Qu'est-ce que la loi 25 ?
La loi 25, officiellement intitulée Loi visant à moderniser les dispositions législatives relatives à la protection des renseignements personnels, La loi sur la protection des renseignements personnels, adoptée au Québec, vise à renforcer la protection des renseignements personnels dans les secteurs public et privé. Cette loi vise à moderniser les pratiques liées à la collecte, à l'utilisation, à la communication et à la protection des données à l'ère numérique.
Dates clés de la loi 25 :
22 septembre 2021: Adoption de la loi 25 par l'Assemblée nationale du Québec.
22 septembre 2022: Mise en œuvre des premières dispositions, y compris les nouvelles exigences en matière de transparence et de responsabilité.
22 septembre 2023: Mise en œuvre des exigences relatives au consentement et aux droits de portabilité des données.
22 septembre 2024: Date limite pour la mise en conformité totale, y compris les obligations renforcées en matière de sécurité des données et de notification des violations.
Impacts sur les centres de contact client
Renforcer les obligations en matière de consentement
Consentement explicite : Les centres de contact doivent obtenir un consentement clair et explicite avant de collecter, d'utiliser ou de divulguer des informations personnelles.
Informations sur l'utilisation des données : Il est essentiel d'informer les clients de l'utilisation prévue de leurs données, y compris des objectifs spécifiques pour lesquels elles sont collectées.
Droit à l'effacement et à la portabilité
Droit à l'effacement : Les centres de contact doivent permettre aux personnes de demander la suppression de leurs données personnelles lorsqu'elles ne sont plus nécessaires.
Droit à la portabilité : Les personnes ont le droit de recevoir leurs données personnelles dans un format structuré et couramment utilisé et de les transférer à une autre organisation.
Gestion et protection des données
Responsabilité accrue : Les centres de contact doivent sécuriser les informations personnelles par des mesures appropriées afin d'empêcher tout accès non autorisé, toute perte ou tout vol.
Évaluation de l'impact sur la vie privée : Une évaluation de l'impact sur la vie privée doit être réalisée avant la mise en œuvre de tout nouveau programme impliquant des informations personnelles.
Obligation de notification des violations
Notification des violations de données : En cas de violation de données, les centres de contact doivent informer rapidement les personnes concernées et la Commission d'accès à l'information du Québec.
Formation et sensibilisation
Formation des employés : Tous les employés doivent être formés aux nouvelles obligations légales en matière de protection des données personnelles.
Politique de confidentialité : Une politique claire et accessible en matière de protection de la vie privée doit être établie et communiquée à tous les employés et clients.
Conséquences de la non-conformité
Pénalités et amendes : Les entreprises qui ne respectent pas les règles peuvent se voir infliger des amendes importantes et d'autres sanctions.
Que doivent faire les entreprises ?
Pour se conformer à la loi 25, les entreprises doivent
- Examiner les politiques et procédures en vigueur.
- Gérer le consentement des clients.
- Assurer la sécurité des données.
- Mettre en œuvre des procédures de notification des violations.
- Former et éduquer les employés.
- Respecter les droits des personnes.
- Vérifier la conformité des intégrations et des partenariats.
Impacts spécifiques sur les solutions CCaaS
Sécurité des données
Les entreprises doivent s'assurer que les fournisseurs de CCaaS (Contact Center as a Service) proposent des mesures de sécurité conformes à la loi 25, telles que le cryptage des données et une gestion stricte des incidents.
Consentement
Les solutions CCaaS doivent garantir que les scripts de communication et les enregistrements d'appels obtiennent le consentement explicite des clients pour la collecte et l'utilisation de leurs données.
Responsabilité contractuelle
Les contrats avec les fournisseurs de CCaaS doivent inclure des clauses spécifiques relatives à la protection des données et au respect de la loi 25.
Transfert de données
Si des données personnelles sont transférées hors du Québec, les entreprises doivent s'assurer qu'elles bénéficient d'une protection équivalente à celle exigée par la loi 25.
Gestion des incidents
Les entreprises doivent mettre en place des procédures pour notifier rapidement les violations de données à la Commission d'accès à l'information et aux personnes concernées.
Gestion des données des clients par des tiers
Les entreprises doivent appliquer une gouvernance stricte sur les données partagées avec des tiers, en s'assurant qu'elles respectent les obligations de la loi 25.
Formation et sensibilisation
La formation des employés à la loi 25 et aux meilleures pratiques en matière de protection des données est essentielle, en particulier pour ceux qui utilisent des solutions CCaaS.
L'automatisation au service de la conformité
Des outils, tels qu'un logiciel d'enregistrement des appels qui marque une pause pendant l'échange d'informations personnelles, devraient être mis en place.
Ce que Paxyl a fait
Pour se conformer à la loi 25, Paxyl a mis en œuvre les mesures suivantes :
- Désignation d'un chef de la conformité pour la protection des données personnelles.
- Identification et classification des données personnelles collectées et traitées.
- Élaboration et mise en œuvre de politiques claires pour la gestion des informations personnelles.
- Mise en œuvre de mesures de sécurité robustes.
- Mécanismes d'accès et de correction des informations personnelles.
- Programmes réguliers de formation des employés.
- Des audits réguliers pour s'assurer du respect des politiques de protection des données.
Non-sollicitation
La solution Genesys Cloud comprend des fonctions avancées de gestion des appels qui aident les entreprises à se conformer aux règles de non-sollicitation, telles que les listes “Do Not Call” (DNC). En utilisant des mécanismes automatisés pour filtrer les numéros figurant sur les listes DNC, Genesys Cloud garantit que les entreprises respectent les réglementations en matière de télécommunications, évitant ainsi les appels non sollicités et les sanctions potentielles. Cette fonction contribue à protéger la réputation de l'entreprise et à garantir une gestion éthique et légale des campagnes de communication.