Lorsque vous utilisez un service de réponse téléphonique, humain ou IA, vous partagez des données clients avec un tiers. Au Canada, cela entraîne des obligations en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, PIPEDA en anglais).
Examinez la confidentialité des appelants avant de lancer la réception. Ce guide présente des questions à poser au fournisseur et des décisions de configuration à discuter avec les personnes responsables de la confidentialité dans votre entreprise.
Révision juridique et de confidentialité requise : cette traduction conserve les énoncés et les réserves du texte source. Leur applicabilité, notamment en matière de consentement, de lois provinciales, de résidence des données et de conservation, doit être examinée pour votre situation. Ce guide n’atteste la conformité d’aucun fournisseur ni d’aucune entreprise.
Qu’est-ce que la LPRPDE?
La LPRPDE est la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé. Elle régit la façon dont les organisations recueillent, utilisent et communiquent des renseignements personnels dans le cadre d’activités commerciales.
Qui doit s’y conformer?
La LPRPDE s’applique :
- Aux organisations du secteur privé exerçant leurs activités au Canada
- Aux renseignements personnels recueillis pendant des activités commerciales
- Aux transactions interprovinciales et internationales
Remarque : le Québec, la Colombie-Britannique et l’Alberta ont leurs propres lois sur la protection des renseignements personnels jugées essentiellement similaires. La LPRPDE continue toutefois de s’appliquer aux flux de données interprovinciaux et internationaux provenant de ces provinces. L’applicabilité de ces énoncés nécessite une révision juridique.
Qu’est-ce qu’un « renseignement personnel »?
Selon la LPRPDE, les renseignements personnels comprennent tout renseignement concernant une personne identifiable, par exemple :
- Le nom et les coordonnées
- Le numéro de téléphone, y compris l’historique des appels
- Les enregistrements vocaux
- Les détails de rendez-vous
- Les renseignements de santé
- Les renseignements financiers
- Tout détail permettant d’identifier une personne communiqué pendant un appel
Important : les enregistrements d’appels sont considérés comme des renseignements personnels en vertu de la LPRPDE.
Pourquoi les services de réponse téléphonique présentent des risques élevés
Les services de réponse téléphonique traitent des données sensibles par nature :
| Type de données | Risque pour la confidentialité |
|---|---|
| Numéros de téléphone des appelants | Permettent d’identifier des personnes |
| Enregistrements d’appels | Contiennent des données biométriques vocales et le contenu des conversations |
| Messages et notes | Peuvent inclure des détails médicaux, juridiques ou financiers |
| Détails de rendez-vous | Révèlent des habitudes et des associations |
| Questions des appelants | Peuvent révéler des situations sensibles |
Lorsque vous utilisez un service de réponse tiers, vous êtes responsable de vous assurer que ce fournisseur traite ces données conformément à la LPRPDE.
Exigences de la LPRPDE pour la réponse téléphonique
1. Responsabilité (principe 1)
Votre organisation demeure responsable des renseignements personnels transférés à des tiers.
Ce que cela signifie :
- Vous ne pouvez pas déléguer votre responsabilité de conformité
- Vous devez vous assurer que votre fournisseur de réponse téléphonique respecte la LPRPDE
- Des ententes écrites devraient préciser les obligations de confidentialité
- Vous devriez auditer ou vérifier la conformité du fournisseur
Mesures à prendre :
- Inclure des exigences de conformité à la LPRPDE dans les ententes de service
- Vérifier les politiques et les pratiques de confidentialité du fournisseur
- Désigner une personne responsable de la confidentialité à l’interne
2. Détermination des fins de la collecte (principe 2)
Vous devez déterminer pourquoi vous recueillez des renseignements personnels avant la collecte ou au moment de celle-ci.
