Dans une PME, la première demande d'accès arrive souvent par le formulaire de contact, entre deux demandes de soumission : « En vertu de l'article 27 de la Loi sur la protection des renseignements personnels dans le secteur privé, je désire recevoir une copie de tous documents qui me concernent. » C'est la formule du modèle de lettre que la Commission d'accès à l'information (CAI) met à la disposition des citoyens. Le formulaire, sur les sites web que nous construisons comme ailleurs, la dépose dans une boîte de réception partagée, et le compteur démarre.
Ce texte suit la demande de sa réception à la réponse, dans une entreprise de dix ou vingt personnes qui n'en a jamais reçu. La partie juridique tient en une dizaine d'articles de loi. La partie difficile, c'est de trouver où vos renseignements dorment vraiment.
La réponse courte, pour les pressés
Au Québec, une entreprise qui reçoit une demande d'accès à des renseignements personnels doit y répondre par écrit, avec diligence et au plus tard 30 jours après sa réception, selon l'article 32 de la Loi sur la protection des renseignements personnels dans le secteur privé. Sans réponse dans ce délai, la demande est réputée refusée. Elle doit être faite par écrit par une personne qui justifie de son identité, et adressée au responsable de la protection des renseignements personnels. L'accès est gratuit, mais des frais raisonnables de transcription, de reproduction ou de transmission peuvent être exigés si leur montant approximatif est annoncé d'avance. Depuis le 22 septembre 2024, la personne peut aussi obtenir les renseignements informatisés recueillis auprès d'elle dans un format technologique structuré et couramment utilisé. Tout refus doit être motivé, citer la disposition de loi qui le fonde et indiquer le recours : une demande d'examen de mésentente devant la CAI, dans les 30 jours.
Reconnaître la demande, et démarrer le compteur
L'article 30 pose trois conditions pour qu'une demande d'accès ou de rectification soit considérée : elle est écrite, elle vient d'une personne qui justifie de son identité (ou d'un représentant, d'un héritier, d'un titulaire de l'autorité parentale), et elle est adressée au responsable de la protection des renseignements personnels. Rien dans le texte n'exige un formulaire officiel ou une lettre signée.
Le même article règle une question qui inquiète souvent pour rien : il « ne restreint pas la communication à une personne d'un renseignement personnel la concernant […] résultant de la prestation d'un service à lui rendre ». Le client qui redemande sa facture ne déclenche pas une procédure. Celui qui demande tout ce que vous détenez sur lui, oui.
Les 30 jours de l'article 32 courent à partir de la réception. Le plus prudent est de les compter du jour où quelqu'un dans l'entreprise a reçu la demande, même si c'était la boîte info@ un vendredi soir. Sans réponse à l'échéance, l'entreprise est réputée avoir refusé, et le délai de recours du demandeur commence.
Pour obtenir plus de temps, la loi ne prévoit qu'une voie : demander à la CAI, dans ces mêmes 30 jours, de prolonger le délai, de circonscrire la demande ou d'écarter des demandes manifestement abusives (article 46).
Une demande floue n'est pas un motif de refus : l'article 30 oblige le responsable à aider le demandeur à identifier les renseignements recherchés.
Vérifier l'identité sans ouvrir un nouveau dossier
La loi exige que le demandeur justifie de son identité, sans dire comment. Réclamer une copie de permis de conduire est un mauvais réflexe : l'article 5 limite la collecte aux renseignements nécessaires, et vous vous retrouveriez à conserver et à protéger une pièce d'identité que vous n'aviez jamais eue.
Vérifiez plutôt avec ce que vous détenez déjà : la demande vient-elle de l'adresse courriel inscrite au dossier? Sinon, écrivez à cette adresse-là pour confirmer, ou demandez un détail que seul le client connaît, comme un numéro de facture. Pour un représentant ou un héritier, la loi exige qu'il prouve aussi sa qualité : là, un document est justifié.
Le repérage : où vos renseignements dorment vraiment
Dans sa fiche sur le repérage (mars 2025), la CAI écrit que l'entreprise doit mener un repérage « complet et sérieux », qu'il ne faut pas se fier uniquement à un registre des données, et que si le demandeur conteste, c'est l'entreprise qui devra prouver que ce repérage a été fait.
La fiche énumère les endroits à fouiller : dossiers papier, systèmes informatiques, boîtes courriel, services de messagerie instantanée, archives, et les renseignements qu'un tiers, un sous-traitant par exemple, détient pour votre compte. Dans une PME, cela commence par la boîte qui reçoit les formulaires du site, et par la base de données du site si les envois y sont conservés. Viennent ensuite le CRM ou le chiffrier qui en tient lieu, l'outil d'infolettre, qui garde l'historique des envois et des ouvertures, puis le logiciel comptable et le système de facturation. Il faut aussi passer par les courriels et les messageries de chaque employé qui a traité avec ce client, et par les outils d'IA dans lesquels quelqu'un a pu coller un courriel du client, avec leur historique de conversations. Et enfin, les sauvegardes.
Elles méritent une ligne dans votre note de repérage. La fiche dispense de fournir un renseignement détruit, mais un renseignement effacé du CRM et encore présent dans une sauvegarde n'est pas détruit. Connaître leur durée de conservation fait partie de la réponse (voir notre article sur la durée de conservation des documents).
