ne peut pas fuir.

C'est le raisonnement le plus utile de toute la Loi 25, et le seul qui vous fait gagner du temps au lieu de vous en coûter.

Ce texte décrit les obligations générales. Pour votre situation précise — notamment vos ententes avec des fournisseurs existants — validez auprès d'un conseiller qualifié ou directement auprès de la Commission d'accès à l'information.