Si votre entreprise canadienne utilise un service de réponse téléphonique IA, un service de réponse ou tout système qui enregistre et traite des renseignements sur les appelants, la LPRPDE s’applique.
La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, PIPEDA en anglais) régit la façon dont les organisations du secteur privé au Canada recueillent, utilisent et communiquent des renseignements personnels dans le cadre d’activités commerciales. Les appels téléphoniques et les données qu’ils produisent, soit les noms des appelants, leurs coordonnées, les enregistrements et les transcriptions, entrent directement dans son champ d’application.
Choisissez et configurez la réception IA en tenant compte de la confidentialité des appelants. Ce guide présente des questions à poser sur la collecte, l’enregistrement, l’accès et les responsabilités que votre entreprise conserve.
Révision juridique et de confidentialité requise : les affirmations générales du texte source, notamment celles sur le champ d’application de la LPRPDE et le consentement implicite, sont conservées dans cette traduction et doivent être examinées pour votre situation. Elles ne constituent ni un avis juridique ni une attestation de conformité.
Ce que la LPRPDE exige réellement
La LPRPDE repose sur dix principes relatifs à l’équité dans le traitement de l’information. Pour une entreprise qui utilise un système de réponse téléphonique, les plus pertinents sont :
Responsabilité. Votre organisation est responsable des renseignements personnels sous son contrôle, y compris ceux détenus par des fournisseurs tiers en votre nom. Si votre service téléphonique IA conserve des enregistrements d’appels, vous êtes responsable de la façon dont ces données sont traitées, même si vous ne les avez pas conservées vous-même.
Détermination des fins de la collecte. Vous devez déterminer les fins de la collecte des renseignements personnels avant la collecte ou au moment de celle-ci. Si vous enregistrez les appels, vous devriez pouvoir expliquer pourquoi et comment ces renseignements sont utilisés.
Consentement. Les personnes doivent consentir à la collecte, à l’utilisation ou à la communication de leurs renseignements personnels. Dans un contexte d’appel, cela se fait habituellement au moyen d’un avis : informer l’appelant que l’appel peut être enregistré, avant que l’enregistrement commence.
Limitation de la collecte. Recueillez seulement les renseignements réellement nécessaires aux fins déterminées. Un réceptionniste IA qui recueille le nom, le numéro de téléphone et le type de rendez-vous est généralement acceptable. Recueillir des antécédents médicaux détaillés au-delà de ce qui est nécessaire à la planification peut ne pas l’être. Cette appréciation générale du texte source nécessite une révision adaptée au contexte.
Limitation de l’utilisation, de la communication et de la conservation. Les renseignements recueillis pour une fin ne devraient pas être réutilisés à une autre fin. Les enregistrements recueillis pour l’assurance qualité ne devraient pas servir au marketing sans consentement distinct. Les données devraient être conservées seulement le temps nécessaire.
Mesures de sécurité. Les renseignements personnels doivent être protégés par des mesures de sécurité appropriées. Cela s’applique au fournisseur qui traite vos données d’appel.
Accès aux renseignements personnels. Les personnes ont le droit d’accéder aux renseignements personnels que votre organisation détient à leur sujet et d’en contester l’exactitude.
Comment cela s’applique aux systèmes téléphoniques IA
Lorsque vous déployez un service de réponse IA, les renseignements personnels circulent de plusieurs façons :
-
Enregistrements et transcriptions. De nombreux services IA produisent des transcriptions d’appels. Elles contiennent des renseignements personnels : nom de l’appelant, coordonnées et contenu de la conversation.
-
Données d’accueil recueillies. L’IA peut demander des renseignements précis : détails de rendez-vous, raison de l’appel, problèmes de santé pour les cabinets médicaux ou types de dossiers pour les cabinets juridiques. Ces données sont recueillies en votre nom.
-
Stockage par un tiers. Votre fournisseur IA conserve ces données sur son infrastructure. Vous avez effectivement confié leur traitement à un tiers. La LPRPDE continue de vous tenir responsable de la façon dont elles sont traitées.