La CAI recommande aussi de garder des traces écrites du repérage : qui a cherché, où, avec quels mots-clés, pendant combien de temps. Une demi-page suffit. En cas de recours, c'est votre preuve.
Ce que répondre veut dire
L'article 27 impose de confirmer l'existence des renseignements, de les communiquer et de permettre d'en obtenir une copie. Si le demandeur le demande, un renseignement informatisé doit lui être remis sous forme de transcription écrite et intelligible : une capture d'écran de CRM remplie de codes internes ne suffit pas.
Le troisième alinéa ajoute la portabilité, en vigueur depuis le 22 septembre 2024. À moins de difficultés pratiques sérieuses, un renseignement informatisé recueilli auprès du demandeur, « et non pas créé ou inféré » à partir de ses renseignements, doit lui être communiqué dans un format technologique structuré et couramment utilisé, ou à un organisme autorisé par la loi à le recueillir. La CAI précise que ce format est celui que des applications logicielles d'usage courant peuvent facilement lire, et que les renseignements obtenus de tiers sont exclus. Un export CSV, que n'importe quel tableur ouvre, correspond à cette description. Le jour où vous choisissez un nouveau CRM, vérifiez qu'il sait produire cet export par client : l'article 3.3 exige que tout nouveau système le permette.
Pour une demande de rectification, l'article 35 oblige à remettre sans frais une copie du renseignement modifié ou une attestation de sa suppression.
Quant aux frais, l'article 33 est clair : l'accès est gratuit. Des frais raisonnables peuvent être exigés pour la transcription, la reproduction ou la transmission, à condition d'annoncer le montant approximatif avant de faire le travail. Pour un PDF envoyé par courriel, facturer coûte plus en bonne volonté que ça ne rapporte.
Refuser, et l'écrire correctement
Les motifs de refus sont peu nombreux et précis. L'entreprise peut refuser lorsque la divulgation risquerait vraisemblablement de nuire à une enquête visant à prévenir ou réprimer des infractions, ou d'avoir un effet sur une procédure judiciaire (article 39). Elle doit refuser lorsque la divulgation révélerait un renseignement sur un tiers susceptible de lui nuire sérieusement, sauf consentement de ce tiers ou urgence (article 40). Les articles 37 et 38 visent les renseignements de santé et les mineurs de moins de 14 ans. Le refus peut être partiel : on communique le dossier en retranchant ce qui concerne d'autres personnes.
L'article 34 dicte le contenu du refus : les motifs, la disposition de loi qui le fonde, les recours offerts et leur délai, et l'aide au demandeur qui veut comprendre. Une lettre qui dit « nous ne pouvons donner suite à votre demande » ne remplit aucune de ces conditions.
Même quand vous ne trouvez rien, la formulation compte. La CAI observe qu'une affirmation générale selon laquelle aucun renseignement n'est détenu laisse le demandeur douter du sérieux des recherches, et recommande de décrire la démarche suivie.
Enfin, l'article 36 : si vous refusez, vous devez conserver les renseignements visés le temps que le demandeur épuise ses recours. Faire le ménage dans le dossier d'un client mécontent est exactement ce que la loi interdit, et détruire un renseignement en contravention à la loi figure parmi les manquements passibles de sanction administrative pécuniaire (article 90.1).
Le recours devant la CAI
Dans le secteur privé, le recours s'appelle une demande d'examen de mésentente; la « demande de révision » vise les organismes publics. Le demandeur la dépose par écrit dans les 30 jours du refus ou de l'expiration du délai de réponse (article 43). La CAI, qui agit alors comme tribunal administratif, avise l'entreprise et assigne un médiateur au dossier.
Côté sanctions, un retard de réponse ne figure ni dans la liste de l'article 90.1 ni parmi les infractions de l'article 91, et la CAI précise qu'elle ne peut pas accorder de dommages-intérêts. Ce qui vous attend, c'est un dossier devant un tribunal où vous devez démontrer un repérage complet et sérieux que vous n'avez pas documenté.
Ce que votre site doit rendre facile
Trois articles touchent le site. L'article 3.1 exige d'y publier le titre et les coordonnées du responsable, l'article 29 de faire connaître au public où et comment accéder aux renseignements, et l'article 8 d'informer la personne, dès la collecte, de ses droits d'accès et de rectification.
Votre politique de confidentialité doit nommer le responsable par son titre, donner une adresse courriel qui aboutit chez lui et expliquer en deux phrases comment faire une demande. Une adresse dédiée, lue par la bonne personne, évite que la demande dorme dans la boîte des soumissions. Et la procédure elle-même, qui reçoit, qui cherche, qui signe la réponse, a sa place dans votre politique de gouvernance des renseignements personnels, à côté du processus de plainte.
Par où commencer
Avant la première demande, trois gestes suffisent : publier les coordonnées du responsable, dresser la liste des endroits où vivent les renseignements de vos clients, et vérifier que votre CRM exporte une fiche client en CSV. Quand la demande arrive, notez la date, confirmez l'identité, cherchez partout en gardant une trace, et répondez par écrit avant le trentième jour.
Les pages de votre site qui rendent ce parcours visible, la politique, les coordonnées du responsable, le formulaire qui aboutit au bon endroit, font partie de nos services web.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.
Écrit parXavier Peich