Loi 25 et propriétaires immobiliers : ce que vous devez savoir

Depuis septembre 2023, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) est pleinement en vigueur au Québec. Elle touche toutes les entreprises qui collectent des renseignements personnels — y compris les propriétaires immobiliers. Voici ce que ça signifie concrètement pour vous.

Qu'est-ce que la Loi 25 ?

La Loi 25 est la réforme québécoise de la protection des renseignements personnels. Elle modernise la Loi sur la protection des renseignements personnels dans le secteur privé, adoptée en 1994, pour l'adapter aux réalités numériques actuelles.

Son objectif est de donner aux citoyens un meilleur contrôle sur leurs données personnelles et d'imposer aux entreprises des obligations claires en matière de collecte, d'utilisation, de conservation et de destruction de ces données.

La loi s'applique à toute personne qui exploite une entreprise au Québec et qui collecte des renseignements personnels. Cela inclut les propriétaires immobiliers, qu'ils gèrent un duplex ou un parc de 200 logements. Dès que vous collectez le nom, l'adresse, le numéro de téléphone, le courriel ou les informations financières d'un locataire, vous êtes assujetti à la Loi 25.

Quelles données de locataires sont visées ?

En tant que propriétaire, vous collectez et conservez de nombreux renseignements personnels sur vos locataires. La Loi 25 couvre tous ces types de données :

Vos obligations comme propriétaire

La Loi 25 impose plusieurs obligations concrètes aux propriétaires immobiliers. Voici les principales :

1. Désigner un responsable de la protection des renseignements personnels

Vous devez désigner une personne responsable de la protection des données dans votre organisation. Pour un propriétaire individuel, c'est vous-même. Pour une société de gestion, c'est généralement un dirigeant. Le nom et les coordonnées de cette personne doivent être publiés sur votre site web ou communiqués sur demande.

2. Avoir une politique de confidentialité

Vous devez rédiger et publier une politique de confidentialité qui explique clairement quelles données vous collectez, pourquoi vous les collectez, comment vous les utilisez, combien de temps vous les conservez et comment les locataires peuvent exercer leurs droits. Cette politique doit être rédigée en termes simples et accessibles.

3. Obtenir le consentement

Avant de collecter des renseignements personnels, vous devez obtenir le consentement du locataire. Ce consentement doit être libre, éclairé et spécifique. Concrètement, le locataire doit savoir exactement quelles données vous collectez et à quelles fins. Le consentement peut être intégré au bail ou obtenu via un formulaire séparé.

4. Limiter la collecte au nécessaire

Vous ne pouvez collecter que les renseignements nécessaires à la gestion du bail et de l'immeuble. Demander le numéro d'assurance sociale pour une simple location résidentielle, par exemple, est difficile à justifier. Collectez uniquement ce dont vous avez réellement besoin.

5. Protéger les données

Vous devez mettre en place des mesures de sécurité raisonnables pour protéger les données de vos locataires. Cela inclut : verrouiller les dossiers physiques, protéger les fichiers numériques par mot de passe, utiliser des outils sécurisés pour la communication et le stockage, et limiter l'accès aux personnes qui en ont besoin.

6. Signaler les incidents de confidentialité

En cas de fuite, de vol ou d'accès non autorisé aux données de vos locataires, vous devez évaluer le risque de préjudice et, si le risque est sérieux, aviser la Commission d'accès à l'information (CAI) et les personnes concernées. Vous devez aussi tenir un registre de tous les incidents, même ceux qui ne présentent pas de risque sérieux.

7. Répondre aux demandes d'accès

Vos locataires ont le droit de savoir quelles données vous détenez sur eux, de demander des corrections et, dans certains cas, de demander la suppression de leurs données. Vous devez répondre à ces demandes dans un délai de 30 jours.

8. Détruire les données après usage

Une fois que les données ne sont plus nécessaires (par exemple, après le départ d'un locataire et l'expiration des délais légaux de conservation), vous devez les détruire de façon sécurisée. Cela signifie déchiqueter les documents papier et supprimer définitivement les fichiers numériques.

Pénalités en cas de non-conformité

La Loi 25 prévoit des sanctions significatives pour les contrevenants. Les pénalités ont été considérablement augmentées par rapport à l'ancienne loi :

En pratique, les amendes pour un propriétaire individuel seront proportionnelles à la taille de l'entreprise. Mais même une amende de quelques milliers de dollars est significative. Au-delà des amendes, un incident de confidentialité mal géré peut entraîner des poursuites civiles de la part des locataires affectés et nuire à votre réputation.

Comment se conformer concrètement

La conformité à la Loi 25 n'a pas besoin d'être compliquée. Voici les actions concrètes à poser :

L'erreur la plus courante

L'erreur la plus fréquente chez les propriétaires est de croire que la Loi 25 ne les concerne pas parce qu'ils ne sont « pas une grande entreprise ». La loi s'applique à toute personne exploitant une entreprise, quelle que soit sa taille. Un propriétaire de duplex qui collecte le nom, le téléphone et les revenus de ses locataires est assujetti aux mêmes obligations qu'une société de gestion de 500 logements.

La deuxième erreur est de stocker les données de locataires dans des fichiers Excel non protégés, des courriels personnels ou des dossiers Google Drive sans contrôle d'accès. Ces pratiques, courantes, constituent un risque réel en cas de fuite ou de vol d'appareil.