Un client demande ses données dans un format informatique, devez-vous obéir
Oui, et le délai est de 30 jours. Le troisième alinéa de l'article 27 vous oblige à communiquer dans un format technologique structuré et couramment utilisé les renseignements informatisés recueillis auprès de la personne elle-même. Deux limites viennent du texte, puisque les renseignements que vous avez créés ou inférés ne sont pas visés, et l'obligation tombe si elle soulève des difficultés pratiques sérieuses.
Le texte, et ses deux exclusions
À moins que cela ne soulève des difficultés pratiques sérieuses, un renseignement personnel informatisé recueilli auprès du requérant, et non pas créé ou inféré à partir d'un renseignement personnel le concernant, lui est, à sa demande, communiqué dans un format technologique structuré et couramment utilisé.
Article 27
Cet alinéa est plus étroit que ce que l'on en dit souvent. Il ne porte que sur des renseignements informatisés, donc le papier en est exclu. Il ne porte que sur ce qui a été recueilli auprès de la personne, donc vos propres analyses ne le sont pas. Et il contient une soupape, les difficultés pratiques sérieuses, qui ne se présume pas et qui doit être motivée.
Trois droits différents dans le même article
L'article 27 contient trois obligations qu'il faut distinguer, parce qu'une demande mal lue conduit à une réponse mal calibrée.
| Ce que la personne demande | Ce que le texte vous impose | Portée |
|---|---|---|
| Voir son dossier et en obtenir une copie | Confirmer l'existence du renseignement, le communiquer et permettre d'en obtenir une copie | Tous les renseignements personnels que vous détenez sur elle, quel que soit le support |
| Une version lisible d'un renseignement informatisé | Le communiquer « sous la forme d'une transcription écrite et intelligible » | Tout renseignement informatisé, y compris ce que vous avez créé |
| Un fichier réutilisable | Le communiquer dans un format technologique structuré et couramment utilisé | Seulement l'informatisé recueilli auprès d'elle, ni créé ni inféré, et sauf difficultés pratiques sérieuses |
Le même alinéa ajoute un destinataire possible. « Ce renseignement est aussi communiqué à sa demande à toute personne ou à tout organisme autorisé par la loi à recueillir un tel renseignement. » La personne peut donc vous demander de transmettre le fichier ailleurs, et non seulement à elle.
Recueilli auprès d'elle, ou créé par vous
La frontière se trace champ par champ. Un renseignement que la personne a saisi, dicté ou fourni est recueilli auprès d'elle. Un renseignement que vous avez produit à partir de ce qu'elle a fourni est créé ou inféré, et il reste accessible par le droit d'accès général, mais pas sous forme de fichier structuré.
| Exemple de champ | Visé par le format structuré |
|---|---|
| Nom, adresse, téléphone, courriel saisis par le client | Oui |
| Préférences qu'il a cochées lui-même | Oui |
| Historique de ses commandes, tel qu'il les a passées | Oui pour les éléments qu'il a fournis |
| Note interne de votre représentant sur l'appel | Non, c'est un renseignement créé |
| Segment de clientèle, pointage de risque, probabilité de départ | Non, c'est un renseignement inféré |
| Dossier papier numérisé en image, sans données extraites | Une image n'est pas un format structuré, expliquez-le dans la réponse |
Le délai, les frais et la forme de la réponse
Les règles communes aux demandes d'accès s'appliquent. L'article 30 exige une demande écrite d'une personne qui justifie de son identité, adressée à votre responsable de la protection des renseignements personnels, et il vous oblige à prêter assistance si la demande n'est pas assez précise.
Le responsable de la protection des renseignements personnels doit répondre par écrit à la demande d'accès ou de rectification, avec diligence et au plus tard dans les 30 jours de la date de réception de la demande. À défaut de répondre dans les 30 jours de la réception de la demande, la personne est réputée avoir refusé d'y acquiescer.
Article 32
L'article 33 pose la gratuité comme règle, tout en permettant des frais raisonnables pour la transcription, la reproduction ou la transmission. Si vous entendez facturer, vous devez informer le requérant du montant approximatif exigible avant de procéder. Un refus, même partiel, doit être motivé selon l'article 34, avec la disposition invoquée, les recours offerts et le délai pour les exercer.
Le format, et ce que le texte ne dit pas
La loi écrit « format technologique structuré et couramment utilisé » et ne nomme aucune extension de fichier. Elle ne vous impose donc ni un format précis, ni un service en ligne, ni un bouton dans votre logiciel. Les formats tabulaires et les formats d'échange de données usuels répondent au texte, un document mis en page pour l'impression ne répond pas à l'exigence de structure.
La réponse type, à adapter
Objet, réponse à votre demande du [date]. Nous avons reçu votre demande le [date de réception]. Vous trouverez ci-joint, dans un format structuré et couramment utilisé, les renseignements que vous nous avez fournis, soit [liste des champs]. Les renseignements suivants ne sont pas transmis dans ce format parce qu'ils ont été créés ou inférés par nous et ne sont pas visés par le troisième alinéa de l'article 27 de la Loi sur la protection des renseignements personnels dans le secteur privé, soit [liste]. Vous pouvez en obtenir copie sous une autre forme en nous le demandant. [S'il y a refus partiel, ajouter la disposition invoquée, les recours et le délai.] Signé, [titre et coordonnées du responsable].
L'obligation qui vise vos projets de système
Le troisième alinéa de l'article 3.3 complète la mécanique. Lors d'un projet d'acquisition, de développement ou de refonte d'un système d'information, vous devez vous assurer « que ce projet permet qu'un renseignement personnel informatisé recueilli auprès de la personne concernée soit communiqué à cette dernière dans un format technologique structuré et couramment utilisé ». C'est une question à poser au fournisseur avant de signer, pas après la première demande.
Si la personne n'est pas satisfaite
L'article 42 lui permet de soumettre à la Commission d'accès à l'information une demande d'examen de mésentente relative à l'application d'une disposition portant sur l'accès ou la rectification. L'article 43 lui donne 30 jours à compter du refus ou de l'expiration de votre délai de réponse. Une absence de réponse de votre part vaut refus, et ouvre donc ce recours.
Pratiques recommandées, qui ne figurent pas dans la loi
- Préparer à l'avance la liste des champs exportables de chacun de vos systèmes, afin que la première demande ne devienne pas un projet.
- Noter la date de réception sur la demande elle-même, puisque c'est elle qui fait courir les 30 jours.
- Expliquer en une phrase, dans la réponse, pourquoi un champ a été exclu, plutôt que de le retirer sans mention.
Pour aller plus loin
La procédure complète d'une demande d'accès, avec les motifs de refus prévus par le texte, est dans comment répondre à une demande d'accès. La distinction entre un renseignement recueilli, dépersonnalisé et anonymisé est expliquée dans ce qui compte comme renseignement personnel. L'obligation liée aux projets de système est traitée dans l'évaluation des facteurs relatifs à la vie privée. Le gabarit de réponse et la grille d'exportation sont dans la trousse.
Articles cités, 3.3, 27, 30, 32, 33, 34, 42, 43 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.
Douze gabarits à remplir, 14 fichiers, téléchargement immédiat.
Autodiagnostic gratuit en douze questions, aucune adresse demandée.
- Combien coûtent vraiment les manquements à la loi 25, et pourquoi les chiffres se contredisent
- Votre fournisseur traite vos renseignements personnels, voici ce que le contrat doit prévoir
- Utiliser un fournisseur américain, ce que la loi 25 exige avant
- Quand le consentement est exigé, et comment le recueillir validement