La Loi 25 pour le marketing d'un petit commerce : la liste 2026 en langage clair

La Loi 25, c'est la loi québécoise sur la protection des renseignements personnels — et elle s'applique à vous. Pas seulement aux banques et aux télécoms : à toute entreprise privée qui détient des renseignements personnels. Un café avec sa liste d'anniversaires, un salon avec ses dossiers clients, une boutique avec sa liste de textos : tous couverts, avec les mêmes obligations que les grandes chaînes.

L'ampleur du travail, elle, n'est pas la même. Pour un petit commerce, l'essentiel de la Loi 25 se résume à quelques habitudes qu'on installe une fois, et à des outils choisis avec les règles en tête. Voici la liste, dans l'ordre où ça vaut la peine de la faire.

D'abord, savoir ce que la loi couvre

Un renseignement personnel, c'est tout ce qui permet d'identifier une personne : un nom, un numéro de cellulaire, un courriel, une date de fête, une langue, ce qu'elle a acheté et quand. Si vous tenez une liste de clients, peu importe la forme, vous détenez exactement ça. Un programme de fidélité, c'est un fichier de renseignements personnels assumé — c'est ce qui le rend utile, et c'est pourquoi la Loi 25 concerne votre marketing avant de concerner votre avocat. La loi ne dit pas « ne collectez rien ». Elle dit : collectez pour une raison, avec un vrai consentement, et prenez soin de ce que vous gardez.

Étape 1 : nommer votre responsable (c'est probablement vous)

Chaque entreprise, peu importe sa taille, doit avoir une personne responsable de la protection des renseignements personnels. Par défaut, la loi confie le rôle à la personne ayant la plus haute autorité — dans un petit commerce, c'est vous. Vous pouvez le déléguer par écrit à quelqu'un de confiance, mais rien ne vous y oblige.

• Décidez qui porte le rôle. Si c'est vous, la décision est prise — mettez-la quand même par écrit.
• Publiez le titre et les coordonnées de cette personne, normalement sur la page de confidentialité de votre site.
• Sachez ce que le rôle implique : cette personne répond aux questions qu'est-ce qu'on collecte, qui y a accès, et comment un client demande son dossier.

Étape 2 : faire la liste de ce que vous recueillez, et pourquoi

C'est une heure avec un café, pas un mandat de consultant. Écrivez chaque endroit où vivent des renseignements de clients, puis donnez une utilité à chaque donnée. La règle de base de la loi, c'est la nécessité : on ne recueille que ce que l'objectif annoncé exige vraiment.

• Quoi : noms, numéros de cellulaire, dates de fête, langue, historique de visites. Nommez chaque élément.
• Où : votre caisse, votre plateforme de fidélité, un fichier Excel, le cahier à côté de la caisse, votre boîte courriel.
• Pourquoi : la date de fête sert au boni d'anniversaire ; le cellulaire porte la carte du membre et les textos auxquels il a dit oui.
• Ce qui n'a pas d'utilité ne devrait pas être recueilli. Une carte à tampons n'a pas besoin d'une adresse résidentielle.

Étape 3 : un consentement qui passerait une deuxième lecture

Sous la Loi 25, le consentement doit être clair, libre et éclairé, donné à des fins précises, et demandé en termes simples, séparément de tout le reste. Derrière un comptoir, ça se traduit en quatre habitudes :

• Aucune case précochée, jamais. Le client dit oui activement.
• Adhérer au programme de fidélité et recevoir des textos promotionnels, ce sont deux fins différentes — donc deux oui distincts.
• Dites à quoi le client consent au moment où vous le demandez : des offres et des rappels par texto, de ce commerce-ci, avec un retrait qui fonctionne.
• Gardez la preuve : qui a consenti, à quoi, quand. L'outil qui tient votre liste devrait tenir ce registre-là aussi.

C'est ici que votre choix d'outil vous protège ou vous expose sans bruit. Dans les campagnes Perkaria, le consentement aux textos promotionnels est une case à part, explicite, au moment de l'inscription — jamais incluse dans l'adhésion — et chaque envoi est consigné : qui, quand, quoi.

Étape 4 : ne gardez pas ce qui ne sert plus

Une fois la fin accomplie, un renseignement personnel doit être détruit ou anonymisé. Tout garder pour toujours, « au cas où », c'est exactement ce que la loi vise. Vos clients ont aussi le droit de voir le dossier que vous détenez sur eux et de le faire corriger.

• Donnez-vous une routine pour les données dormantes : décidez ce qui arrive aux contacts retirés et aux listes qui ne servent plus.
• Soyez capable de répondre à une demande d'accès à partir d'un seul endroit, sans fouille archéologique dans de vieux exports.
• Attention aux exceptions : factures et registres fiscaux ont leurs propres délais de conservation. Purger vos données marketing ne veut pas dire déchiqueter vos livres.

Étape 5 : un plan d'incident qui tient sur une page

Un incident de confidentialité, c'est toute perte, tout vol ou tout accès non autorisé à des renseignements personnels : un portable volé, une boîte courriel compromise, un export envoyé à la mauvaise personne. La loi vous demande trois choses, et aucune n'exige un département de TI.

• Tenez un registre des incidents, même les petits.
• Si un incident présente un risque de préjudice sérieux, avisez la Commission d'accès à l'information et les personnes touchées.
• Réduisez le rayon des dégâts d'avance : moins votre liste de clients vit à des endroits différents, moins il y a de choses à perdre. Un système avec des accès contrôlés bat quatre fichiers Excel.

Où votre liste de fidélité entre là-dedans

La Loi 25 encadre la détention des renseignements personnels ; la loi canadienne anti-pourriel, la LCAP, encadre l'envoi. Un programme de fidélité propre fait les deux : un vrai consentement à l'entrée, des envois disciplinés à la sortie. La deuxième moitié gagne à être automatisée, parce que c'est celle qui flanche un vendredi soir à 22 h, quand un humain est censé se souvenir de la règle.

C'est pour ça que Perkaria met les garde-fous dans le moteur plutôt que dans un cartable de formation : les textos promotionnels respectent les heures de tranquillité de 21 h à 9 h, sont plafonnés à deux par membre par semaine, et un STOP ou un ARRET est respecté dès la réception. Le programme de fidélité repose sur la même idée — demander peu, dire pourquoi, tout consigner. Et pour voir la boucle au complet avant de vous engager, comment ça marche la parcourt de l'inscription à la récompense.