Pour les services de réponse téléphonique, les fins courantes comprennent :
- Répondre aux demandes
- Fixer des rendez-vous
- Prendre des messages en vue d’un rappel
- Qualifier les demandes de clients potentiels
- Acheminer les appels urgents
Mesures à prendre :
- Documenter les fins de la collecte des renseignements des appelants
- Vous assurer que votre service de réponse recueille seulement ce qui est nécessaire à ces fins
- Ne pas recueillir de renseignements « au cas où » sans fin précise
3. Consentement (principe 3)
La connaissance et le consentement sont requis pour recueillir, utiliser ou communiquer des renseignements personnels.
L’enregistrement des appels demande une attention explicite :
| Scénario | Exigence de consentement |
|---|---|
| Traitement de base des appels | Le consentement implicite suffit généralement |
| Enregistrement des appels | Avis obligatoire; consentement implicite ou exprès selon la sensibilité |
| Partage avec des tiers | Avis obligatoire; consentement requis |
| Utilisation pour le marketing | Consentement exprès requis |
Les formulations générales de ce tableau sont conservées du texte source et nécessitent une révision juridique avant utilisation.
Bonnes pratiques pour l’enregistrement des appels :
- Inclure un avis dans votre accueil : « Cet appel peut être enregistré à des fins de qualité et de formation »
- Documenter que cet avis est donné à chaque appel
- Offrir la possibilité de refuser l’enregistrement si c’est possible
Mesures à prendre :
- Vous assurer que votre accueil comprend un avis d’enregistrement, s’il y a lieu
- Vérifier les mécanismes de consentement du fournisseur
- Documenter comment le consentement est obtenu et consigné
4. Limitation de la collecte (principe 4)
Recueillez seulement les renseignements personnels nécessaires aux fins déterminées.
Pour la réponse téléphonique, cela signifie :
- Recueillir ce qui est nécessaire pour aider l’appelant : nom, numéro et raison de l’appel
- Ne pas recueillir de renseignements superflus par habitude
- Former l’IA ou les téléphonistes à limiter la collecte
Signaux d’alarme :
- Demander un numéro d’assurance sociale (NAS) sans nécessité
- Recueillir des détails de santé au-delà de ce qui est nécessaire
- Enregistrer les appels lorsque des messages suffiraient
Mesures à prendre :
- Examiner les renseignements recueillis par votre service de réponse
- Retirer les champs inutiles des scripts d’accueil
- Configurer l’IA pour recueillir seulement les renseignements essentiels
5. Limitation de l’utilisation, de la communication et de la conservation (principe 5)
Les renseignements personnels devraient seulement être utilisés ou communiqués aux fins pour lesquelles ils ont été recueillis, et conservés seulement le temps nécessaire.
Points clés :
| Élément | Exigence de la LPRPDE |
|---|---|
| Utilisation | Seulement aux fins indiquées |
| Communication | Seulement aux parties autorisées |
| Conservation | Seulement le temps nécessaire |
| Suppression | Doit être possible et vérifiable |
Questions courantes sur la conservation :
- Combien de temps le fournisseur conserve-t-il les enregistrements d’appels?
- Combien de temps les messages sont-ils conservés?
- Les données peuvent-elles être supprimées sur demande?
- Que se passe-t-il lorsque vous annulez le service?
Mesures à prendre :
- Établir des périodes de conservation des données d’appel
- Vérifier les politiques de conservation et de suppression du fournisseur
- Vous assurer que les données peuvent être supprimées lorsqu’elles ne sont plus nécessaires
6. Exactitude (principe 6)
Les renseignements personnels doivent être exacts, complets et à jour pour les fins auxquelles ils sont destinés.
Pour la réponse téléphonique :
- Les renseignements de l’appelant devraient être recueillis avec exactitude
- Les transcriptions devraient être raisonnablement exactes
- Vous devriez disposer de processus pour corriger les erreurs
Mesures à prendre :
- Examiner l’exactitude des transcriptions des services IA
- Prévoir des procédures permettant aux appelants de corriger leurs renseignements
- Vérifier l’orthographe des noms et les coordonnées
7. Mesures de sécurité (principe 7)
Les renseignements personnels doivent être protégés par des mesures de sécurité appropriées.
