Trousse de conformité Loi 25

Un logiciel ou une IA décide à votre place, ce que vous devez dire

L'article 12.1 ne s'applique qu'aux décisions fondées exclusivement sur un traitement automatisé de renseignements personnels. Dans ce cas, vous devez informer la personne au plus tard au moment où vous lui annoncez la décision, lui fournir sur demande trois éléments précis, et lui donner l'occasion de présenter ses observations à un membre de votre personnel en mesure de réviser la décision. Si une personne examine réellement le dossier avant de trancher, l'article 12.1 ne s'applique pas, mais d'autres obligations demeurent.

Le texte complet, parce que chaque membre de phrase compte

Toute personne qui exploite une entreprise et qui utilise des renseignements personnels afin que soit rendue une décision fondée exclusivement sur un traitement automatisé de ceux-ci doit en informer la personne concernée au plus tard au moment où elle l'informe de cette décision. Elle doit aussi, à la demande de la personne concernée, l'informer: 1° des renseignements personnels utilisés pour rendre la décision; 2° des raisons, ainsi que des principaux facteurs et paramètres, ayant mené à la décision; 3° de son droit de faire rectifier les renseignements personnels utilisés pour rendre la décision. Il doit être donné à la personne concernée l'occasion de présenter ses observations à un membre du personnel de l'entreprise en mesure de réviser la décision.

Article 12.1

Quatre obligations se dégagent, et elles ne se déclenchent pas au même moment. L'information sur le caractère automatisé est spontanée, au plus tard avec la décision. Les trois éléments de la liste ne sont dus que sur demande. L'occasion de présenter des observations, elle, n'est pas conditionnelle à une demande dans le texte, et elle doit viser une personne en mesure de réviser, non un simple point de contact.

Le mot exclusivement est la charnière

Un outil qui classe, trie, pointe ou recommande ne déclenche pas l'article 12.1 si une personne examine ensuite le dossier et décide. L'article vise la décision qui sort du système sans intervention humaine.

Si la révision humaine est une case cochée sans lecture, le caractère exclusif du traitement redevient une question de fait, et c'est vous qui devrez démontrer le contraire. Une trace de l'examen, par exemple le nom de la personne et la date, est la seule façon pratique de soutenir la position.

Ce qui reste exigé même sans décision exclusivement automatisée

L'article 12.1 n'est pas la seule disposition en jeu lorsque vous introduisez un outil d'analyse.

• L'article 8.1 impose d'informer au préalable la personne du recours à une technologie permettant de l'identifier, de la localiser ou d'effectuer un profilage, et des moyens offerts pour activer ces fonctions. Le même article définit le profilage comme la collecte et l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne, notamment à des fins d'analyse du rendement au travail, de la situation économique, de la santé, des préférences, des intérêts ou du comportement.
• L'article 11 vous oblige à veiller à ce que les renseignements soient à jour et exacts au moment où vous les utilisez pour prendre une décision, et à les conserver pendant au moins un an suivant cette décision.
• L'article 12 limite l'utilisation aux fins déterminées avant la collecte. Alimenter un modèle avec des renseignements recueillis pour autre chose est une utilisation à une autre fin, qui doit tomber dans un des cas du deuxième alinéa ou être consentie.
• L'article 3.3 impose une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels.

Quel régime de sanction est en jeu

La distinction mérite d'être faite avec soin, parce que les deux régimes sont souvent mélangés. Le paragraphe 5° du premier alinéa de l'article 90.1 nomme expressément ce manquement parmi ceux qui peuvent donner lieu à une sanction administrative pécuniaire, soit le fait de ne pas informer la personne concernée par une décision fondée exclusivement sur un traitement automatisé ou de ne pas lui donner l'occasion de présenter ses observations. La liste des infractions pénales de l'article 91 ne mentionne pas l'article 12.1. Les deux régimes ont des plafonds, des autorités et des prescriptions différents, et ils ne se confondent pas.

Le texte à coller dans votre avis de décision

Les deux paragraphes suivants reprennent les éléments exigés par le texte. Le premier se joint à la décision, le second répond à une demande de précisions.

À joindre à la décision. Cette décision a été rendue au moyen d'un traitement automatisé de renseignements personnels, sans intervention humaine. Vous pouvez demander quels renseignements ont été utilisés, les raisons ainsi que les principaux facteurs et paramètres qui ont mené à la décision, et vous avez le droit de faire rectifier les renseignements utilisés. Vous pouvez aussi présenter vos observations à [titre de la personne habilitée à réviser la décision], à [coordonnées]. Celle-ci est en mesure de réviser la décision.

En réponse à une demande de précisions. Renseignements utilisés, [liste des champs, pas des catégories vagues]. Raisons de la décision, [en une ou deux phrases compréhensibles]. Principaux facteurs et paramètres, [les éléments qui ont le plus pesé et les seuils appliqués]. Vous pouvez faire rectifier ces renseignements s'ils sont inexacts, incomplets ou équivoques, en écrivant à [coordonnées du responsable].

Le registre à tenir, une ligne par traitement

Le texte n'impose pas ce registre. Il vous impose d'être capable de répondre aux trois éléments du deuxième alinéa de l'article 12.1, et un tableau tenu d'avance est la façon la plus simple d'y arriver.

Pratiques recommandées, qui ne figurent pas dans la loi

• Exiger du fournisseur du logiciel une description écrite des facteurs et des seuils utilisés, avant la mise en service. Sans elle, vous ne pourrez pas répondre au paragraphe 2° du deuxième alinéa de l'article 12.1.
• Désigner nommément la personne qui révise, et vérifier qu'elle a le pouvoir de renverser la décision, pas seulement de l'expliquer.
• Conserver les paramètres en vigueur à la date de chaque décision, parce qu'un modèle qui change rend une explication rétroactive impossible.

Cette page porte sur les obligations de la loi québécoise du secteur privé. Elle ne traite pas des règles qui pourraient s'appliquer à un système par ailleurs, notamment en matière de discrimination, qui relèvent de la Charte des droits et libertés de la personne et du droit du travail.

Pour aller plus loin

La question des champs utilisés suppose un inventaire, traité dans ce qui compte comme renseignement personnel. Les demandes de précisions suivent les règles d'une demande d'accès, décrites dans comment répondre à une demande d'accès. La différence entre le régime administratif et le régime pénal est détaillée dans ce que coûtent les manquements. Le registre et les avis prêts à adapter sont dans la trousse.

Articles cités, 3.3, 8.1, 11, 12, 12.1, 90.1, 91 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.