Réponse courte : oui, la Loi 25 s’applique à votre salon de barbier dès que vous gardez le nom, le numéro de téléphone, le courriel ou l’historique de rendez-vous d’un client, peu importe votre taille. La Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25, est en vigueur par étapes depuis le 22 septembre 2022, et toutes ses dispositions s’appliquent depuis le 22 septembre 2024. Cet article résume les six obligations d’un salon, les dates, les amendes et ce qu’il faut exiger de son logiciel de réservation. Vérifié le 22 octobre 2026.
Pourquoi un salon de barbier est visé
La loi vise toute entreprise qui recueille, détient, utilise ou communique des renseignements personnels, sans seuil de taille. Un salon à trois chaises garde des noms, des numéros de cellulaire, des courriels, des dates de naissance pour les anniversaires, des notes sur la coupe et parfois une carte au dossier. C’est exactement ce que la Commission d’accès à l’information décrit comme des renseignements personnels, et les dispositions de la Loi 25 sont entrées en vigueur en trois vagues : le 22 septembre 2022, le 22 septembre 2023 et le 22 septembre 2024.
| Obligation | Article | En vigueur depuis |
|---|---|---|
| Désigner un responsable de la protection des renseignements personnels et publier son titre et ses coordonnées | 3.1 | 22 septembre 2022 |
| Signaler les incidents de confidentialité à risque sérieux et tenir un registre | 3.5 à 3.8 | 22 septembre 2022 |
| Adopter des politiques et pratiques de gouvernance et les publier | 3.2 | 22 septembre 2023 |
| Publier une politique de confidentialité en termes simples et clairs | 8.2 | 22 septembre 2023 |
| Demander un consentement par fin, exprès pour les renseignements sensibles | 12 à 14 | 22 septembre 2023 |
| Faire une EFVP et signer une entente écrite avant toute communication hors Québec | 17 | 22 septembre 2023 |
| Droit à la portabilité : remettre les renseignements dans un format structuré et couramment utilisé | 27 | 22 septembre 2024 |
1. Nommer un responsable
L’article 3.1 dit que la personne ayant la plus haute autorité dans l’entreprise veille au respect de la loi et exerce la fonction de responsable de la protection des renseignements personnels. Dans un salon, c’est le ou la propriétaire. La fonction peut être déléguée par écrit, en tout ou en partie, et le titre et les coordonnées du responsable sont publiés sur le site Web de l’entreprise, ou rendus accessibles autrement si elle n’en a pas, comme l’explique la page de la CAI sur le responsable en entreprise. Une ligne « Responsable de la protection des renseignements personnels : Marc Tremblay, propriétaire, marc@monsalon.ca » au bas de la page de réservation suffit.
2. Publier une politique de confidentialité
L’article 8.2 exige de toute entreprise qui recueille des renseignements personnels par un moyen technologique, ce qui inclut une page de réservation en ligne, qu’elle publie sur son site une politique de confidentialité rédigée en termes simples et clairs et qu’elle annonce ses modifications. L’article 3.2 ajoute des politiques et pratiques internes de gouvernance : combien de temps vous gardez les dossiers, qui y a accès, comment un client se plaint. Pour un salon, une page d’une centaine de lignes couvre les deux : ce que vous recueillez, pourquoi, avec quel logiciel, combien de temps, et à qui écrire.
3. Demander le consentement pour chaque usage
Le consentement est demandé pour chaque fin, en termes simples et séparément de toute autre information, et il doit être exprès pour un renseignement sensible, comme une donnée médicale notée au dossier (une allergie à un produit, par exemple). Un client qui réserve consent à ce que vous utilisiez son numéro pour les rappels de rendez-vous; il ne consent pas pour autant à recevoir vos promotions. Gardez les deux cases séparées, et respectez un retrait de consentement dès qu’il arrive.
4. Tenir un registre des incidents et aviser la CAI
Un incident de confidentialité, c’est un accès, une utilisation ou une communication non autorisés, ou la perte d’un renseignement : un cellulaire de barbier perdu avec la liste de clients, un courriel envoyé en copie visible à cent clients, un ancien employé qui a encore son accès. L’article 3.5 exige, quand l’incident présente un risque qu’un préjudice sérieux soit causé, d’aviser avec diligence la Commission et chaque personne concernée; l’article 3.8 exige de tenir un registre de tous les incidents, graves ou non, que la CAI dit conserver au moins cinq ans. La gravité se mesure à la sensibilité des renseignements, aux conséquences appréhendées et à la probabilité qu’ils servent à des fins préjudiciables; l’avis se fait sur le formulaire de la CAI.