-
Résidence des données. La LPRPDE n’interdit pas strictement de conserver les données à l’extérieur du Canada, mais elle exige une protection comparable. En pratique, beaucoup d’entreprises canadiennes et leurs clients sont plus à l’aise avec un stockage au Canada.
Questions clés à poser à tout fournisseur de téléphonie IA
Avant de déployer un service de réponse IA dans une entreprise canadienne, obtenez des réponses claires à ces questions :
Où les données sont-elles conservées? Confirmez si les enregistrements, les transcriptions et les données des appelants sont conservés au Canada, aux États-Unis ou ailleurs. Si elles sont conservées à l’extérieur du Canada, demandez comment le fournisseur assure une protection comparable aux exigences de la LPRPDE.
Combien de temps les données sont-elles conservées? Quelle est la période de conservation par défaut des enregistrements et des transcriptions? Pouvez-vous choisir une période plus courte? Les données peuvent-elles être supprimées sur demande?
Qui a accès aux données d’appel? Quels employés du fournisseur peuvent accéder à vos enregistrements ou transcriptions? Y a-t-il des contrôles d’accès et des journaux d’audit?
Comment le fournisseur utilise-t-il les données? Confirmez que vos données d’appel ne servent pas à entraîner des modèles d’IA ou à des fins autres que la prestation du service. Obtenez une confirmation écrite si les conditions standard du fournisseur sont ambiguës.
Que deviennent les données si vous annulez? Combien de temps sont-elles conservées après l’annulation? La suppression est-elle confirmée?
Le fournisseur a-t-il une politique de confidentialité et une entente de traitement des données? Un fournisseur réputé aura les deux et sera disposé à signer une entente précisant ses obligations comme prestataire chargé de traiter des renseignements personnels en votre nom.
Avis d’enregistrement des appels
En vertu de la LPRPDE, la collecte de renseignements personnels exige un consentement. Pour l’enregistrement des appels, cela signifie habituellement informer les appelants que l’appel est enregistré avant que l’enregistrement commence.
La pratique standard consiste à inclure un avis dans l’accueil : « Cet appel peut être enregistré à des fins de qualité et de service. »
Si votre système IA enregistre tous les appels, incluez cet avis dans votre message d’ouverture. C’est un ajout simple qui couvre votre obligation de consentement selon la formulation du texte source. Cette formulation nécessite une révision juridique : un avis seul ne doit pas être considéré ici comme une validation de votre mécanisme de consentement.
Quelques nuances :
- Le consentement est implicite si l’appelant continue. Une fois l’avis donné, poursuivre l’appel constitue un consentement selon le modèle de consentement implicite de la LPRPDE pour les fins commerciales courantes. Cette généralisation du texte source nécessite une révision juridique avant application.
- Pour les renseignements sensibles, comme les données de santé ou les détails financiers, le consentement implicite peut ne pas suffire. Déterminez si un consentement explicite convient à votre cas d’utilisation.
- Variations provinciales. La Loi 25 du Québec, auparavant le projet de loi 64, a introduit des exigences supplémentaires pour les entreprises québécoises, dont des exigences plus strictes de consentement et des avis d’atteinte obligatoires. Si vous exercez vos activités au Québec ou servez des résidents québécois, confirmez que votre configuration respecte aussi ces exigences.
Liste pratique de conformité
Voici une liste de travail pour les entreprises canadiennes qui déploient la réponse téléphonique IA :
- Avis d’enregistrement inclus dans le message d’ouverture
- Fins de la collecte des renseignements des appelants déterminées et documentées
- Conditions du fournisseur examinées pour le traitement, le stockage, les sous-traitants et les transferts transfrontaliers
- Période de conservation par défaut et possibilité de demander la suppression confirmées
- Conditions du fournisseur examinées pour toute utilisation des données au-delà de la prestation du service
- Politique interne établie pour l’utilisation des transcriptions et des enregistrements à l’interne
- Processus de réponse aux demandes individuelles d’accès confirmé
- Pour les cabinets de santé : examen de l’alignement avec les lois provinciales de confidentialité en santé, comme PHIPA et HIA, en plus de la LPRPDE
La LPRPDE n’empêche pas la réponse téléphonique IA
Évaluez les responsabilités de confidentialité dans le choix et la configuration de la réception IA pour votre petite entreprise de services canadienne.
