Loi 25 : ce qu’un studio de danse doit faire avec les données des familles

La « Loi 25 » a modifié plusieurs lois. Pour une entreprise privée comme un studio de danse, le texte qui compte est la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1). Elle s’applique quel que soit le support : formulaire papier, chiffrier, logiciel en ligne ou boîte de courriel.

Un renseignement personnel, au sens de la loi, est tout renseignement qui concerne une personne physique et permet de l’identifier, directement ou indirectement. Dans un studio, cela couvre le nom et la date de naissance de l’élève, l’adresse et le téléphone des parents, les allergies, le niveau, les présences et l’historique des paiements.

L’article 3.1 rend l’entreprise responsable des renseignements qu’elle détient. La personne ayant la plus haute autorité, souvent la propriétaire du studio, exerce par défaut la fonction de responsable de la protection des renseignements personnels. Elle peut la déléguer par écrit, en tout ou en partie, par exemple à la coordonnatrice administrative. Le titre et les coordonnées de ce responsable doivent être publiés sur le site Web du studio.

L’article 3.2 demande d’établir des politiques et des pratiques de gouvernance qui prévoient au moins la conservation et la destruction des renseignements, les rôles et responsabilités du personnel et un processus de traitement des plaintes. Elles doivent être proportionnées à la nature et à l’importance de vos activités, approuvées par le responsable, et des informations détaillées à leur sujet doivent être publiées sur votre site, en termes simples et clairs. Un studio de 150 familles n’a pas besoin d’un document de trente pages ; il a besoin d’un texte qu’un parent comprend en le lisant une fois.

Si vous recueillez des renseignements par un moyen technologique, comme un formulaire d’inscription en ligne, l’article 8.2 exige aussi une politique de confidentialité publiée sur votre site, avec un avis lors de toute modification. Au moment de la collecte, l’article 8 vous oblige notamment à informer les familles des fins, de leurs droits d’accès et de rectification, de leur droit de retirer leur consentement et, le cas échéant, d’une communication possible hors du Québec.

Avant de recueillir quoi que ce soit, déterminez à quoi cela servira (article 4), puis ne recueillez que ce qui est nécessaire à ces fins (article 5). Relisez votre fiche d’inscription avec cette question en tête : la profession des parents ou le numéro d’assurance maladie de l’enfant sont difficiles à justifier pour un cours de ballet du samedi matin.

L’article 14 exige un consentement manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs, et présenté distinctement de toute autre information s’il est demandé par écrit. En pratique : une case distincte pour l’infolettre, une autre pour les photos, plutôt qu’une seule case « J’accepte tout ».

Pour les enfants, la règle est précise. Le consentement du mineur de moins de 14 ans est donné par le titulaire de l’autorité parentale ou par le tuteur ; celui du mineur de 14 ans et plus peut être donné par le mineur lui-même, par le titulaire de l’autorité parentale ou par le tuteur. L’article 4.1 ajoute qu’on ne recueille pas de renseignements auprès d’un enfant de moins de 14 ans sans le consentement du parent ou du tuteur, sauf si la collecte est manifestement à son bénéfice. Le sondage de fin d’année que vous faites remplir aux élèves de 12 ans passe donc d’abord par les parents.

Les renseignements de santé, comme une allergie, de l’asthme ou une épilepsie, sont des renseignements sensibles. La loi exige un consentement exprès pour les utiliser à une autre fin que celle de leur collecte. L’article 20 limite l’accès aux membres du personnel pour qui le renseignement est nécessaire à l’exercice de leurs fonctions : la professeure du groupe du mardi doit savoir qu’une élève a un auto-injecteur d’épinéphrine, la personne qui fait la facturation n’a pas besoin du dossier de santé.

Une photo ou une vidéo où l’on reconnaît une élève permet de l’identifier. La position prudente est de la traiter comme un renseignement personnel, avec les mêmes règles de consentement. Le spectacle de juin est le moment où elles se multiplient.

Puisque le consentement se demande pour chaque fin, séparez les usages sur le formulaire : photos pour usage interne, vidéo du spectacle remise aux familles, publication sur les réseaux sociaux du studio, utilisation dans la publicité. Pour les moins de 14 ans, c’est le parent qui répond. Et comme le consentement ne vaut que pour la durée nécessaire, une photo prise pour le spectacle de 2025 ne devrait pas réapparaître dans une publicité de 2028 sans nouvelle demande.