Exigences de sécurité pour les services de réponse téléphonique :
| Mesure de sécurité | Pourquoi elle compte |
|---|---|
| Chiffrement en transit | Protège les appels et les données pendant la transmission |
| Chiffrement au repos | Protège les enregistrements et les messages conservés |
| Contrôles d’accès | Limite qui peut accéder aux données des appelants |
| Journalisation des accès | Permet de savoir qui a accédé à quoi et quand |
| Centres de données sécurisés | Sécurité physique des serveurs |
| Formation du personnel | Prévient les erreurs humaines et les menaces internes |
Question essentielle : quels engagements sur les données figurent au contrat?
- Demandez où les données des appelants sont conservées et traitées
- Examinez les sous-traitants et les avis de transfert transfrontalier
- Confirmez les processus de conservation, de suppression, d’exportation et de contrôle des accès
Mesures à prendre :
- Vérifier les certifications de sécurité du fournisseur (SOC 2, ISO 27001)
- Confirmer les conditions relatives au stockage, au traitement, aux sous-traitants et aux transferts transfrontaliers
- Examiner les contrôles d’accès et les capacités d’audit
- Vous assurer que les normes de chiffrement respectent les bonnes pratiques du secteur
8. Transparence (principe 8)
Les organisations doivent faire preuve de transparence au sujet de leurs politiques et pratiques de confidentialité.
Ce qui est requis :
- Une politique de confidentialité publiée couvrant la réponse téléphonique
- Une explication claire du traitement des données des appelants
- Des coordonnées pour les demandes concernant la confidentialité
Mesures à prendre :
- Mettre à jour votre politique de confidentialité pour couvrir les services de réponse tiers
- Indiquer que les appels peuvent être pris par une IA ou un tiers, s’il y a lieu
- Fournir un contact clair pour les questions de confidentialité
9. Accès aux renseignements personnels (principe 9)
Sur demande, les personnes doivent être informées de l’existence, de l’utilisation et de la communication de leurs renseignements personnels et y avoir accès.
Pour les services de réponse téléphonique :
- Les appelants peuvent demander des copies de leurs données
- Les appelants peuvent demander les transcriptions ou les enregistrements
- Vous devez pouvoir répondre à ces demandes
Mesures à prendre :
- Vérifier que le fournisseur peut exporter les données des appelants sur demande
- Établir un processus de traitement des demandes d’accès
- Documenter comment récupérer les enregistrements au besoin
10. Possibilité de porter plainte à l’égard du non-respect des principes (principe 10)
Les personnes doivent pouvoir contester le respect de ces principes par une organisation.
Ce que cela signifie :
- Vous avez besoin d’un processus de plaintes en matière de confidentialité
- Les plaintes devraient être examinées et traitées
- Vous pourriez devoir modifier vos pratiques à la suite de plaintes
Mesures à prendre :
- Désigner un contact chargé des plaintes de confidentialité
- Établir des procédures de traitement des plaintes
- Documenter les plaintes reçues et en tirer des leçons
Comment examiner la conformité d’un fournisseur
Posez ces questions lorsque vous évaluez des services de réponse téléphonique :
Résidence des données
- Question : où sont situés vos serveurs?
- À demander : les emplacements actuels de stockage et de traitement, les détails sur les sous-traitants et les mesures de protection documentées au contrat.
- À examiner : si ces arrangements respectent les obligations applicables à votre entreprise.
Certifications de sécurité
- Question : quelles certifications de sécurité détenez-vous?
- Meilleure réponse : SOC 2 Type II, ISO 27001 ou l’équivalent
- Signal d’alarme : aucun audit de sécurité par un tiers
Chiffrement
- Question : comment les données sont-elles chiffrées?
- Meilleure réponse : AES-256 au repos, TLS 1.3 en transit
- Signal d’alarme : « Notre fournisseur infonuagique s’en occupe »
Conservation des données
- Question : combien de temps conservez-vous les données d’appel?