La LPRPDE exige que vous :
- Sachiez quelles données vous recueillez et pourquoi
- Choisissiez des fournisseurs qui traitent ces données de façon responsable
- Informiez les appelants de l’enregistrement
- Ayez un moyen de répondre lorsqu’un appelant demande des renseignements sur ses données
Un service de réponse IA bien conçu pour les entreprises canadiennes prend en charge la plupart de ces obligations par défaut, plutôt que de vous laisser tout configurer, selon le texte source. Cette affirmation générale doit être examinée pour le fournisseur et la configuration choisis; elle ne transfère pas vos responsabilités.
Questions fréquentes
La LPRPDE s’applique-t-elle si nous prenons seulement des messages sans enregistrer les appels?
Même sans enregistrement, les transcriptions d’appels produites par les systèmes IA contiennent des renseignements personnels. Le nom, le numéro de téléphone et le contenu du message d’un appelant sont des renseignements personnels en vertu de la LPRPDE. Les mêmes principes s’appliquent.
Nous sommes une petite entreprise. La LPRPDE s’applique-t-elle quand même?
Oui. La LPRPDE s’applique à toute organisation du secteur privé au Canada exerçant une activité commerciale qui implique des renseignements personnels, quelle que soit sa taille. La charge pratique de conformité varie selon votre volume et la sensibilité des données, mais les obligations existent. Cette affirmation générale du texte source nécessite une révision de l’applicabilité des lois à votre situation.
Quelle est la différence entre la LPRPDE et les lois provinciales sur la confidentialité?
L’Alberta (PIPA), la Colombie-Britannique (PIPA) et le Québec (Loi 25) ont des lois provinciales jugées essentiellement similaires qui s’appliquent à la place de la LPRPDE pour les activités commerciales provinciales. Les principes de base sont cohérents. La Loi 25 du Québec ajoute des exigences plus strictes. Si vous exercez principalement vos activités dans l’une de ces provinces, examinez aussi la loi provinciale applicable. La portée de cette présentation générale reste à réviser juridiquement.
Sommes-nous conformes à la LPRPDE si nous utilisons un service téléphonique IA américain?
Conserver les données chez un fournisseur américain ne contrevient pas automatiquement à la LPRPDE, mais vous demeurez responsable d’assurer une protection comparable. Cela signifie examiner les pratiques de sécurité du fournisseur, les conditions de traitement des données et les lois américaines susceptibles de s’appliquer, particulièrement l’accès gouvernemental aux données. Beaucoup d’entreprises canadiennes préfèrent un stockage au Canada pour simplifier cette analyse.
Commencer avec une configuration tenant compte de la LPRPDE
La bonne approche consiste à intégrer la conformité en matière de confidentialité au choix du fournisseur dès le départ.
Lorsque vous évaluez les services de réponse téléphonique IA pour votre entreprise canadienne, commencez par les questions de conformité ci-dessus. Un fournisseur qui ne peut pas répondre clairement devrait vous inciter à chercher ailleurs.
Pour une solution de réponse téléphonique conçue pour les entreprises canadiennes en tenant compte des exigences de confidentialité, explorez la réponse téléphonique IA au Canada et voyez comment Dialbox aborde le traitement des données.
Explorez la réception IA au Canada et examinez les responsabilités de confidentialité applicables à votre entreprise.
Cet article fournit des renseignements généraux sur la LPRPDE et son application aux systèmes téléphoniques. Il ne constitue pas un avis juridique. Pour des questions précises de conformité, consultez un avocat spécialisé en confidentialité ou le conseiller juridique de votre organisation.