5. Faire une EFVP avant d’héberger vos données hors Québec
C’est l’obligation que presque tous les salons ignorent, parce que presque tous utilisent un logiciel infonuagique. L’article 17 exige, avant de communiquer un renseignement personnel à l’extérieur du Québec, ou d’en confier la conservation ou l’utilisation à une entreprise hors Québec, une évaluation des facteurs relatifs à la vie privée (EFVP) qui tient compte de la sensibilité du renseignement, de la fin, des mesures de protection et du régime juridique de l’endroit. La CAI précise que la communication peut avoir lieu si les renseignements bénéficieront d’une protection adéquate, qu’elle doit toujours faire l’objet d’une entente écrite, et que l’entreprise demeure responsable des renseignements qu’elle confie. Son guide sur l’EFVP donne le canevas; pour un salon, deux pages suffisent.
Un logiciel de réservation hébergé en Ontario, aux États-Unis ou ailleurs est donc permis, à trois conditions : l’EFVP est faite et conservée, le contrat avec le fournisseur est écrit, et le fournisseur offre une protection adéquate. Posez cinq questions au fournisseur et notez les réponses dans l’EFVP :
- Où les données sont-elles hébergées, et par quels sous-traitants transitent-elles?
- Quelles mesures de sécurité protègent les données (chiffrement, accès, sauvegardes), et les données de carte sont-elles confiées à un processeur de paiement certifié PCI plutôt que stockées par le logiciel?
- Dans quel délai et comment le fournisseur vous avise-t-il d’un incident de confidentialité?
- Combien de temps conserve-t-il les données après la fin du contrat, et comment les supprime-t-il?
- Peut-il vous remettre une exportation complète de vos dossiers clients dans un format structuré et couramment utilisé, pour la portabilité et pour un changement de logiciel?
6. Remettre ses données à un client qui les demande
Depuis le 22 septembre 2024, l’article 27 donne à toute personne le droit d’obtenir les renseignements personnels informatisés que vous détenez sur elle dans un format technologique structuré et couramment utilisé, et de les faire transmettre à une autre entreprise. Pour un salon, c’est l’historique de rendez-vous et de paiements d’un client, son profil et ses notes, exportés en un fichier lisible, et un délai de 30 jours pour répondre à une demande d’accès.
Les sanctions
L’article 90.12 permet à la Commission d’imposer une sanction administrative pécuniaire allant jusqu’à 50 000 $ pour une personne physique et 10 000 000 $, ou 2 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevé, dans les autres cas. L’article 91 prévoit en plus des amendes pénales de 5 000 $ à 100 000 $ pour une personne physique et de 15 000 $ à 25 000 000 $, ou 4 % du chiffre d’affaires mondial, dans les autres cas, doublées en cas de récidive, comme le résume la page de la CAI sur les sanctions. La Commission module la sanction selon la gravité, la taille de l’entreprise et sa collaboration; un salon qui a un responsable, une politique et un registre part d’une tout autre position qu’un salon qui n’a rien.
Comment se conformer avec BarberFlow
BarberFlow ne fait pas votre conformité à votre place, mais il fournit la matière première de chaque obligation : un profil par client avec son historique complet, des données de carte qui ne touchent jamais au stockage ordinaire parce qu’elles sont confiées au processeur de paiement, et une exportation de vos données dans un format portable quand vous la demandez. Voici la marche à suivre, obligation par obligation.
Se conformer à la Loi 25 avec BarberFlow
- 1Nommez le responsable et publiez-le
Inscrivez votre nom, votre titre et un courriel de contact sur votre site et sur votre page de réservation BarberFlow (la description de votre salon est visible sur /book/votre-salon). Si vous déléguez, faites-le par écrit.
- 2Rédigez et publiez la politique de confidentialité
Décrivez ce que BarberFlow recueille pour vous (nom, téléphone, courriel, historique de rendez-vous et de paiements, notes), à quelles fins (rendez-vous, rappels, reçus, promotions avec consentement), combien de temps vous conservez les dossiers, et le nom de votre logiciel et de son processeur de paiement.
- 3Séparez les consentements
Les rappels de rendez-vous servent à la prestation du service; les Blasts promotionnels et les Loops de relance sont une fin distincte. N’envoyez de promotions qu’aux clients qui y ont consenti, et respectez tout désabonnement dès qu’il arrive.
- 4Faites l’EFVP et classez l’entente écrite
Remplissez le canevas de la CAI avec les réponses aux cinq questions ci-dessus, joignez les conditions d’utilisation et la politique de confidentialité de BarberFlow comme entente écrite, et conservez le tout avec votre politique interne.