- Meilleure réponse : conservation configurable avec suppression automatique
- Signal d’alarme : « Nous gardons tout indéfiniment »
Contrôles d’accès
- Question : qui peut accéder aux données des appelants?
- Meilleure réponse : accès selon les rôles avec journalisation
- Signal d’alarme : « Notre équipe de soutien peut tout voir »
Sous-traitants
- Question : partagez-vous des données avec des tiers?
- Meilleure réponse : liste divulguée des sous-traitants
- Signal d’alarme : réponses vagues ou tiers inconnus
Conditions contractuelles
- Question : signerez-vous une entente de traitement des données?
- Meilleure réponse : oui, une entente type (DPA) est disponible
- Signal d’alarme : refus ou incompréhension de la question
Liste de conformité à la LPRPDE pour la réponse téléphonique
Utilisez cette liste pour choisir ou auditer votre service de réponse téléphonique. Les critères du texte source nécessitent une révision juridique; ils ne constituent pas une certification ni une liste exhaustive des exigences légales.
Choix du fournisseur
- Serveurs situés au Canada
- Certification de sécurité SOC 2 ou équivalente
- Chiffrement au repos et en transit
- Politiques claires de conservation et de suppression des données
- Volonté de signer une entente de traitement des données
- Liste documentée des sous-traitants
- Documentation de conformité propre à la LPRPDE
Votre mise en œuvre
- Avis d’enregistrement dans l’accueil, s’il y a lieu
- Mécanisme de consentement pour la collecte de données sensibles
- Politique de confidentialité mise à jour pour couvrir le service de réponse
- Périodes de conservation définies
- Processus de réponse aux demandes d’accès établi
- Procédure de traitement des plaintes de confidentialité en place
- Responsabilité interne attribuée
Conformité continue
- Examen régulier de la conformité du fournisseur
- Audit des pratiques de collecte
- Application des périodes de conservation
- Formation du personnel sur les obligations de confidentialité
- Plan de réponse aux incidents en cas d’atteinte
Considérations propres aux secteurs
Fournisseurs de soins de santé
En plus de la LPRPDE, les fournisseurs de soins de santé peuvent être assujettis aux lois provinciales sur les renseignements de santé :
- Ontario : PHIPA (Personal Health Information Protection Act)
- Colombie-Britannique : PIPA et réglementation propre à la santé
- Alberta : HIA (Health Information Act)
Exigences supplémentaires :
- Consentement plus strict pour les renseignements de santé
- Exigences de conservation plus longue
- Mesures de sécurité supplémentaires
- Obligations d’avis en cas d’atteinte
Professionnels du droit
Les cabinets d’avocats ont des obligations supplémentaires :
- Protection du secret professionnel de l’avocat
- Règles des barreaux concernant les renseignements des clients
- Considérations de responsabilité professionnelle
Question clé : votre service de réponse comprend-il le secret professionnel?
Services financiers
Les institutions financières peuvent avoir des exigences réglementaires supplémentaires :
- Lignes directrices de l’OSFI pour les institutions sous réglementation fédérale
- Réglementation provinciale des valeurs mobilières
- Obligations de lutte contre le blanchiment d’argent
Questions fréquentes
L’enregistrement d’appels est-il légal au Canada?
Oui, avec un avis approprié. Le Canada est un territoire de « consentement d’une seule partie », ce qui signifie que l’enregistrement est légal si une partie, y compris votre entreprise, y consent. La LPRPDE exige toutefois un avis d’enregistrement par souci de transparence, et certaines lois provinciales ajoutent des exigences. Cette réponse générale du texte source nécessite une révision juridique et ne permet pas à elle seule de conclure qu’un enregistrement précis est autorisé.
Ai-je besoin d’un consentement explicite pour chaque appel?
Pour les appels d’affaires courants, le consentement implicite, soit la poursuite de l’appel après l’avis, suffit généralement. Pour les renseignements sensibles concernant la santé, les finances ou le droit, envisagez des mécanismes de consentement exprès. Cette généralisation du texte source doit être examinée avec un conseiller qualifié avant d’être appliquée.