Côté pratique : remettez au photographe et à la personne qui gère vos réseaux sociaux la liste des élèves qui ne doivent pas être publiés, et tenez-la à jour. Les familles peuvent retirer leur consentement, et vous devez les en avoir informées lors de la collecte.

Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’article 17 exige une évaluation des facteurs relatifs à la vie privée. Elle tient compte notamment de la sensibilité du renseignement, des mesures de protection et du régime juridique de l’endroit visé. La communication peut se faire si l’évaluation démontre une protection adéquate, et elle doit faire l’objet d’une entente écrite. La même règle vaut quand un fournisseur hors du Québec conserve ou traite des renseignements pour votre compte, comme bien des outils infonuagiques.

L’article 3.3 impose aussi une évaluation pour tout projet d’acquisition, de développement ou de refonte d’un système d’information qui touche des renseignements personnels, par exemple le changement de logiciel d’inscription avant la rentrée. Le responsable doit être consulté dès le début du projet.

Faites l’inventaire de vos outils : inscriptions, paiements, infolettre, dossier partagé, groupe de messagerie des professeurs. Pour chacun, notez où les données sont hébergées, qui y a accès et quel contrat vous lie au fournisseur. Selon la Commission, ce contrat doit préciser les mesures de confidentialité, l’usage permis et la destruction des renseignements.

La loi définit l’incident de confidentialité comme l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, ou sa perte. Un courriel envoyé aux 80 familles du studio avec toutes les adresses visibles, un téléphone de professeur perdu avec la liste des élèves, un relevé de compte expédié à la mauvaise famille : ce sont des incidents.

L’article 3.5 vous oblige d’abord à prendre des mesures raisonnables pour diminuer les risques et éviter que cela se reproduise. Si l’incident présente un risque de préjudice sérieux, vous devez aviser avec diligence la Commission d’accès à l’information ainsi que les personnes concernées. Pour évaluer ce risque, l’article 3.7 demande de considérer la sensibilité du renseignement, les conséquences appréhendées et la probabilité d’une utilisation préjudiciable, en consultant le responsable.

Tous les incidents, même ceux sans risque de préjudice sérieux, doivent être consignés dans un registre (article 3.8), dont la Commission peut demander une copie. Selon la Commission, les renseignements de ce registre sont conservés au moins cinq ans après la prise de connaissance de l’incident.

Lorsque les fins pour lesquelles un renseignement a été recueilli sont accomplies, l’article 23 exige de le détruire ou de l’anonymiser, sous réserve d’un délai de conservation prévu par une loi. Vos pièces comptables, elles, peuvent être soumises à des délais de conservation fiscaux : vérifiez-les avant de détruire. Pour détruire, la Commission recommande notamment le déchiquetage à coupe croisée pour le papier et l’effacement sécurisé pour les supports numériques.

Un parent peut demander à savoir ce que vous détenez sur sa famille et en obtenir une copie (article 27). Le responsable doit répondre par écrit, avec diligence et au plus tard dans les 30 jours de la réception de la demande (article 32). Depuis septembre 2024, un renseignement informatisé recueilli auprès de la personne doit, à sa demande, lui être communiqué dans un format technologique structuré et couramment utilisé, à moins de difficultés pratiques sérieuses.

Ces dix points couvrent l’essentiel ; août est un bon moment pour les revoir avant les inscriptions d’automne.

Un logiciel ne rend pas un studio conforme ; les décisions restent les vôtres. Cadanse vous aide sur quelques points concrets : les données sont hébergées au Canada, ce qui simplifie votre inventaire des outils, et une famille peut télécharger elle-même une copie des données que le studio conserve sur elle, ce qui facilite la réponse à une demande d’accès.

• Désigner le responsable de la protection des renseignements personnels, par écrit s’il y a délégation.
• Publier son titre et ses coordonnées sur le site du studio.
• Rédiger et publier des politiques de gouvernance et une politique de confidentialité en termes simples.
• Relire la fiche d’inscription et retirer ce qui n’est pas nécessaire.
• Demander un consentement distinct pour chaque fin : infolettre, photos, réseaux sociaux.
• Faire consentir le parent ou le tuteur pour tout élève de moins de 14 ans.
• Limiter l’accès aux renseignements de santé aux personnes qui en ont besoin.
• Inventorier vos outils en ligne, leur lieu d’hébergement et vos contrats avec les fournisseurs.
• Ouvrir un registre des incidents et savoir quand aviser la Commission.
• Fixer des délais de conservation et détruire de façon sécuritaire ce qui n’est plus utile.