Loi 25 et propriétaire bailleur au Québec : obligations et risques

La Loi 25 s'applique-t-elle vraiment à moi ?

Oui. Dès que vous louez un seul logement résidentiel au Québec, vous êtes considéré comme exploitant une entreprise aux yeux de la loi. La Loi 25 sur la protection des renseignements personnels dans le secteur privé vous concerne donc entièrement, même si vous gérez une seule propriété. Il n'existe aucune exemption pour les petits propriétaires.

Cette loi modernise le cadre québécois de protection des données personnelles. Elle est entrée en vigueur par phases depuis septembre 2022 et impose des obligations croissantes jusqu'en 2024. Si vous aviez un doute, c'est maintenant confirmé : ignorer la Loi 25 n'est pas une option.

Trois dates clés à retenir

La Loi 25 a un calendrier d'entrée en vigueur décalé. Voici ce qui compte pour vous :

Septembre 2022 : Les dispositions générales et les droits des citoyens entrent en vigueur. C'est l'étape où la plupart des obligations de base s'appliquent déjà.

Septembre 2023 : Nouveaux droits pour les locataires, notamment le droit à la portabilité des données (ils peuvent demander une copie dans un format structuré).

Septembre 2024 : C'est le moment où le droit à l'oubli et la désindexation deviennent opérationnels. Les locataires peuvent forcer la suppression ou l'anonymisation de certaines données.

Si vous n'avez rien fait jusqu'à présent, vous êtes déjà hors délai sur plusieurs points. L'urgence est maintenant de rattraper le terrain perdu.

Quelles données pouvez-vous vraiment collecter ?

La Loi 25 repose sur un principe : minimiser la collecte. Vous ne pouvez demander que les données strictement nécessaires pour prendre une décision de location.

Sont justifiés :

• Nom, adresse, numéro de téléphone, adresse courriel
• Revenu ou preuve d'emploi (pour évaluer la capacité de payer)
• Historique des loyers (antécédents locatifs)
• Références personnelles ou professionnelles

Malaisés ou interdits :

• Numéro d'assurance sociale (NAS) lors de la demande initiale. Vous pouvez le demander plus tard, après la signature du bail, si nécessaire pour l'administration.
• Rapport complet de crédit détaillé obtenu sans consentement explicite
• Antécédents judiciaires complets ou casier judiciaire
• Données biométriques, données de santé, orientation sexuelle, origin ethnique

Un candidat refuse de donner certaines informations ? Vous ne pouvez pas le pénaliser pour cela, mais vous pouvez rejeter sa candidature sur d'autres critères objectifs. La ligne est fine. Consultez un notaire ou un gestionnaire si vous avez un doute sur un refus spécifique.

L'obligation du responsable PRPP : ne l'oubliez pas

Si vous exploitez une entreprise (ce qui est votre cas), vous devez désigner un responsable de la protection des renseignements personnels (PRPP).

Cette personne peut être :

• Vous-même (si vous avez le temps et les compétences)
• Un membre de votre équipe (si vous avez un gestionnaire ou une assistante)
• Une entreprise externe spécialisée (de plus en plus courant pour les petits propriétaires)

Les tâches du PRPP incluent :

• Mettre en place une politique de confidentialité
• Documenter où et comment les données sont stockées
• Gérer les demandes d'accès des locataires
• Traiter les incidents de sécurité (ex : e-mail envoyé au mauvais destinataire)
• Coopérer avec la Commission d'accès à l'information (CAI) si une plainte survient

Si vous ne désignez personne officiellement, vous n'êtes pas conformes. Et ce manquement sera relevé lors d'une inspection ou d'une plainte.

Combien de temps conserver les dossiers ?

Une question légitime : "À quel moment je peux jeter les documents du locataire ?"

Il n'existe pas de délai unique. La règle est : gardez les données tant qu'elles sont nécessaires. Après le départ du locataire :

• Dossier de candidature et références : en général, 12 mois suffit (après, il n'y a pas d'intérêt légitime)
• Dossier du locataire en place : pendant la durée du bail + contrats après départ
• Données relatives au paiement des loyers : gardez-les pour vos impôts et comme preuve (7 ans pour Revenu Canada, 6 ans pour la loi québécoise)
• Dépôts de sécurité et quittances : au moins jusqu'à résolution des litiges possibles

Une fois le délai expiré, vous devez détruire ou anonymiser les données. Ne pas le faire peut valoir une amende. Oui, c'est une obligation active.

Incidents et fuites de données : la procédure

Un incident de confidentialité, c'est quand une donnée vous échappe. Exemple : vous envoyez un rapport de crédit au mauvais candidat par courriel, ou un ancien locataire découvre son dossier accessible accidentellement sur votre serveur.