- 5Ouvrez le registre des incidents
Un tableur à six colonnes suffit : date, description, renseignements touchés, personnes concernées, risque de préjudice sérieux (oui ou non), avis envoyés. Retirez l’accès BarberFlow de tout employé qui quitte le jour même, et notez-le.
- 6Répondez aux demandes d’accès dans les 30 jours
Quand un client demande ses données, exportez son profil et son historique de BarberFlow et remettez-les dans un format structuré. Si vous quittez BarberFlow, vos données vous sont remises dans un format propre et portable, comme le précise sa FAQ.
Voyez comment BarberFlow garde chaque dossier client
Profil, historique de rendez-vous et de paiements, messages envoyés et notes, en un seul endroit, avec vos données qui restent les vôtres.
Les quatre erreurs que les salons font le plus
- Croire que la loi ne vise que les grandes entreprises. Elle n’a aucun seuil de taille. Un salon d’une chaise avec une page de réservation est visé en entier.
- Utiliser un logiciel infonuagique sans EFVP ni entente écrite. L’hébergement hors Québec est permis, mais seulement avec les deux documents.
- Envoyer des promotions à toute la liste. Les rappels de rendez-vous et les promotions sont deux fins; le consentement à l’une ne vaut pas pour l’autre.
- N’avoir aucun registre. Un incident mineur non inscrit est une infraction de plus le jour où la Commission demande le registre.
Questions fréquentes
La Loi 25 s’applique-t-elle à un petit salon de barbier?
Oui. La loi vise toute entreprise qui recueille ou détient des renseignements personnels, sans seuil de taille ou de chiffre d’affaires. Un nom et un numéro de téléphone dans un logiciel de réservation suffisent.
Qui est le responsable de la protection des renseignements personnels dans un salon?
Par défaut, la personne ayant la plus haute autorité, donc le ou la propriétaire. La fonction peut être déléguée par écrit, et le titre et les coordonnées du responsable doivent être publiés sur le site Web du salon.
Puis-je utiliser un logiciel de réservation hébergé hors Québec?
Oui, à condition de faire une évaluation des facteurs relatifs à la vie privée avant, de signer une entente écrite avec le fournisseur et de conclure que les renseignements bénéficieront d’une protection adéquate. L’entreprise reste responsable des renseignements qu’elle confie.
Que faire si un cellulaire avec la liste de clients est perdu?
Inscrire l’incident au registre, évaluer s’il présente un risque de préjudice sérieux, et si oui, aviser la Commission d’accès à l’information sur son formulaire et chaque client concerné, avec diligence.
Quelles sont les amendes de la Loi 25?
Une sanction administrative pécuniaire jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial, et des amendes pénales de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial, doublées en cas de récidive. Pour une personne physique, jusqu’à 50 000 $ et 100 000 $ respectivement.
Un client peut-il exiger une copie de ses données?
Oui. Depuis le 22 septembre 2024, toute personne peut obtenir ses renseignements personnels informatisés dans un format structuré et couramment utilisé, et les faire transmettre à une autre entreprise.
Liste de vérification
- Nommez le responsable et publiez son titre et ses coordonnées sur le site.
- Publiez une politique de confidentialité en termes simples et clairs; gardez une politique interne de gouvernance.
- Demandez un consentement distinct pour les promotions; respectez tout retrait.
- Faites l’EFVP et classez l’entente écrite avant de confier des données à un logiciel hors Québec.
- Ouvrez le registre des incidents et conservez-le au moins cinq ans.
- Répondez aux demandes d’accès et de portabilité dans les 30 jours.
La Loi 25 n’est qu’une des obligations d’un salon québécois. Le guide ouvrir un salon de barbier au Québec couvre l’immatriculation, la CNESST et la Charte de la langue française, et le guide sur la TPS et la TVQ pour les barbiers couvre les taxes.
- Loi sur la protection des renseignements personnels dans le secteur privé — version administrative (14 mars 2023) — Commission d’accès à l’information
- Principaux changements apportés par la Loi 25 — Commission d’accès à l’information
- Responsable de la protection des renseignements personnels en entreprise — Commission d’accès à l’information
- Incidents de confidentialité et mesures de sécurité — Commission d’accès à l’information
- Utilisation et communication des renseignements personnels — Commission d’accès à l’information
- Guide d’accompagnement — évaluation des facteurs relatifs à la vie privée — Commission d’accès à l’information
- Sanctions et poursuites — Commission d’accès à l’information
- Entrée en vigueur des nouvelles dispositions de la Loi 25 — Gouvernement du Québec
