Les renseignements personnels que vous traitez pour facturer — noms et adresses de clients, courriels, numéros de téléphone, historique d'achat — sont encadrés par des lois canadiennes. Au fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique aux entreprises du secteur privé dans les provinces sans loi essentiellement similaire. Au Québec, c'est la Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la Loi 25 (principales obligations en vigueur depuis septembre 2023), qui s'applique. La Loi 25 impose notamment de désigner un responsable de la protection des renseignements personnels et de déclarer avec diligence les incidents de confidentialité présentant un risque de préjudice sérieux.
Consentement et finalité de la collecte
La LPRPDE exige un consentement valable pour la collecte, l'utilisation et la communication de renseignements personnels, lié à des fins précises. Pour facturer, vous n'avez besoin que des informations nécessaires à la facture : nom, adresse, courriel de facturation. Si vous voulez utiliser ces données à d'autres fins (marketing, par exemple), obtenez un consentement distinct — 4invoices ne gère pas les consentements.
Droit d'accès, de rectification et de retrait
Un client peut demander une copie des renseignements personnels que vous détenez sur lui et exiger des corrections. La Loi 25 ajoute notamment un droit à la désindexation et, depuis le 22 septembre 2024, un droit à la portabilité. Prévoyez une procédure simple pour répondre à ces demandes, en tenant compte de votre obligation de conserver les factures pendant six ans.
Incident de confidentialité
La Loi 25 impose d'aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées lorsqu'un incident présente un risque de préjudice sérieux, et de tenir un registre des incidents. Contrairement au RGPD européen, elle ne fixe pas de délai de 72 heures, mais il faut agir rapidement. La LPRPDE prévoit une obligation semblable envers le Commissariat à la protection de la vie privée.
Cartographie des deux lois — fédéral et Québec
La LPRPDE fédérale s'applique aux activités commerciales dans les provinces qui n'ont pas de loi essentiellement similaire, ainsi qu'aux échanges interprovinciaux et internationaux. Elle repose sur 10 principes : responsabilité, détermination des fins, consentement, limitation de la collecte, limitation de l'utilisation, exactitude, mesures de sécurité, transparence, accès aux renseignements personnels et possibilité de porter plainte. Le Commissariat à la protection de la vie privée du Canada enquête sur les plaintes.
Le Québec a sa propre loi — la Loi sur la protection des renseignements personnels dans le secteur privé (1994), modernisée par la Loi 25 avec une entrée en vigueur progressive de 2022 à 2024. Elle ajoute notamment : la désignation d'un responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité), les évaluations des facteurs relatifs à la vie privée (EFVP), le droit à la portabilité et des sanctions importantes — sanctions administratives pécuniaires jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, et amendes pénales jusqu'à 25 M$ ou 4 %.
Pour une PME canadienne, l'enjeu pratique est de respecter la ou les lois applicables selon l'endroit où elle exerce ses activités. Une bonne pratique consiste à appliquer partout le standard le plus exigeant — souvent celui du Québec —, ce qui simplifie les procédures internes.
Questions frequentes
Mon entreprise est en Saskatchewan, je n'ai pas de clients au Québec. La Loi 25 s'applique-t-elle ?
En règle générale, non : la loi québécoise vise les entreprises qui exploitent une entreprise au Québec. Sans lien avec le Québec, vous relevez de la LPRPDE. Beaucoup d'entreprises choisissent néanmoins d'appliquer le standard québécois partout, par simplicité.
Mes données sont hébergées à l'extérieur du Canada. Est-ce un problème ?
La LPRPDE et la Loi 25 n'interdisent pas l'hébergement hors Canada, mais exigent une protection adéquate. La Loi 25 exige en plus une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors du Québec. Informez-vous auprès de chaque fournisseur de l'endroit où vos données sont hébergées et encadrez la relation par contrat.
Combien de temps puis-je conserver les données d'un client qui n'est plus actif ?
La règle générale : aussi longtemps que nécessaire pour les fins prévues, pas plus. Pour la facturation, l'obligation de conserver les registres pendant six ans justifie de garder les données liées aux factures. Au-delà, détruisez ou anonymisez les renseignements dont vous n'avez plus besoin.
Facturez en ne collectant que l'essentiel
6 mois gratuits, sans carte de crédit. Des factures avec seulement les informations nécessaires, un taux de taxe par ligne, toutes les devises et l'envoi en PDF.