Votre processus :

1. Détectez l'incident et documentez-le (date, heure, données concernées, nombre de personnes affectées).
2. Évaluez le risque : la fuite présente-t-elle un risque réel d'atteinte grave aux droits et libertés ? (discrimination, usurpation d'identité, etc.)
3. Si risque grave : vous avez 30 jours pour signaler l'incident à la CAI et notifier les personnes touchées.
4. Si risque faible : vous documentez mais ne devez pas obligatoirement signaler (exemple : enveloppe perdue contenant le nom et téléphone d'un candidat, mais pas d'informations sensibles).

La CAI peut enquêter. Si elle conclut à une violation sérieuse, des amendes suivront.

Les risques financiers : amendes et pénalités

La Loi 25 donne à la CAI des pouvoirs de sanction importants.

Pour une entreprise (même une petite propriété locative est une "entreprise") :

• Amende jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires annuel brut (le plus élevé)
• Pour une violation grave (ex : collecte massive sans consentement)

Pour un particulier (si vous êtes en défaut personnel) :

• Amende de 5 000 à 100 000 dollars
• Possible action en poursuite civile par un locataire lésé

Ces montants ne sont pas théoriques. La CAI renforce ses contrôles. Même une petite propriété de 3 logements peut attirer l'attention si un locataire se plaint.

Comment vous mettre en conformité rapidement

Étape 1 : Audit interne (1 à 2 semaines)

• Listez tous les dossiers que vous avez (candidatures, baux, paiements, incidents)
• Identifiez où ils sont stockés (papier, disque dur, nuage, courrier électronique)
• Repérez les données sensibles inutiles à conserver

Étape 2 : Politique de confidentialité (1 semaine)

• Écrivez une politique simple expliquant pourquoi vous collectez les données, comment vous les gardez, quels sont les droits des locataires
• Affichez-la dans le formulaire de demande de location et le bail
• Conservez une copie numérique et papier

Étape 3 : Désignation du PRPP (1 jour)

• Décidez qui sera responsable : vous, un membre de l'équipe, ou un tiers
• Documentez cette nomination (une simple décision écrite suffit)

Étape 4 : Processus de demande d'accès (1 semaine)

• Un locataire peut demander une copie de ses données. Préparez un modèle de réponse.
• Délai légal : 30 jours pour fournir l'information
• Vous pouvez facturer les frais de reproduction (papier, numérique), mais pas plus que le coût réel

Étape 5 : Stockage sécurisé (2 à 4 semaines)

• Les dossiers papier doivent être verrouillés (classeur ou armoire sous clé)
• Les fichiers numériques : mot de passe, chiffrement si possible
• Si vous utilisez le nuage (Google Drive, OneDrive), assurez-vous que le prestataire offre une sécurité minimum
• Pas de partage de données avec des tiers sans consentement écrit

Étape 6 : Destruction programmée (continu)

• Établissez un calendrier : chaque année, identifiez et détruisez les vieilles données qui ne sont plus nécessaires
• Conservez une trace écrite que la destruction a eu lieu

Si vous gérez plusieurs propriétés, déléguez cette tâche à un gestionnaire professionnel. C'est un investissement, mais c'est moins cher qu'une amende.

Interaction avec vos pratiques de gestion actuelle

La Loi 25 ne vous interdit pas de vérifier les antécédents des locataires. Elle exige simplement que vous le fassiez de manière transparente et limitée.

Si vous utilisez une agence de vérification de crédit, celle-ci doit aussi être conforme à la Loi 25. Demandez-lui de certifier son conformité. Si vous faites appel à un gestionnaire immobilier professionnel, celui-ci assume une partie des responsabilités de PRPP, mais vous restez redevable en dernier ressort.

La tension classique : vous voulez des informations détaillées pour bien évaluer le risque ; la loi vous limite au nécessaire. La solution : priorisez la vérification de l'emploi actuel et des paiements antérieurs, plutôt que des rapports de crédit exhaustifs.

Résumé des points critiques

• Vous êtes concerné, même avec un seul logement
• Trois phases d'entrée en vigueur : vous êtes déjà en retard sur certains points
• Collectez le minimum : nom, coordonnées, revenu, références
• Désignez un PRPP : vous ou un tiers qualifié
• Conservez les données le temps nécessaire, puis détruisez
• Gérez les incidents selon le risque
• Amendes substantielles si vous ignorez la loi

La bonne nouvelle : la conformité n'est pas rocket science. C'est une question d'organisation et de discipline. Commencez par un audit interne, puis mettez en place un processus clair. Vous protégerez vos locataires, vous vous protégerez vous-même, et vous dormirez mieux la nuit.

Si vous avez un dossier complexe ou un incident, consultez un notaire ou une firme spécialisée en droit immobilier du Québec. C'est un petit investissement qui peut vous éviter une grosse amende.