Que faire si mon fournisseur conserve ou traite les données à l’extérieur du Canada?
Le traitement transfrontalier n’est pas automatiquement non conforme à la LPRPDE, mais il exige des avis clairs, des mesures de protection et un examen contractuel. Demandez où les données sont conservées et traitées, quels sous-traitants interviennent et comment fonctionnent l’accès, la suppression et les avis d’atteinte.
Combien de temps devrais-je conserver les enregistrements d’appels?
Conservez les enregistrements seulement le temps nécessaire aux fins de la collecte. Périodes courantes mentionnées dans le texte source :
- Activités commerciales générales : 30-90 jours
- Règlement de différends : 1-2 ans
- Exigences réglementaires : selon le secteur
Ces durées nécessitent une révision pour votre situation; elles ne constituent pas des délais légaux validés.
Que se passe-t-il en cas d’atteinte aux données?
La LPRPDE exige un avis lorsqu’il existe un « risque réel de préjudice grave ». Vous devez aviser les personnes touchées et signaler l’atteinte au Commissaire à la protection de la vie privée. Votre fournisseur de réponse devrait avoir des procédures d’avis d’atteinte en place.
La réponse IA est-elle plus ou moins risquée que la réponse humaine?
Les services IA peuvent tout autant être conformes à la LPRPDE. Les facteurs clés sont les politiques et l’infrastructure du fournisseur, plutôt que le recours à des humains ou à l’IA. L’IA peut offrir des avantages comme une minimisation constante des données et des politiques de conservation automatisées. Il s’agit de possibilités, et non d’une conformité attestée.
Choisir un fournisseur conforme
Pour les entreprises canadiennes qui privilégient la conformité à la LPRPDE, recherchez des fournisseurs qui offrent :
- Des conditions claires de traitement des données : savoir où elles sont conservées, traitées et consultées; en savoir plus sur la réponse téléphonique IA au Canada
- Une conservation configurable : établir et appliquer des périodes de conservation
- Du chiffrement : chiffrement au repos et en transit conforme aux normes du secteur
- Des contrôles d’accès : limiter qui peut voir les données des appelants
- Des journaux d’audit : suivre tous les accès aux données
- Des capacités d’exportation : répondre facilement aux demandes d’accès
- Une entente de traitement disponible : volonté de formaliser les obligations de confidentialité
Dialbox offre une conservation configurable, des contrôles d’accès et des processus tenant compte de la confidentialité pour les entreprises qui privilégient la conformité à la LPRPDE. Ces affirmations du texte source restent à examiner; elles n’attestent pas la conformité.
Examinez le fournisseur et vos pratiques de réception
Confirmez les obligations de confidentialité applicables à votre entreprise et examinez ensemble le fournisseur, les contrats et les pratiques de réception.
Points à retenir :
- Vous demeurez responsable même lorsque vous utilisez des services tiers
- Les conditions de traitement, les sous-traitants, la conservation et les contrôles de suppression comptent
- Le consentement nécessite des avis, surtout pour l’enregistrement des appels
- La conservation devrait être limitée et les limites appliquées
- Les certifications de sécurité fournissent une vérification par un tiers
Ne traitez pas la conformité en matière de confidentialité après coup. Choisissez votre fournisseur de réponse téléphonique en tenant compte de la LPRPDE dès le départ.
Consultez les tarifs et les conditions d’essai Dialbox et évaluez une réponse téléphonique IA axée sur la confidentialité pour votre entreprise.
Sources primaires
- Commissariat à la protection de la vie privée du Canada : aperçu des exigences de la LPRPDE (en anglais)
- Commissariat à la protection de la vie privée du Canada : guide de confidentialité pour les entreprises (en anglais)
- Politique de confidentialité Dialbox
- Conditions de service Dialbox
Cet article est fourni à titre informatif seulement et ne constitue pas un avis juridique. Consultez un professionnel de la confidentialité ou un conseiller juridique pour des conseils adaptés à votre situation.
